工控设备固件提取技术综述

林晔篁 ， 刘蕾蕾 ， 杜伟 ， 彭纬伟 ， 金先涛， 胡璇

（1.中国南方电网调峰调频发电有限公司检修试验分公司， 广东 广州 510610；2.中国南方电网调峰调频发电公司， 广东 广州 510635 3.工业和信息化部电子第五研究所， 广东 广州 510610）

0 引言

自2010 年以来， ICS 安全问题频频出现， 对工控系统造成了极其严重的影响，其攻击普遍借助伪造通信手段为出发点，例如： 震网病毒[2]通过伪造签名并突破工业局域网的限制， 通过更改变频器参数使得离心机无法正常工作； Duqu 病毒[3]借助通信机制传播恶意代码， 并控制其大面积隐蔽感染其他计算机； Havex 病毒[4]利用OPC DA 协议来收集网络和联网设备的信息并将其反馈到C&C 服务器的手段， 通过植入木马等方式感染监测控制和数据采集 （SCADA： Supervisory Control and Data Acquisition） 系统及使用的工业控制软件等。

在备受瞩目的Stuxnet 病毒爆发前， 有关ICS安全的大多数研究工作主要集中在人机界面（HMI） 和其他SCADA 软件上， 而对这些嵌入式系统方面所做的分析相对较少。 尽管有许多成熟的工具和技术可用于分析商用个人计算机（PC） 上的软件， 但我们对嵌入式设备中的漏洞只有一个较浅的了解， 并且很少有用于分析它们的工具。 最近在嵌入式设备上进行的许多安全工作已经发现了严重的安全漏洞， 例如： 从固件映像中提取的硬编码密码， 未经身份验证的固件上载， 启用了多个未经身份验证的接口和弱密码散列。 我们相信， 这些发现将在更多的设备上得到重复， 并且未来的安全研究将在深入研究固件和硬件上实现。……