项目地址：https://github.com/e-m-b-a/emba
本次分析对象的最后一次提交：https://github.com/e-m-b-a/emba/commit/de9dc53980962c8a62ea1239c9039e87962b32e5
克隆项目

EMBA 被设计为渗透测试人员的中央固件分析工具。它支持完整的安全分析过程，从固件提取过程开始，通过仿真进行静态分析和动态分析，最后生成 Web 报告。EMBA 自动发现固件中可能存在的弱点和漏洞。例如不安全的二进制文件、旧的和过时的软件组件、可能易受攻击的脚本或硬编码密码。EMBA是一个命令行工具，可以选择生成易于使用的 Web 报告以供进一步分析。
EMBA 结合了多种成熟的分析工具，可以通过一个简单的命令启动。之后，它会测试固件是否存在可能的安全风险和感兴趣的区域以进行进一步调查。无需手动安装所有帮助程序，执行集成安装脚本后，您就可以测试固件了。
EMBA 旨在协助渗透测试人员，而不是作为一个没有人工交互的独立工具。EMBA 应该提供尽可能多的关于固件的信息，测试人员可以决定重点领域，并负责验证和解释结果。
官方视频：
https://youtu.be/_dvdy3klFFY
项目采用纯Shell编写，非常适合这种需要结合许多外部工具并执行大量命令的工具。
项目统计：
Summary
Date : 2023-04-19 10:38:56
Total : 225 files, 28187 codes, 3873 comments, 4716 blanks, all 36776 lines
Languages

Directories

由代码量可知其主要功能集中在modules文件夹内。通过后面的分析可以知道，EMBA将根据运行参数分别调用各个模块对固件进行静态或动态的分析。

项目结构

描述：

建议：

注意！
国内用户记得配置代理，不然git啥的会报错。另外，sudo运行的命令不会继承当前用户的环境变量。
cve-search 的安装需要配置代理，需要修改安装流程（不然特别特别慢，还容易失败）

这将安装所需要的依赖工具，例如cve-search、下载大约6GB的docker镜像等等。

手动构建：
docker-compose build emba

安装完后测试 cve-search：./external/cve-search/bin/search.py -p busybox

默认方式安装和运行操作都将使用 docker-compose 运行 emba

首先加载helpers或installer文件夹下的helpers_emba_load_strict_settings.sh，并执行其中的load_strict_mode_settings函数用于加载严格模式的设置
安装docker
加载所有installer文件夹下的*.sh（但是一般都是以函数的形式存在，加载时并不会安装）
检查参数个数，必须为1
检查参数cCdDFghlr，设置对应的安装标记，然后根据安装标记进行针对性安装。在此过程还会检查wsl等环境进行针对性安装。
cve-search is always installed on the host，使用IF20_cve_search函数。

cve-search使用mongodb存储，并会使用pip安装redis等组件。

必须指定日志和固件文件：

使用 checksec.sh 的kernel checker仅测试内核配置：

如果添加-f ./firmware，它将忽略-k并在固件中搜索内核配置
checksec相信打过 pwn 的人应该都很熟悉。关于 checksec 的 kernel checker：
checksec 是一种用于检查Linux系统安全性的工具，其中包括一个kernel checker。checksec kernel checker通过检查当前正在运行的内核的各种安全配置选项来帮助用户评估其安全性。
checksec kernel checker可以检查以下配置选项：

通过检查这些配置选项，checksec kernel checker可以提供有关系统安全性的重要信息，并帮助用户确定是否需要采取额外的安全措施。

运行主文件。首先定义了一些函数，然后在最后调用主函数，并传递所有参数：

然后解析参数、检查参数、文件、路径、依赖工具等。设置相关环境变量。
监控docker日志和通知：

helpers\helpers_emba_print.sh：


如果指定了-t参数，则会设置THREADED和MAX_MOD_THREADS参数（MAX_MOD_THREADS为核心数乘2)：

预处理HTML输出

带-k参数运行：

会创建一个子进程，用来监控剩余空间容量：

运行容器，并执行分析：

初始化状态栏：

预检查模块（所有以 P 开头的模块）

关键在run_modules "P" "${THREADED}" "0"这一行，我们看看这个函数的定义：
emba line 111：

函数比较长。接收三个参数的作用在声明前写的很清楚。大概功能：根据传入的参数和一些其他条件，动态地加载和运行符合要求的模块脚本，有时候可以进行多线程并发执行。另外，还会检查某个模块是否已经运行过，并在必要时跳过不需要重新运行的模块，提高运行效率。如果开启了 HTML 选项，则会生成报告文件。
固件检查模块（S模块）

同理，会运行所有S模块，并等待子进程结束。必要时会使用多线程。
实时模拟模块（L模块）

会使用单线程运行。并运行所有L开头的模块。
报告模块（F模块）

单线程运行"F"模块的程序，用于处理测试结果并生成报告。如果指定了-B参数则删除状态栏。
在测试结束后，如果指定了-r参数则将产生的临时文件夹和文件删除（只有运行了S模块才会产生）。
总结：主运行文件将检查参数等，并调用各个模块：

因此各个模块源代码的审计将是理解固件分析实现的重点。

给出有关所提供的固件二进制文件的一些非常基本的信息。
主函数：

fw_bin_detector函数：

用patools工具提取zip、tar、tgz

binwalk_deep_extract_helper函数：

提取vmdk镜像

vmdk_extractor函数：

提取D-link加密固件镜像

dlink_SHRS_enc_extractor函数：

dlink_enc_img_extractor函数：

使用Freetz-NG提取AVM固件映像
avm_extractor函数：

显示Uboot映像的内部
P13_uboot_mkimage函数：

挂载和提取extX映像
ext_extractor函数：

提取ubi文件系统
ubi_extractor函数：

用EnGenius提取固件镜像
engenius_enc_extractor函数：

提取没有加密的gpg压缩的固件镜像
gpg_decompress_extractor函数：

从QNAP中提取加密固件映像
首先调用 qnap_enc_extractor 函数：

qnap_extractor函数：

挂载和提取BSD UFS映像
ufs_extractor函数

提取Foscam公司的加密固件映像
首先调用foscam_enc_extractor函数：

foscam_ubi_extractor函数：

提取Buffalo公司的加密固件映像
buffalo_enc_extractor函数：

提取被密码保护的Zyxel固件镜像
zyxel_zip_extractor函数：

binwalk_deep_extract_helper函数（在P60_firmware_bin_extractor.sh文件内定义）：

挂载和提取Qemu QCOW2镜像
qcow_extractor函数：

copy_qemu_nbd函数：

提取Android OTA更新文件
android_ota_extractor函数：

提取UEFI镜像与BIOSUtilities
uefi_extractor函数：

分析固件与binwalk，检查熵和提取固件到日志目录
P59_binwalk_extractor函数：

binwalking函数：
对固件进行简单地分析并给出熵图。

detect_root_dir_helper函数：
通过特殊二进制路径来推测文件系统根目录在哪

linux_basic_identification_helper函数：
用于统计linux文件系统中基本的特征文件或文件名

分析固件与binwalk，检查熵和提取固件到日志目录
P60_firmware_bin_extractor函数：

check_disk_space函数：
用于检查磁盘空间

deep_extractor函数：
深度提取模式

deeper_extractor_helper函数：
进行深度提取

识别和提取典型的软件包档案，如deb, apk, ipk
逻辑比较简单，识别文件名然后针对性解包

将带有unblob的固件提取到模块日志目录（仅用于评估）
逻辑比较简单，直接使用unblob进行提取，然后识别文件系统根目录、统计信息。

一些准备工作（检查固件、架构检查等）
检查固件、准备二进制文件列表、架构检查、文件系统根目录识别、设置配置文件路径、准备文件列表。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)