Use for free/open reverse engi…

# 用Ghidra无头模式定位路由器固件Telnet密码校验函数

一、前置准备

• 确认架构：先用 binwalk 或 file 确认固件架构（常见为 MIPS/MIPSel/ARM），这决定Ghidra的分析器选择。
• 分离内核与文件系统：固件bin通常是“ bootloader + 内核 + squashfs ”的混合体，直接整体分析效果差。建议：
• binwalk -Me firmware.bin 自动递归提取出文件系统
• 找到 telnetd 或 busybox 等二进制文件（find ./squashfs-root -name "*telnet*"），这才是重点分析对象，而非整个bin。
• 安装JDK 11+和Ghidra，写好分析脚本目录。

二、无头模式基本流程

```bash

analyzeHeadless /path/to/project ProjName \

-import busybox \

-processor MIPS:LE:32:default \

-loader ElfLoader \

-postScript FindTelnetAuth.java \

-scriptPath /path/to/scripts

```

三、定位校验函数的思路（脚本或手动结合）

• 导入符号表线索：若固件未strip，直接搜符号 telnetd、login、checkpasswd、auth 等字符串交叉引用。
• 字符串交叉引用法（最实用）：

1. 用 strings 在二进制中搜 "Password:"、"Login incorrect"、"passwd" 等提示串

2. 在脚本中调用 findBytes / 遍历 Undefined 数据，对含这些字符串的地址执行 getReferencesTo()

3. 引用来源函数即处理登录流程的函数，其内部调用的比较函数（调用 strcmp/自定义比较）大概率是密码校验点。

• 加密校验特征：部分固件校验的是MD5/DES crypt结果，可搜 crypt、md5 相关导入符号的调用点。
• 配合反编译：无头模式可用 DecompInterface 输出C伪代码到文件，离线人工确认逻辑（如比较失败则 exit/发送失败消息）。

四、验证与注意事项

• 验证：确认函数地址后，可用qemu-user（qemu-mipsel -g 1234）动态调试验证输入路径是否经过该函数。
• 常见坑：
• 裸bin无ELF头时Ghidra加载地址需手动指定基址（参考bootloader或binwalk报告的偏移）
• 大小端搞错会导致分析完全失效
• 密码可能不是明文比较，而是hash后比较，或写死在NVRAM配置中（bin里可能只有读取逻辑）。

五、产出物

• 校验函数起始地址（Ghidra中格式如 0040xxxx）
• 反编译伪代码 + 调用链截图/文本
• 若密码硬编码，通常在 .rodata 段可找到明文或其hash。