[原创]TD路由器固件解密-IoT安全-看雪安全社区｜专业技术交流与安全研究论坛

# TD路由器固件解密

## 目录
- [环境配置](#环境配置)
- [固件解密](#固件解密)
- [静态分析](#静态分析)
- [密钥获取](#密钥获取)

## 环境配置

版本 : <a href="elink@609K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2@1k6h3&6V1j5g2)9J5k6h3y4G2L8g2)9J5k6h3y4F1i4K6u0r3L8h3q4@1k6i4u0A6j5h3I4Q4x3V1k6K6K9r3!0%4i4K6u0r3y4U0x3$3y4e0p5H3y4U0t1@1x3K6M7@1z5o6f1K6">AX3000_Pro_V16.03.49.26</a>

分析工具 : <a href="elink@5e0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6I4K9h3I4A6L8X3N6X3M7X3q4E0k6i4N6G2M7X3E0Q4x3V1k6I4K9h3I4A6L8X3M7`.">qiling</a>

## 固件解密

首先使用binwalk -E查看固件的熵，显然固件是经过了加密。

![AX3000固件的熵](upload/attach/202511/920134_WZ3QR27WBQHSTF7.webp)

使用binwalk是无法分析的，但是使用在线binwalk竟然可以正常解压固件，于是把固件都下载下来进行分析，发现解密固件程序是decry_firm。

```bash
file decry_firm
decry_firm: ELF 64-bit LSB executable, ARM aarch64, version 1 (SYSV), dynamically linked, interpreter /lib/ld-musl-aarch64.so.1, stripped
```

由于是aarch64程序，可以使用qiling进行模拟执行。固件的rootfs目录结构如下：

```bash
tree rootfs/arm64_linux_tenda/
rootfs/arm64_linux_tenda/
├── bin
│   ├── arm64_hello_static
│   └── decry_firm
├── lib
│   ├── ld-musl-aarch64.so.1
│   ├── libc.so
│   └── libgcc_s.so.1
├── proc
│   └── sys
│       └── kernel
│           └── osrelease
└── temp
    └── US_AX3000.Pro_V16.03.49.26_cn_JAX01.bin

7 directories, 7 files
```

qiling代码如下:

```python
#!/usr/bin/env python3
# 
# Cross Platform and Multi Architecture Advanced Binary Emulation Framework
#

import sys
sys.path.append("..")

from qiling import Qiling
from qiling.const import QL_VERBOSE
from qiling.const import QL_INTERCEPT
import struct
import hexdump

def run_sandbox(path, rootfs):
    ql = Qiling(path, rootfs, verbose=QL_VERBOSE.DEFAULT, multithread=False)
    # ql.debugger = True 
    # ql.debugger = "qdb"
    ql.run()

if __name__ == "__main__":
    run_sandbox(["rootfs/arm64_linux_tenda/bin/decry_firm","/temp/US_AX3000.Pro_V16.03.49.26_cn_JAX01.bin"], "rootfs/arm64_linux_tenda")
```

运行完成后US_AX3000.Pro_V16.03.49.26_cn_JAX01.bin就解密了，本来是希望使用qiling的debugger功能来调试的，可能是由于调试程序不支持aarch64架构，没有调试成功。

## 静态分析

使用IDA进行静态分析，调用流程还是非常简单的。

start()->sub_4056F8()->sub_4052FC()->sub_404E1C()

sub_4052FC()函数代码如下:

![AES_1](upload/attach/202511/920134_YVZF63GT6Y3QAKX.webp)

sub_404E1C()函数代码如下:

![AES_2](upload/attach/202511/920134_V4HC87UKYHUKN4B.webp)

现在只需要HOOK sub_40827C() 来获取AES的KEY。

HOOK sub_408300() 来获取AES的IV。

## 密钥获取

HOOK AES KEY 代码：

```python
def hook_key(ql: Qiling) -> None:
    ql.log.info('--------- hook_key ---------')
    ql.log.info(f"0x{ql.arch.regs.x1:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x0,0X0F)
    hexdump.hexdump(struct_data)

ql.hook_address(hook_key, 0x405018)
```

HOOK AES 代码:

```python
def hook_aes(ql: Qiling) -> None:

ql.log.info('--------- hook_aes ---------')
    
    ql.log.info(f"0x{ql.arch.regs.x0:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x0,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x1:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x1,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x2:08X}")

ql.log.info(f"0x{ql.arch.regs.x3:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x3,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x4:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x4,0X0F)
    hexdump.hexdump(struct_data)

ql.emu_stop()

ql.hook_address(hook_aes, 0x4050E0)
```

hook_aes x0-x4的参数依次是:原始密文/明文地址/大小/轮密钥/IV。

```bash
[=]     --------- hook_key ---------
[=]     0x7FFFFFFFFAA0
00000000: ................................................  ................
[=]     --------- hook_aes ---------
[=]     0x7FFFFFFFBAA0
00000000: 7E 5D C6 3A BC D3 87 27  48 BD 9D 2B 7F 4D E6 68  ~].:...'H..+.M.h
00000010: 95 A8 AC 34 69 EE 7A 07  42 50 D4 EB 9E 7C 4C F6  ...4i.z.BP...|L.
00000020: 00 10 5C A3 28 5F 3F C1  49 4E 74 40 9C 49 C3 7B  ..\.(_?.INt@.I.{
00000030: 68 AA ED 16 E8 E8 86 A3  9F 69 9B BD 77 C4 B8 23  h........i..w..#
00000040: 73 60 24 AB 1C F5 0A 2A  6B 5B 34 66 F2 1E 75 76  s`$....*k[4f..uv
00000050: 46 2D 83 E4 08 FF A8 73  5A 75 C0 EE B9 01 79 A8  F-.....sZu....y.
00000060: 7C AB E2 97 96 C9 8D 5D  75 3F 2B 23 A8 1B DF 25  |......]u?+#...%
00000070: EB BB 7A 80 61 14 B2 04  8C FE 91 42 D3 99 FC C8  ..z.a......B....
[=]     0x7FFFB7DF9000
00000000: 00 DE 14 60 7F 73 E9 2B  3E 18 D5 85 D6 8A E4 CC  ...`.s.+>.......
00000010: A3 06 35 B1 17 9C BC 3E  73 64 01 92 4C A5 F3 D0  ..5....>sd..L...
00000020: C6 39 88 FE 66 65 A1 11  19 8A F1 D3 F5 CB 04 1A  .9..fe..........
00000030: 9A C9 6C B7 34 00 2C 62  7A 8E E1 4D 31 B0 57 35  ..l.4.,bz..M1.W5
00000040: 10 11 19 44 09 47 97 AF  67 ED F2 AC C8 6E A9 5A  ...D.G..g....n.Z
00000050: C3 D0 C0 10 23 B3 3E EE  92 81 7B 18 AB 45 D4 0C  ....#.>...{..E..
00000060: CD 34 06 9E 18 EF 9F 05  41 CF 13 8F F5 CA 52 BE  .4......A.....R.
00000070: C2 C7 C2 A8 6A C7 11 20  A1 4E 96 79 6C CB 84 A9  ....j.. .N.yl...
[=]     0x00004000
[=]     0x7FFFFFFFFAA0
00000000: 1B F0 5A 24 1F FE F5 E1  CA E0 A5 8B 54 9B 9B 5C  ..Z$........T..\
00000010: 41 CD 45 FC 4A 56 21 5D  AA 60 D6 ED D6 40 6E F4  A.E.JV!].`...@n.
00000020: 00 2B 33 2D 0B 9B 64 A1  E0 36 F7 B0 7C 20 B8 19  .+3-..d..6..| ..
00000030: CD 67 6B 19 0B B0 57 8C  EB AD 93 11 9C 16 4F A9  .gk...W.......O.
00000040: 4A 07 FB 65 C6 D7 3C 95  E0 1D C4 9D 77 BB DC B8  J..e..<.....w...
00000050: B6 C9 9F F0 8C D0 C7 F0  26 CA F8 08 97 A6 18 25  ........&......%
00000060: 08 83 CA FB 3A 19 58 00  AA 1A 3F F8 B1 6C E0 2D  ....:.X...?..l.-
00000070: D8 6D 00 92 32 9A 92 FB  90 03 67 F8 1B 76 DF D5  .m..2.....g..v..
[=]     0x7FFFFFFFFBD8
00000000: ................................................  ................
```

qiling的完整代码如下：

```python
#!/usr/bin/env python3
# 
# Cross Platform and Multi Architecture Advanced Binary Emulation Framework
#

import sys
sys.path.append("..")

from qiling import Qiling
from qiling.const import QL_VERBOSE
from qiling.const import QL_INTERCEPT
import struct
import hexdump

def hook_key(ql: Qiling) -> None:
    ql.log.info('--------- hook_key ---------')
    ql.log.info(f"0x{ql.arch.regs.x1:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x0,0X0F)
    hexdump.hexdump(struct_data)

def hook_aes(ql: Qiling) -> None:

ql.log.info('--------- hook_aes ---------')
    
    ql.log.info(f"0x{ql.arch.regs.x0:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x0,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x1:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x1,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x2:08X}")

ql.log.info(f"0x{ql.arch.regs.x3:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x3,0X80)
    hexdump.hexdump(struct_data)

ql.log.info(f"0x{ql.arch.regs.x4:08X}")
    struct_data = ql.mem.read(ql.arch.regs.x4,0X0F)
    hexdump.hexdump(struct_data)

ql.emu_stop()

def run_sandbox(path, rootfs):
    ql = Qiling(path, rootfs, verbose=QL_VERBOSE.DEFAULT, multithread=False)
    # ql.debugger = True
    # ql.debugger = "qdb"
    ql.hook_address(hook_key, 0x405018)
    ql.hook_address(hook_aes, 0x4050E0)
    ql.run()

if __name__ == "__main__":
    run_sandbox(["rootfs/arm64_linux_tenda/bin/decry_firm","/temp/US_AX3000.Pro_V16.03.49.26_cn_JAX01.bin"], "rootfs/arm64_linux_tenda")
```

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-11-18 11:37 被易之生生编辑，原因：

最新回复 (58) 1 2 3 ▶
LoginUser 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 46 粉丝 0 关注私信	LoginUser 2 楼感谢分享 2025-11-19 09:15 0
mb_zyrvrlvx 雪币： 711 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_zyrvrlvx 3 楼师傅，前面部分的图片是不是没传上来 2025-11-21 17:57 0
mb_zyrvrlvx 雪币： 711 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_zyrvrlvx 4 楼抱歉，我这网卡了 2025-11-21 18:14 0
wx_WantC 雪币： 749 活跃值： (558) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 1 关注私信	wx_WantC 5 楼学习了 2025-11-21 22:52 0
michallsun 雪币： 4 活跃值： (1301) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 89 粉丝 0 关注私信	michallsun 6 楼感谢分享 2025-11-24 07:46 0
鸡鸡腰上缠雪币： 246 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 1 关注私信	鸡鸡腰上缠 7 楼学习了 2025-11-24 08:13 0
wx_IT_717 雪币： 3013 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 104 粉丝 0 关注私信	wx_IT_717 8 楼感谢分享，学习一下 2025-11-24 08:43 0
mb_mrjjcxgk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 82 粉丝 0 关注私信	mb_mrjjcxgk 9 楼 66 2025-11-24 14:13 0
whydbg 雪币： 1430 活跃值： (5787) 能力值： ( LV9，RANK：156 ) 在线值：发帖 0 回帖 137 粉丝 1 关注私信	whydbg 10 楼感谢分享 2025-11-24 17:13 0
liert 雪币： 214 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	liert 11 楼感谢分享 2025-12-1 17:30 0
liert 雪币： 214 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	liert 12 楼 decry_firm是在线binwalk提取出来的吗，有链接吗或者能不能发下decry_firm 2025-12-1 17:37 1
mb_vwuaejat 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	mb_vwuaejat 13 楼感谢分享 2025-12-9 20:57 0
leopadpanzer 雪币： 226 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	leopadpanzer 14 楼大佬是不是有些图挂了 2025-12-10 09:54 0
luoye_ATL 雪币： 1373 活跃值： (1749) 能力值： ( LV5，RANK：78 ) 在线值：发帖 2 回帖 21 粉丝 26 关注私信	luoye_ATL 15 楼感谢分享 2025-12-12 11:51 0
wx_。tao 雪币： 0 活跃值： (180) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_。tao 16 楼 111 2025-12-25 08:51 0
wx_。tao 雪币： 0 活跃值： (180) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_。tao 17 楼大佬，在线binwalk网站能不能分享一下 2025-12-25 08:53 1
赫拉酸酸乳雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	赫拉酸酸乳 18 楼感谢分享 2026-1-5 14:03 0
jindaxia 雪币： 260 活跃值： (384) 能力值： ( LV2，RANK：15 ) 在线值：发帖 1 回帖 12 粉丝 0 关注私信	jindaxia 19 楼感谢分享 2026-1-5 14:06 0
YiShengJun 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	YiShengJun 20 楼感谢分享 2026-1-8 17:51 0
mb_qimctavn 雪币： 5254 活跃值： (6670) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 392 粉丝 1 关注私信	mb_qimctavn 21 楼 6 2026-1-8 18:16 0
k2l 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	k2l 22 楼 6 2026-1-9 09:13 0
mb_nlzinuqo 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_nlzinuqo 23 楼 6 2026-1-19 16:35 0
天雪币： 0 活跃值： (60) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	天 24 楼 6 2026-1-19 18:29 0
mb_ouitisav 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_ouitisav 25 楼 6 2026-1-20 09:00 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复