深入剖析路由器FOTA固件升级流程：从解包到逆向分析

一、FOTA技术概述与DWR-932路由器介绍

1.1 FOTA技术的重要性

Firmware Over-The-Air（FOTA）技术是物联网设备维护和管理的核心手段，具有以下优势：

• 远程管理能力：厂商可批量推送升级，显著降低维护成本
• 安全性增强：及时修补安全漏洞，防止设备受到攻击
• 系统稳定性提升：修复Bug、优化系统性能
• 成本效益：减少人工维护需求，延长设备生命周期

1.2 DWR-932路由器FOTA机制

DWR-932是一款便携式4G LTE路由器，其FOTA升级流程包含五个关键阶段：

1. 固件包获取：通过FTP/HTTP下载固件压缩包
2. 解压与校验：使用加密校验机制验证固件完整性
3. 进程管理：由fotad守护进程控制升级流程
4. 固件刷写：调用MTD工具完成固件写入
5. 重启验证：通过Bootloader检查新固件状态

二、固件解包与初步分析

2.1 固件获取与解包技术

固件下载地址：https://ftp.dlink.de/dwr/dwr-932/archive/driver_software/DWR-932_fw_revb_202eu_ALL_multi_20150119.zip

解包方法一：密码爆破

使用fcrackzip工具进行密码爆破，成功获取解压密码：beUT9Z

解包方法二：逆向分析

通过IDA逆向分析prefota程序，发现密码硬编码在model_name字段中

2.2 文件系统结构分析

解包后得到多个关键文件系统映像：

三、FOTA核心组件逆向分析

3.1 fotad守护进程分析

fotad是FOTA升级的核心进程，主要功能包括：

• 初始化监控线程，实时跟踪升级状态
• 通过/proc/fota/info读取升级进度
• 使用Update_FOTA_Status_D74C回调上报状态
• 通过Unix域套接字/var/usock/appmgr.us进行进程通信

3.2 主控程序appmgr分析

appmgr作为系统主控程序，管理包括FOTA在内的多个功能模块：

// 模块初始化伪代码
void init_modules() {
    mod_fota = { "mod_fota", fota_init, fota_exit, fota_msg_handler };
    // 其他模块初始化...
}

关键模块交互流程：

1. appmgr通过recv()从Unix域套接字接收消息
2. 调用modfota_msg_handle处理FOTA相关指令
3. 根据消息ID执行不同操作（获取状态、准备升级等）

四、固件升级执行流程详解

4.1 pre-fota.sh脚本分析

脚本支持两种运行模式：

• -a prepare：预下载并验证固件
• -a start：触发实际升级流程

关键操作序列：

case $fota_mode in
    1) # 准备模式
        check_fota_result
        appmgr_cli notify_fota_result
        ;;
    2) # 启动模式
        prefota --start
        ;;
esac

4.2 prefota程序逆向

prefota是实际执行固件刷写的核心程序，主要功能：

分区配置表结构

逆向得到的分区配置表结构体：

struct partition_config {
    char* filename;      // 固件文件名
    char* mtd_device;   // MTD设备路径
    int mtd_num;        // MTD分区号
    int is_critical;    // 是否关键分区
    // 其他字段...
};

固件刷写流程

1. 生成擦除命令：flash_erase /dev/mtdX 0 0
2. 生成写入命令：
   • 安全模式：nandwrite -a -S /dev/mtdX
   • 普通模式：直接写入解压文件
3. 状态管理：通过fotastate工具记录进度

4.3 LCD控制流程

升级过程中调用LCD控制命令：

system("lcdd fw-upgrade 1 &");

实现屏幕固件的独立升级

五、FOTA完整流程总结

5.1 升级阶段划分

1. 下载阶段：

   • fotad管理下载任务
   • 通过/var/fota/fotad.status记录状态

2. 预处理阶段：

   • appmgr调用pre-fota.sh
   • 初始化工作目录和校验文件

3. 刷写准备：

   • prefota解压固件并校验
   • 准备MTD分区

4. 刷写执行：

   • 擦除目标分区
   • 写入新固件
   • 更新LCD固件

5. 重启验证：

   • 设备重启
   • Bootloader验证新固件

5.2 关键组件协作

六、安全分析与建议

6.1 潜在风险点

1. 硬编码解压密码（beUT9Z）
2. Unix域套接字通信未加密
3. 固件校验依赖单一SHA1算法
4. 关键分区操作缺乏回滚机制

6.2 加固建议

1. 实现动态密码生成机制
2. 增加通信加密层
3. 采用多重校验机制（如SHA256+签名）
4. 实现A/B分区切换保障升级安全

附录：分析工具与方法

1. 静态分析工具：

   • IDA Pro：逆向分析二进制程序
   • Binwalk：固件解包与特征识别

2. 动态分析工具：

   • QEMU：模拟运行嵌入式系统
   • GDB：调试运行中的进程

3. 密码破解：

   • fcrackzip：ZIP密码爆破
   • 字符串搜索：定位硬编码凭证

4. 文件系统工具：

   • unyaffs：解包YAFFS2映像
   • mtd-utils：操作MTD分区