Firmware Over-The-Air（FOTA）技术是物联网（IoT）设备维护和管理的关键手段之一。随着智能设备的广泛部署，传统的手动固件升级方式已难以满足大规模、远程管理的需求。FOTA通过无线方式远程更新固件，使设备能够修复漏洞、优化性能、增强安全性并提供新功能，而无需用户手动干预或返回服务中心。其主要优势包括：

DWR-932是一款广泛应用的便携式4G LTE路由器，支持多种网络模式，主要用于移动网络共享。其FOTA升级机制是嵌入式系统中典型的无线固件升级方案，涵盖了：

逆向分析后绘制的FOTA更新流程图：

DWR-932的FOTA机制具有一定的安全设计，如固件校验和分区保护，但仍然存在潜在漏洞，值得深入研究。

本文的主要目标是：

最终，希望本文能为物联网设备FOTA机制的安全性研究提供借鉴，并为嵌入式安全研究者提供实用的分析思路和工具使用技巧。

FOTA的定义：FOTA（Firmware Over-The-Air），即固件无线升级，是一种通过无线通信网络远程更新嵌入式设备固件的软件技术，常用于物联网设备、智能家居设备、汽车电子等领域。

嵌入式系统固件一般包含以下几个部分：

常见固件文件格式：

Unix域套接字（Unix Domain Socket, UDS）是一种本地进程间通信（IPC）机制，类似于TCP/IP套接字，但仅限于本机通信。相比于管道和消息队列，Unix域套接字性能更高，适用于嵌入式系统中的进程交互。

在DWR-932路由器中，FOTA使用了Unix域套接字/var/usock/appmgr.us进行通信：

固件下载地址：e49K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3N6s2m8Q4x3X3g2V1L8r3W2F1K9#2)9J5k6h3c8W2i4K6u0r3k6s2N6J5i4K6u0r3k6s2N6J5i4K6u0V1z5e0x3J5i4K6u0r3j5i4u0U0K9r3W2$3k6g2)9J5c8X3c8J5K9i4k6W2M7W2)9#2k6Y4y4G2k6Y4c8%4j5i4u0W2i4K6u0r3c8q4N6d9i4K6u0V1z5e0x3J5i4K6g2X3k6Y4N6Q4y4h3k6J5k6i4k6T1i4K6g2X3x3U0l9J5k6i4g2Q4y4h3k6m8e0p5I4Q4y4h3k6E0N6h3I4@1K9g2)9#2k6U0t1H3x3e0f1H3x3e0p5&6i4K6u0W2P5X3W2H3
固件解压缩：PLC_1earn/1earn/Security/IOT/固件安全/实验/Dlink_DWR-932B路由器固件分析.md at master · dbshow/PLC_1earn

手动解压发现压缩包被加密了：

解压密码是：beUT9Z

由于下载的固件是可以被路由器下载并且解压更新的所以程序中一定会将压缩包的压缩密码进行硬编码，所以直接搜索程序中那个地方使用unzip进行解压的时候使用了密码参数就可以锁定了：

直接将prefota拖入IDA查找字符串就可以锁定！

直接使用交叉引用很快就会发现密码所来自的字段是model_name：

直接字符串搜索就可以锁定目标！

发现文件大部分都是yaffs直接安装工具进行解压：

解包出来非常多的文件系统，每个都需要查看，因为不同的文件系统都放置再不同的分区：
在逆向分析的过程中一开始只查看了2K-mdm-image-mdm9625.yaffs2这个文件系统导致文件不全，浪费了很多时间.

下面对这些以“2K-”开头的文件做个说明，重点解释它们在固件中的作用：

总结来说，所有以“2K-”开头的文件都是固件包的重要组成部分，分别负责启动、运行、恢复以及数据完整性校验。仔细看发现 pre-fota.sh 脚本在用户文件系统映像（2K-mdm9625-usr-image.usrfs.yaffs2）中，而在系统映像（2K-mdm-image-mdm9625.yaffs2）中调用该脚本，正体现了固件设计中将核心系统和用户数据分离管理的思想。

有fota相关知识可知，在加上init里面的shell脚本和字符串upgrade,可以锁定/sbin/fotad程序被用于FOTA固件更新！

start函数与_libc_start_main的调用逻辑。

这个函数是程序的入口点（start），负责初始化程序并调用 main 函数。

分析一下init初始化函数进行的操作：

初始化函数（sub_9840）与性能监控（gmon）的关系。

在程序启动时，根据是否启用性能分析（gmon）动态选择执行性能分析初始化或默认初始化代码。

这里的初始化函数是：loc_D94C

启动FOTA监控线程，用于固件升级状态的实时监控，若线程创建失败则记录错误日志。

实时监控FOTA固件升级状态，从 /proc/fota/info 文件中读取升级进度和版本号，并通过回调函数 Update_FOTA_Status_D74C 上报状态信息。

该函数是FOTA守护进程的主函数，负责初始化配置、监听控制命令，并根据接收到的命令执行固件升级操作。
sub_E344：消息处理函数，负责解析命令和执行升级操作，需分析其实现以了解核心升级逻辑。

sub_E344 函数是FOTA（Firmware Over-The-Air，固件无线升级）更新过程中的核心状态管理函数，通过状态机机制（switch 语句）协调和管理固件升级的各个阶段。

继续逆向分析如何才能找到固件下载完成后如何对固件进行操作的函数，可以继续看下这个函数：

该函数的主要功能是记录并上报FOTA（固件无线升级）过程中的状态信息，具体包括工作状态、错误码、下载/上传进度等，并将这些信息写入状态文件后通过消息机制发送给应用管理器。其核心操作可分解为：

我们可以发现程序通过进程通信与其他程序进行交互来完成整个升级过程，可以根据/var/fota/fotad.status文件，或者appmgr.us来寻找目标，找到之后就可以开始逆向分析快进程交互管理模块appmgr：

直接将bin/appmgr拖入IDA中！
直接阅读这整个main函数的代码：

简化以后的伪代码：

我们需要重点关心的模块是模块3：可以去看看具体的伪代码：

这段代码是应用程序管理器（appmgr）的核心初始化部分，负责系统的启动、模块管理和运行准备。
我们可以根据变量去查看一下他具体管理了哪一些程序！

模块列表定义在.data.rel.ro:00082AC4至.data.rel.ro:00082B48，包括以下功能模块：

我们主要是分析mod_fota：固件在线升级模块的功能继续查看！

数据接收（recv）与消息处理（appmgr_ev_process）和modfota_msg_handle函数的FOTA命令处理逻辑。

发现关键部分：

根据前面逆向分析的结果我们可以知道网络数据传输被被绑定到了Unix 域套接字 fd 中：

Unix 域套接字（Unix Domain Socket）连接： 根据代码的上下文，在之前的代码部分，程序通过 socket 和 bind 创建了一个 Unix 域套接字，套接字路径为 /var/usock/appmgr.us。如果套接字没有被占用，它会被绑定并用于进程间通信（IPC）。

n27 = recv(fd, ptr, 0x101Cu, 16448); 这一行从 Unix 域套接字 fd 中接收最多 4140 字节的数据，并将接收到的数据存储到 ptr 中。数据来源于其他进程通过同一套接字发送的消息，用于进程间通信（IPC）。

这里又回到了fotad运行时候会将运行的数据传入appmgr.us文件中，通过该文件实现了进程通信！

现在找到了将appmgr程序发现他是该路由器的一个主控程序，并且找到了appmgr与fotad进程的跨进程通信的交互代码，由此可以继续分析出固件是如何更新的！

根据这个代码我们可以找到会被主动调用的fotad的主要功能：

发现会调用模块表中某一模块的第4个值：

该函数 modfota_msg_handle 主要处理与 FOTA（固件空中升级）相关的消息。根据接收到的消息 ID，它会根据不同的情况执行不同的操作，例如获取固件升级状态、执行固件升级、准备升级、获取磁盘空间等。它还与系统状态进行交互，记录日志，并向其他模块或进程发送回馈。

接下来就可以继续了！

参数解析与模式切换（prepare/start）和调用prefota执行升级准备与触发。

pre-fota.sh脚本的内容：

当脚本以 -a start 参数启动时，do_pre_fota_parser 函数通过 case 语句匹配 -a 选项，并将 fota_mode 设置为 2
调用 do_pre_fota_active 函数，根据 fota_mode=2 执行以下操作：

prefota --start的逆向分析和调用flash_erase和nandwrite完成固件刷写。
将prefota拖入IDA后可以很快得到需要的数据：

该代码是FOTA（固件无线更新）的主控制程序，根据命令行参数（prefota/fota和--prepare/--start）控制固件更新的预升级（Pre-FOTA）和主升级（FOTA）流程.

通过分析上述函数，可还原FOTA更新的核心流程：

更加详细的解析：

该函数 sub_9CAC 是 FOTA升级的核心执行模块，根据全局标志 dword_CB04 区分 预升级（Pre-FOTA） 和 主升级（FOTA） 阶段，完成固件文件的解压、哈希校验与分区写入操作，确保关键组件（如引导程序或恢复镜像）的安全更新。

该函数 sub_9BE0 是 FOTA升级中固件文件写入闪存（MTD设备）的核心模块，根据文件名匹配预定义的分区配置表（结构体），调用底层接口完成 闪存擦除与写入操作，并支持 多分区保护模式（如A/B分区冗余设计）和 日志记录，确保固件正确刷入目标硬件分区。

我们也可以直接进入去查看：

直接根据前面的偏移可以逆向分析出这个结构体的数据，使用idapython打印出来：

lcdd程序的事件队列与固件升级命令和数据结构（byte_CB40）的动态解析。
最后发现固件更新命令还调用了一个程序： system("lcdd fw-upgrade 1 &") 执行并启动固件升级。
继续寻找：

OK接下来就是继续的逆向分析了！
这部分的逆向也比较简单

继续往内部看：

该代码段是嵌入式系统中典型的“命令响应-事件驱动”设计，适用于路由器、IoT 设备等需固件升级的场景。

FOTA（Firmware Over-the-Air）固件升级流程主要涉及从固件下载到刷写的完整链路，整体可分为以下几个阶段：

整个 FOTA 升级过程中，多个核心组件相互协作，共同完成下载、验证、刷写及状态更新：

在进行FOTA（Firmware Over-the-Air）固件升级逆向分析时，以下参考资料可能对您有所帮助：