在网络安全领域，后门一词往往会让人联想到隐藏的恶意代码、秘密网络通道以及无法检测到的攻击向量。尽管软件后门闻名遐迩，固件和硬件后门则展现出更为阴险的威胁。这些后门可以为攻击者提供持久且难以检测的访问，从而破坏即使是最全面的安全控制。
本文深入探讨了固件后门（也称为硬件后门），解释它们如何工作、如何被发现、现实攻击例子，以及最重要的是用于保护基础设施的可操作技术。
固件后门是在运行硬件设备的低级代码（固件）中存在的故意或意外漏洞。有时这些是由制造商安装用于维护，但通常它们被威胁行为者利用（甚至植入）以获得持久的、特权设备访问。
硬件后门进一步延伸：它们是物理或逻辑修改/增加到实际硬件上的（如主板上的芯片），可以让攻击者拥有基本控制权。正如BlackFog所定义的：
固件后门：存在于硬件组件中，这些后门可以让攻击者对设备进行基本控制。
固件和硬件后门通过将自己深嵌在设备的最深层中发挥作用，通常在固件图像中，如：
一旦设备在固件/硬件层被攻破，攻击者可以：
**例子：**一个被攻陷的网络卡可以发送或接收操作系统或其日志工具看不见的指令控制流量。
最著名的例子之一是BadUSB。研究人员展示了USB固件如何被重新编程成一个恶意设备，模拟键盘或每次插入计算机时注入恶意软件。
Snowden泄露揭示了情报机构如何拦截和在硬件中植入隐蔽芯片或固件以达到对高端目标的硬件层间谍行为。
2018年，彭博社声称分包商嵌入的微小芯片被用于在提供给美国公司的硬件中创建后门。（注意这个故事在业内仍有争议。）
在2015年，Juniper Networks揭示其防火墙固件中的未经授权代码使得攻击者可以解密VPN流量并获得远程访问权——一个经典的固件后门。
2018年，LoJax恶意软件被发现感染了Windows系统的UEFI固件，攻击者即使在硬盘更换或操作系统重新安装后还能够保持持续存在。
大多数传统安全解决方案假定硬件和固件是可信的。检测变得复杂是因为：
虽然挑战重重，但是通过手动和自动技术检测固件和硬件中的后门是可能的。
**重要提示：**除非您百分百确定自己的行为，否则切勿在生产或关键设备上尝试硬件取证或固件修改！错误可能导致设备变“砖”。
固件后门常常“呼叫主机”或建立C2（命令与控制）通道。使用工具如Wireshark或tcpdump嗅探异常的网络模式。
sudo tcpdump -i eth0 port not 22 and port not 80 and port not 443
from scapy.all import rdpcap
suspicious_ports = [1337, 12345, 54321] # 示例后门端口
packets = rdpcap('capture.pcap')
for pkt in packets:
if pkt.haslayer('TCP') and pkt[TCP].dport in suspicious_ports:
print(f"Suspicious packet: {pkt.summary()}")
获取设备的固件映像，然后将其加密哈希与已知良好样本进行比较。
Bash示例：
dd if=/dev/mtd0 of=firmware-dump.bin # 从闪存中转储
sha256sum firmware-dump.bin
将输出与设备制造商提供的已知良好哈希进行匹配。
Chipsec）Chipsec是一个平台安全评估框架，可以检测固件感染。
sudo chipsec_main -m tools.uefi.whitelist
高级反后门团队可能使用的技术包括：
对于UEFI固件：
FWUPD用于厂商支持的设备：fwupdmgr get-devices
fwupdmgr get-history
对于嵌入式Linux设备：
dd if=/dev/mtd0 of=firmware.bin
strings firmware.bin | grep -i password
binwalk可以分析和提取固件图像的组件。
binwalk -e firmware.bin
通常，硬编码后门用户名/密码会在固件中泄露。使用grep：
strings firmware.bin | grep -Ei 'admin|root|backdoor|debug|test'
示例Bash脚本用于搜索硬编码凭据：
#!/bin/bash
for img in *.bin; do
echo "Analyzing $img..."
strings "$img" | grep -E "admin|backdoor|debug"
done
使用Binwalk和Strings的Python示例：
import os
for fwfile in os.listdir('.'):
if fwfile.endswith('.bin'):
with open(fwfile, 'rb') as f:
contents = f.read().decode(errors='ignore')
if 'backdoor' in contents or 'debug' in contents:
print(f"Potential backdoor keyword in {fwfile}")
FruityWiFi或固件分析工具包（FAT）进行全面的分析和提取。随着供应链攻击复杂性的提升，业界正在作出响应：
但战争仍在继续。攻击者不断寻找更低级别、更不受监控的攻击面。
固件和硬件后门是现代网络安全中最隐蔽且最持久的威胁之一。它们保持隐藏、在删除后依然存在且在特权级别运作的能力意味着个人和组织不仅需要警惕软件，还需关注技术栈的固件和硬件根本。
该领域的安全性需要对设备的深度理解、强大的内部检测机制、可信的供应链以及对最新研究和新兴威胁的持续关注。
对威胁检测和硬件安全的深入探讨感兴趣吗？欢迎订阅或在下方留言提问！