本篇章已提取加密的固件的文件系统为目标，从系统的启动到内核解密到文件系统解密的加载做一个调试。
并对系统内核以及文件系统进行提取，为后面漏洞挖掘做铺垫。
以及提升自身对linux系统逆向知识面。

在官网可以看到有两个版本可供下载。一个是gho一个是img，这里两个都下载了。

从提供的下载包可以看出这是软路由的系统，没有硬件限制，所以下面用vmware进行了安装。

配置好后，进入后台管理界面如下

初始环境安装完后，发现系统并没有提供输入。所以需要上qemu进行调试将文件系统提取出来。

使用qemu运行该系统

对img进行进行提取，在grub中的menu.list可以看出initrd对应的是root.gz。

可以看到root.gz是属于加密的。

linux大概的启动过程：
注:具体细节请参考GRUB源码。
00.BIOS：

01.MRB：

02.Stage1.5：

03.Stage2：

================================================================================================
使用qemu+ida进行启动调试

使用IDA附加，并在0x7c00处下断后断下，可以看到是磁盘的第0个扇区的数据。

随后将第1个扇区载入到0x70000处

将第0x70000的数据复制到0x2000即Stage1.5然后跳转到0x2000处继续执行。

循环从第2个扇区开始载入到0x70000

接着将数据复制到0x2200+index处

数据载入完后跳转到0x2200处继续执行

在经过一系列的初始化后，便开始将Stage2载入到0x8000，大小是0x400

剩余的Stage2数据载入到0x8400,并跳转到0x8200处执行

在asm.S:_start结尾调用了init_bios_info

init_bios_info最后跳转到了00027E9C(/stage2/stage2.c:cmain)处继续执行

最后开始解析配置文件寻找对应的处理函数进行调用，如下是kernel命令对应的。

/stage2/builtins.c中对应的kernel_func函数，最终调用load_image



load_image中在将bzImage的前0x2000大小的数据读取到0x66000处后，再从0x66000处复制到linux_data_tmp_addr(0x5CFD30)中

继续读取之后的0x1800字节，保存到linux_data_tmp_addr+0x2000处

接着将0x3800之后的所有数据读取到LINUX_BZIMAGE_ADDR(0x100000)

...
当到了boot命令后，便进入boot_func函数


kernel_type是3，最终调用big_linux_boot函数


在/stage2/asm.S:big_linux_boot中可以清晰的看到
从linux_data_tmp_addr将0x9400大小的数据复制到(linux_data_real_addr)0x90000

切换到实模式后，通过jmp far跳转到90200处执行，改变了cs=9020 ip=0

那么真实的ip=cs*16+ip=90200，显然16位的寄存器存不下该值，所以通过来段寄存器的方式去执行。
且ida并不能去识别这样的进程环境，导致出现了反汇编的窗口指向了错误的页面但能F7 F8。

解决这样情况的办法就是将cs清零，将ip修改成正确的地址即可，但是遇到ip被改变的需要修改回原来的样子再执行。所以等一手正版人员给ida提一个issues，非常感谢！！！！！

经过一顿反复的下断调试，虽然其中对应的是linux源码中的/boot/main.c，但因为ida的问题还是很难调试，最后切换到保护模式跳转进入LINUX_BZIMAGE_ADDR(0x100000)

至此，就进入了内核，GRUB的过程结束。

从LINUX_BZIMAGE_ADDR处往后执行，会将加密的内核数据从LINUX_BZIMAGE_ADD复制到0x17bb000,接着并跳转到0x17bb000+0x4C7EDC执行

随后将内核解密,并将该快内存dump

使用vmlinux-to-elf将内核程序提取出来

等待将内核解压后开始调用parse_elf函数

完成后会将内核程序的+0x1000处填充到0x1000000，并跳转到该处执行。

在0x1000000往下执行，重新将内核复制到0x81000000处，并跳转到0x818B6CEB

.....
经过了漫长的调试，配合linux源码看，最终定位到了0x81BDC9CE处，调用的函数具体是干嘛的我也不知道，只知道eax是指向root.gz解密后的数据，edx为长度

最后写脚本将所有数据进行dump

成功dump出文件系统

1.ida对此类的调试环境，反汇编支持并不友好。望一个好心人提一个issues！！！
2.在保护模式和实模式的切换间16位和32位的调试，对系统底层有了一个模糊的了解。
3.心一定要稳，不要浮躁，F8一定不能快！！！

第一次调试这方面的东西，知识面不是很足，导致分析起来很累。
如有错请各位在评论区指正，谢谢各位~

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！