UEFI固件的启发式逆向分析与模糊测试方法

统一可扩展固件接口(Unified Extensible Firmware Interface,简称UEFI),作为新一代固件接口标准,广泛应用于现代计算机系统,但其漏洞可能引发严重安全威胁.为了减少UEFI漏洞引发的安全问题,需要进行漏洞检测.而第三方安全测试场景下的模糊测试是检测的主要手段.但符号信息的缺失影响了测试效率.本文提出了一种启发式的UEFI逆向分析方法,恢复固件中的符号信息,改进模糊测试并实现了原型系统ReUEFuzzer.通过对来自4个厂商的525个EFI文件进行测试,证明了逆向分析方法的有效性.ReUEFuzzer可以提升函数测试覆盖率,并在测试过程中发现了一个零日漏洞,已报告给国家信息安全漏洞共享平台以及公共漏洞和暴露系统. 实验证明,本文方法在UEFI漏洞检测方面具有有效性,可以为UEFI安全提供一定的保障.     

基于UEFI固件的恶意代码防范技术研究

统一可扩展固件接口(UEFI)缺乏相应的安全保障机制,易受恶意代码的攻击,而传统的计算机安全系统无法为固件启动过程和操作系统引导过程提供安全保护。针对上述问题,设计基于UEFI的恶意代码防范系统。该系统利用多模式匹配算法实现特征码检测引擎,用于在计算机启动过程中检测与清除恶意代码,并提供恶意启动项处理及系统内核文件备份等功能。实验结果证明,该系统能为固件及上层操作系统提供完善的安全保护,且代码尺寸小、检测速度快,恶意代码识别率高。     

基于EFI驱动-协议模型的自我认证测试系统

可扩展固件接口（EFI）规范为操作系统与平台固件之间的接口定义了一个崭新的模型。它们为启动一个操作系统与执行启动前程序提供了一个标准环境。可扩展固件接口的自我认证测试系统（SCT）利用EFI的驱动一协议模型通过统一的测试协议管理测试用例集合,用于验证一个EFI的实现是否符合EF11．1规范,并且实现了EFI测试的可扩展性和可移植性。该文介绍了EFI自我认证测试系统的原理,框架和流程。     

基于UEFI的胶囊式固件定制更新研究

当前固件刷新技术不灵活、不能单独更新功能模块,且各硬件平台、操作系统的更新数据传输接口不统一。为解决上述问题,基于统一可扩展固件接口(UEFI)规范的EDKⅡ,提出一种胶囊(Capsule)式固件更新方法,将更新数据封装为Capsule,在固件层对Capsule进行识别、析取,把获取数据写入固件文件系统的更新目标地址,实现对固件系统内核函数、驱动模块、协议、应用程序等的更新、修复。该方法在操作系统加载前实现指定功能模块的定制更新和维护,不限制更新模块的容量,可解决传统固件更新方法过于依赖硬件、操作系统的问题,具有安全、高效、灵活、实用性强的特点。     

基于统一可扩展固件接口的可信密码模块驱动研究与设计

为扩展可信密码模块（TCM）的应用范围,提高终端与云平台的安全与可信性,在分析TCM的应用现状及发展趋势的基础上,提出了基于统一可扩展固件接口（UEFI）的TCM驱动架构,设计了基于该架构的底层驱动接口及核心协议。该驱动采用模块化设计,分层实现,将各层接口封装成协议并注册到UEFI系统,完成了底层数据流收发和协议封装。经过一致性测试、功能测试和压力测试,验证了该设计的准确性和有效性,并以产业界应用该模型的使用情况,验证了设计的实用性。     

嵌入式设备固件仿真器综述

随着物联网(IoT)技术的发展,嵌入式设备面临更加严峻的安全威胁,特别是嵌入式设备漏洞严重影响物联网产业的安全发展.但受限于嵌入式设备自身硬件资源的限制,通用计算机系统常用的动态漏洞检测技术,例如模糊测试难以直接应用到嵌入式设备上.因此,近年来嵌入式设备固件仿真技术成为学术界的研究热点,通过对嵌入式设备硬件依赖的仿真或替换,可以将模糊测试、符号执行等通用高效漏洞检测技术应用于嵌入式设备.围绕最新嵌入式设备仿真技术,搜集整理近年来国际顶级学术论文,对相关研究成果进行归纳、总结.基于采用的仿真技术和衍生关系进行分类介绍,然后对这些固件仿真器进行评估和细化比较,为使用者选择固件仿真器提供技术参考.最后,根据当前嵌入式设备固件仿真器的现状,提出固件仿真器的挑战和机遇,对固件仿真器的研究进行了展望.     

统一可扩展固件接口攻击方法研究

通过分析统一可扩展固件接口(UEFI)的体系架构和执行流程,发现由于未对加载的可扩展固件接口(EFI)驱动和应用程序进行校验,导致其存在安全隐患,并相应提出3种UEFI的攻击方法,即感染OS Loader、篡改NVRAM变量和插入EFI runtime driver。分析结果表明,这3种方法都能实现操作系统内核劫持。     

基于同源性分析的嵌入式设备固件漏洞检测

嵌入式设备的制造过程研产分离,导致不同的固件可能包含相同的第三方库,进而相同设备的不同版本甚至是不同设备的固件中都存在大量相同的已公开漏洞。针对该问题,基于第三方库同源性分析提出一种嵌入式设备固件漏洞检测方法,为固件漏洞修复提供参考,减少不必要的重复分析。通过对固件分类,并采用二进制差量分析、字符串常量匹配、模糊哈希3种方法分析第三方库同源性,从而检测同类固件中存在的漏洞。实验结果表明,该方法能够有效检测D-Link系列路由器固件中的缓冲区溢出和越界漏洞,以及Linksys系列路由器固件中的远程命令注入漏洞。     

基于软硬件协同形式验证的固件漏洞分析技术

为了系统高效地分析固件中潜在的安全隐患,提出了一种基于行为时序逻辑 TLA 的软硬件协同形式验证方法。通过对固件工作过程中的软硬件交互机制进行形式建模分析,在动态调整攻击模型的基础上,发现了固件更新过程中存在的安全漏洞,并通过实验证实了该漏洞的存在,从而证明了形式验证方法的可靠性。     

基于UEFI固件的Windows Abnormal Shutdown问题分析

简要介绍了UEFI固件的组成及Windows操作系统的历史,详细介绍了导致Windows Abnormal Shutdown问题的原因及基于UEFI固件的分析造成这个原因的方法,并给出了部分程序代码.     

EFI OS Loader安全加固技术的研究与实现

对统一可扩展固件接口(UEFI)的体系架构和执行流程进行安全性分析,发现Windows启动过程中EFI OS Loader的可信性校验存在安全漏洞,其可导致Windows启动流程被劫持。针对该安全漏洞,从文件分离保护、开机身份认证和系统关键区域防护3个层次出发,提出了一种基于USB Key启动、动态口令手机令牌和EFI安全防护软件的三层安全加固的方案。将EFI OS Loader文件存放在USB Key中并加密,实现对文件的保护;把动态口令认证服务端置于USB Key中,两者的有机结合实现了高强度的开机身份认证;设计并开发了遵循UEFI规范的EFI应用程序型安全防护软件,实现了对系统关键区域的保护。实验结果表明,该方案的双认证与安全防护机制弥补了相关安全漏洞,增强了计算机系统启动过程的安全性。     

基于动态安全属性保护的可信固件

遵循TCG可信计算的固件通过可信度量和信任传递保证固件模块及OS Loader的完整性。这种可信固件当前实现的缺点在于只保护了系统的静态安全属性,而对动态安全属性保护无能为力。基于此,通过对固件代码和数据的分类研究,对固件代码和数据进行安全分级控制,提出固件动态安全属性保护模型,在EFI/UEFI可信固件的基础上实现动态安全属性的保护。实验证明,该方法简单有效,适合于固件代码尺寸小、启动速度快的要求。     

基于UEFI的嵌入式驱动程序的开发研究

为了解决传统基本输入输出系统(basic input output system,BIOS)的种种弊端,提出了统一的可扩展固件接口(unified extensible firmware interface,UEFI)标准,UEFI广泛应用在BIOS和嵌入设备等装置中.基于UEFI 2.3的规范说明文档,分析了UEFI驱动程序构成,重点介绍了驱动程序模型,并给出EFI开发工具包(E-FI development kit,EDK)下开发简单的驱动程序基本组成,从而归纳出在UEFI下开发驱动程序的通用方法.     

基于JTAG的嵌入式设备固件分析技术

传统的设备固件逆向分析方法在分析嵌入式设备固件时存在一定困难,针对该问题,提出基于JA T G的嵌入式设备固件动态分析方法。利用嵌入式设备提供的JT AG调试接口,在主机端设计并实现一个低成本的原型系统,能够对设备固件进行动态跟踪记录,分析固件的模块组成、设备启动流程和函数调用流程。通过对一台嵌入式Linux设备进行测试,验证了该系统能够准确地分析设备固件的运行机制,能够有效提升设备固件逆向分析效率。     

UEFI让系统安全从启动开始

为了防范优先启动的恶意软件,Windows 8引入了UEFI(统一扩展固件接口)安全启动功能来保障计算机启动阶段的安全。UEFI是取代BIOS的硬件固件接口,有了UEFI配合的Windows8可以支持从大于2.2TB的硬盘分区启动,可以验证启动文件签名,并使用更为安全的GPT分区格式启动,因而可以打造一个更为强大的启动环境。     

UEFI下基于USB的调试信息输出工具的设计与实现

为了解决传统基本输入输出系统(basic input output system,BIOS)的种种弊端,提出了统一的可扩展固件接口(uniffed extensible firmware interface,UEFI)标准,UEFI广泛应用在BIOS和嵌入设备等装置中.引入了通用串行总线(universl serial bus,USB)的体系结构,重点介绍了UEFI下基于USB的调试信息输出工具的设计原理、设计方案以及解决的一些细节问题.最后给出了一个利用该软件工具输出调试信息的实例,实现了Target端调试信息的输出并在Host端显示出来.     

嵌入式设备固件安全分析技术研究

随着嵌入式设备的种类和数量的增加,设备之间日益增长的互联互通、制造商对安全的忽视、设备固件更新不及时或难以更新等,使得嵌入式设备的安全受到了严峻的考验,越来越多的设备漏洞被披露.但由于嵌入式设备种类繁多、专用性强、源码或设计文档往往不公开、运行环境受限等诸多因素的影响,通用漏洞挖掘技术无法直接适配.近年来,国内外安全专家和学者针对嵌入式设备及其固件的安全分析和测评技术提出了很多切实可行的解决方案,但缺乏详细和全面介绍最新安全研究成果的论文,使得安全分析人员难以系统地了解嵌入式设备及其固件安全分析技术的研究进展.本文围绕着当前嵌入式设备固件面临的安全风险,分析和总结了国内外最新的研究成果,并对相关安全技术进行了综合分析和评估.首先对嵌入式设备及其固件的表现形式、分类及获取方法、面临的安全攻击层面以及自动化解析情况进行了深入研究.然后,对嵌入式设备固件安全分析技术进行了细化分析,从静态分析、符号执行、二进制漏洞关联、动态分析平台和模糊测试等五个方面进行了详细分析和横向评估.最后对未来的研究方向进行了展望.     

基于UEFI的Flash更新的开发研究

为了解决当前BIOS(basic input output system,基本输入输出系统)Flash更新存在的种种弊端,提出了一种在UEFI(uni-fied extensible firmware interface,统一的可扩展固件接口)中实现Flash更新的方法。根据BIOS FLASH更新的特点,对其当前存在的问题进行分析,并基于UEFI2.3的规范说明文档,介绍了UEFI提供的技术支持手段。在此基础上,给出了在UEFI下Flash更新的具体方法,从而为提高Flash更新的统一性、有效性等问题提供了可行的解决途径。     

基于UEFI的Application和Driver的分析与开发

UEFI(Unified Extensible Firmware Interface,统一的可扩展固件接口)是由Intel提出的下一代BIOS构架.基于UEFI2.0规范,借助UEFI开发环境:Intel的EDK(EFI Develop Kit),对UEFI Application和UEFI Driver作了一定的分析,并通过两个例子分别予以实现.     

IA-64平台可扩展固件接口设计与开发

Intel IA-64体系结构采用了全新的固件模型,它分为三个不同的层次:处理器抽象层(PAL)、系统抽象层(SAL)、可扩展固件接口(EFI)。介绍IA-64平台可扩展固件接口的基本结构和在目标平台上的实现方法。详细描述Intel的可扩展固件接口实现EFI1_10_14_62,以及把它移植到目标平台时要进行的主要工作和通常所采用的调试手段。