VxWorks 固件

VxWorks 是美国 Wind River 公司开发的实时操作系统（RTOS），广泛应用于工控、航空航天、网络设备、医疗仪器等嵌入式场景

其固件镜像通常是一个单体内核映像，包含内核、驱动、应用程序和文件系统

固件镜像格式

典型镜像类型

  • Bootrom：引导加载程序，负责初始化硬件、加载主映像

  • VxWorks 主映像：包含内核、任务、符号表（可选），通常被压缩或直接以 ELF/二进制形式存在

  • 文件系统（TFFS/DOSFS/HRFS）：挂载于 /tffs0 等，存放配置、Web 页面、应用程序模块

镜像结构特征

  • 压缩壳：常见压缩算法为 deflate（zlib）或 LZMA，可通过 binwalk -e 自动识别并解压

  • 符号表（Symbol Table）：VxWorks 为方便动态加载模块和调试，默认在映像中保留完整的符号表，位于 symTbl 段，包含函数名、地址、类型。这是逆向分析的最大助力

段布局

1
2
3
4
5
6
+-------------------+
| .text   (代码)     |
| .data   (数据)     |
| .bss    (未初始化) |
| symTbl  (符号表)  |
+-------------------+

实战案例

某嵌入式设备固件升级包（VxWorks 固件）

题目给出的是一个名为 UpgradePackage.bin 的固件升级包

首先需要理解固件升级包的常见结构：大多数升级包包含一个明文头部（记录设备型号、版本等信息），后面跟着压缩或加密的固件本体

用十六进制编辑器或 binwalk 查看文件，能发现开头有可读字符串：140-NOE-771-01 和 Quantum Ethernet Executive firmware Ver. 6.40

这告诉我们设备型号和固件版本，同时也提示固件可能是 VxWorks 操作系统

VxWorks 是一种嵌入式实时操作系统，广泛应用于工业控制、网络设备中，其固件镜像通常包含符号表用于调试

继续分析升级包，需要找到真正的固件数据在哪里

偏移 0x385 处存在 zlib 压缩数据，用 Python 直接从 0x385 开始 zlib 解压

1
2
3
4
5
6
7
8
9
import zlib
from pathlib import Path

pkg = Path("UpgradePackage.bin").read_bytes()

fw = zlib.decompress(pkg[0x385:])
Path("firmware.raw").write_bytes(fw)

print(hex(len(fw)))

在解压后的固件里可以看到 VxWorks 痕迹

1
2
# -a：全文件扫描（--all）
strings -a firmware.raw | grep "VxWorks"

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# 该固件使用 VxWorks 实时操作系统（RTOS），版本信息格式为 L8
UNIX Type: L8 Version: VxWorks

# 这是一个格式化字符串模板，用于打印 VxWorks 系统时间（年/月/日 时:分:秒）
VxWorks =%u, m/d/y h:m:s %.2d/%.2d/%.2d %.2d:%.2d:%.2d

# 一个命令行帮助信息，暗示系统可能存在一个 Shell 或调试控制台，输入 version 可打印版本和启动参数
version                        Print VxWorks version info, and boot line

# 另一个格式化输出模板，用于打印特定目标（%s）的版本号
VxWorks (for %s) version %s.

# 来自文件 dosVDirLib.c 的调试/错误信息，提示 VxWorks 的 DOS 兼容文件系统不支持长文件名（FAT 限制）
dosVDirLib.c : VxWorks proprietary long names not supported

# 登录提示符
<VxWorks login:

题目说要找 bsolute__C14SequenceNumber 函数所对应的文件偏移

1
2
# -t x  输出字符串所在的十六进制文件偏移
strings -a -t x firmware.raw | grep "bsolute__C14SequenceNumber"

得到偏移是 0x26634c，并且是 Absolute__C14SequenceNumber，题目可能给错了

固件里的符号表一般不会保存 “文件偏移”，而是保存运行时地址

1
运行时地址 = 文件偏移 + 加载基址

获取加载基址的思路如下

1
2
3
4
固件中有很多字符串文件偏移
固件中也有很多 4 字节大端整数
如果某个整数值 V 是字符串运行时地址
那么 V - 某个 base 应该刚好等于某个字符串文件偏移

所以我们枚举 base，看哪个 base 能解释最多的 “指向字符串的指针”

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
from pathlib import Path

fw = Path("firmware.raw").read_bytes()

# 1. 收集所有 ASCII 字符串的起始文件偏移
string_starts = set()

i = 0
while i < len(fw):
    if 32 <= fw[i] < 127:
        j = i
        while j < len(fw) and 32 <= fw[j] < 127:
            j += 1

        # 至少 4 字节，并且以 \x00 结尾，认为是一个字符串
        if j < len(fw) and fw[j] == 0 and j - i >= 4:
            string_starts.add(i)

        i = j + 1
    else:
        i += 1

# 2. 收集固件中所有 4 字节大端整数
words = []
for off in range(0, len(fw) - 4, 4):
    v = int.from_bytes(fw[off:off+4], "big")

    # 只保留看起来像固件内地址范围的值，减少噪声
    if 0 <= v <= len(fw) + 0x100000:
        words.append(v)

# 3. 枚举候选加载基址，看哪个 base 命中最多字符串起点
scores = []

for base in range(0, 0x400000, 0x1000):
    hit = 0

    for v in words:
        if v - base in string_starts:
            hit += 1

    if hit:
        scores.append((hit, base))

for hit, base in sorted(scores, reverse=True)[:10]:
    print(f"base={base:#x}, hit={hit}")

可以看到 0x10000 命中数遥遥领先，所以基址就是 0x10000

所以目标字符串运行地址 = 0x26634C + 0x10000 = 0x27634C

因为 PowerPC 是大端，所以 0x0027634C 在文件里的字节形式是 00 27 63 4C

接下来就是找到哪个符号表项引用了 Absolute__C14SequenceNumber 这个字符串

1
2
3
4
5
6
7
8
9
10
from pathlib import Path

fw = Path("firmware.raw").read_bytes()

target = bytes.fromhex("0027634c")
off = fw.find(target)

print("name_addr field offset:", hex(off))
print("symbol item start     :", hex(off - 4))
print("symbol item bytes     :", fw[off-4:off+12].hex(" "))

将 symbol item bytes 按 4 字节大端拆开

1
00 00 00 00   00 27 63 4C   00 11 FD 38   00 00 05 00

对应结构体

1
2
3
4
5
6
struct symbol_item {
    uint32_t unk;
    uint32_t name_addr;
    uint32_t value_addr;
    uint32_t type;
};

解析结果

1
2
3
4
unk        = 0x00000000
name_addr  = 0x0027634C
value_addr = 0x0011FD38
type       = 0x00000500

value_addr 就是 Absolute__C14SequenceNumber 的函数运行时地址

题目要的是 函数所对应的文件偏移，所以要减去基址

得到 flag 后半部分 0x0011FD38 - 0x00010000 = 0x0010FD38

symbol item start 是符号表项，值为 0x302010，那么整张符号表应该是一段连续的 16 字节结构数组

所以我们要做的是

1
2
3
4
5
6
7
从 0x302010 开始
每次向前减 0x10
检查前一个 16 字节结构是否仍然像符号表项

再从 0x302010 开始
每次向后加 0x10
检查后一个 16 字节结构是否仍然像符号表项

判断 “像符号表项” 的标准是：

  • 第 1 字段通常为 0
  • 第 2 字段 name_addr - 0x10000 后能指向一个合法字符串
  • 第 3 字段 value_addr 落在固件地址范围内
  • 第 4 字段 type 是少量重复的类型值，例如 0x500、0x700、0x900 等
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
from pathlib import Path
import struct

fw = Path("firmware.raw").read_bytes()

BASE = 0x10000
TARGET_ITEM = 0x302010

# 这些 type 是从目标附近和整段表里观察到的常见符号类型
TYPES = {
    0x100, 0x200, 0x300, 0x400,
    0x500, 0x600, 0x700, 0x800,
    0x900, 0x1500, 0x1700
}

def is_ascii_string_at(off):
    if off < 0 or off >= len(fw):
        return False

    end = fw.find(b"\x00", off)
    if end == -1:
        return False

    # 符号名一般不会太短，也不会特别长
    if end <= off or end - off > 256:
        return False

    s = fw[off:end]
    return all(32 <= c < 127 for c in s)

def is_symbol_item(pos):
    if pos < 0 or pos + 0x10 > len(fw):
        return False

    unk, name_addr, value_addr, typ = struct.unpack(">IIII", fw[pos:pos+0x10])

    name_off = name_addr - BASE

    return (
        unk == 0
        and is_ascii_string_at(name_off)
        and typ in TYPES
        and 0 <= value_addr - BASE < len(fw)
    )

# 向前找表头
start = TARGET_ITEM
while is_symbol_item(start - 0x10):
    start -= 0x10

# 向后找表尾
end = TARGET_ITEM
while is_symbol_item(end):
    end += 0x10

count_by_len = (end - start) // 0x10

print("symbol table start:", hex(start))
print("symbol table end  :", hex(end))
print("count by length   :", hex(count_by_len), count_by_len)

print("bytes at end      :", fw[end:end+0x10].hex(" "))
print("first dword at end:", hex(struct.unpack(">I", fw[end:end+4])[0]))

输出

1
2
3
4
5
symbol table start: 0x301e60
symbol table end  : 0x3293b0
count by length   : 0x2755 10069
bytes at end      : 00 00 27 55 00 03 c1 d8 00 03 eb 40 00 03 ff e4
first dword at end: 0x2755

symbol table end 说明 0x3293B0 起就不再是符号表项

手动观察表尾

1
2
3
4
# -g 4：改为 4 个字节一组
# -s 0x329380：跳过的偏移量
# -l 0x60：长度
xxd -g 4 -s 0x329380 -l 0x60 firmware.raw

回显

1
2
3
4
00329380: 00000000 00232b08 00367788 00000900
00329390: 00000000 00232afc 00339494 00000900
003293a0: 00000000 00232af4 00339a64 00000900
003293b0: 00002755 0003c1d8 0003eb40 0003ffe4

前三行仍然符合符号表项结构

1
00000000 [name_addr] [value_addr] [type]

但到了 0x3293B0，第一字段变成了 00002755。它不再是符号表项，而是表项数量

所以表尾就是 0x3293B0，第一部分 flag 已经确认为 00002755

最终 flag 为 flag{000027550010FD38}