本文作者：qret2libc@360SRC

最近研究了手上一台摄像头的sd卡刷机功能，该摄像头只支持fat32格式的sd卡，所以需要先把sd卡格式化为fat32，另外微软把fat32限制了最大容量32G，所以也只能用不大于32G的sd卡来刷机。

这里使用32G的sd卡来刷

win10格式化sd卡命令，X是sd卡所在磁盘名。

准备就绪，将固件直FIRMWARE.bin放SD卡根目录下， 长按reset键刷机。但是后面发现并未成功，刷完后成砖了，摄像头未能正常启动，此时刷入的还是正常固件，还未做任何篡改，却直接刷成砖，确实有点出师不利，一时间不知哪个环节出了问题。

摄像头刷机后没能正常启动，考虑接上串口，看看哪里出了问题。

接上串口后，再次上电启动设备，观察到部分串口日志如下：

从日志信息可以看出，摄像头IP地址为192.168.1.10，tftp服务器地址为192.168.1.99，设备尝试从tftp服务器加载名为update.bin的固件失败。说明之前卡刷没有成功的情况下，现在设备上电后会主动尝试利用uboot中的tftp功能从192.168.1.99地址加载固件，但此时并不存在192.168.1.99服务器，所以摄像头上电后一直卡在这里，无法正常启动。

尝试利用tftp刷机拯救摄像头，由于设备启动时并不能成功打断uboot进入shell，所以我们无法直接通过uboot shell去修改默认的tftp服务器ip和其他操作，只能在PC上搭建一个tftp服务器并修改ip为192.168.1.99，将待刷固件命名为update.bin并放到tftp服务器文件目录。

tftp服务器准备就绪，再次上电启动设备，观察到设备成功从192.168.1.99服务器下载到固件，并写入flash，救“砖”成功。

后面再次按照sd卡刷流程尝试刷入正常固件，终于没有再出现成“砖”的状况。

正常的sd卡刷流程大致如下，首先断电，将存储固件的sd卡插入摄像头，按住reset键，接通电源，此时摄像头就会加载sd卡固件进行刷机.在刷写固件的过程中，按住reset键的作用是强制摄像头进入IPL模式（Initial Program Loader），也称为恢复模式。这个模式允许设备加载存储在SD卡中的新固件并更新原有的固件。在IPL模式下，设备将不会自动运行已有的固件，而是等待从SD卡加载新的固件进行刷写。因此，按住reset键是为了保证设备能够正确地进入IPL模式，从而完成固件的更新。在这个日志中，可以看到 IPL（Initial Program Loader）已经成功地加载，并且检查通过。

IPL_CUST 固件的作用是启动 U-Boot，然后由 U-Boot 来加载并运行设备的操作系统。在这个过程中，U-Boot 会从 SD 卡上读取固件，然后将它加载到摄像头的内存中，并启动 Linux 内核。因此，加载 sd卡固件的程序在U-Boot中，从上面日志可以看到uboot启动固件时首先对固件做了crc校验，所以篡改固件后需要还需要考虑过crc校验才可能刷写成功。

从uboot固件中也确实搜到上面日志中的crc校验相关字符串。

分析uboot中crc校验逻辑，逆向出修改固件后需要计算的相关字段。

知道固件组成结构后，接下来就可以向固件文件系统中植入我们自己的程序，固件修改后，计算并调整固件中相应size和crc字段值，通过sd卡重新刷入设备。

使用buildroot编译一个包含telnet、ftp等功能的busybox，将新编译的busybox移植到摄像头原来的文件系统中。

下载Buildroot ，选择编译配置

接着编译BusyBox，将telnetd编译进去

以上设置完成后执行make进行编译，编译完成后在当前目录生成output文件夹，生成的telnetd是链接到busybox的，所以这里直接将

生成的busybox移植到摄像头文件系统即可。将编译的busybox复制到固件文件系统/bin目录并命名为busybox_hack。这里解包固件时记得要用root权限，因为摄像头是root用户，busybox_hack拷贝到摄像头文件系统中时也要注意修改文件的所属用户和组和其他文件一致。

将busybox_hack添加到启动项中/etc_default/init.d/，并启动telnetd，-l 参数将其链接到/bin/sh，这样直接免密登录。

重新打包文件系统

其中 ./squashfs-root 是待打包的目录，out.fs 是想要重新打包的文件名。-comp xz 告诉 mksquashfs 使用 xz 压缩算法，-b 64K 告诉 mksquashfs 使用 64K 的块大小。-noappend 告诉 mksquashfs 不要将新文件附加到现有文件中。

将out.fs覆写在原固件文件系统处并调整固件中相应size和crc字段值。

最后通过sd卡刷入固件，文件系统成功启动，telnetd也成功启动，通过telnet直接连接到摄像头shell。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)