本文作者：qret2libc

0x01. 摄像头卡刷初体验

最近研究了手上一台摄像头的sd卡刷机功能，该摄像头只支持fat32格式的sd卡，所以需要先把sd卡格式化为fat32，另外微软把fat32限制了最大容量32G，所以也只能用不大于32G的sd卡来刷机。

这里使用32G的sd卡来刷

win10格式化sd卡命令，X是sd卡所在磁盘名。

准备就绪，将固件直FIRMWARE.bin放SD卡根目录下， 长按reset键刷机。但是后面发现并未成功，刷完后成砖了，摄像头未能正常启动，此时刷入的还是正常固件，还未做任何篡改，却直接刷成砖，确实有点出师不利，一时间不知哪个环节出了问题。

0x02. 救“砖”行动

摄像头刷机后没能正常启动，考虑接上串口，看看哪里出了问题。

接上串口后，再次上电启动设备，观察到部分串口日志如下：

从日志信息可以看出，摄像头IP地址为192.168.1.10，tftp服务器地址为192.168.1.99，设备尝试从tftp服务器加载名为update.bin的固件失败。说明之前卡刷没有成功的情况下，现在设备上电后会主动尝试利用uboot中的tftp功能从192.168.1.99地址加载固件，但此时并不存在192.168.1.99服务器，所以摄像头上电后一直卡在这里，无法正常启动。

尝试利用tftp刷机拯救摄像头，由于设备启动时并不能成功打断uboot进入shell，所以我们无法直接通过uboot shell去修改默认的tftp服务器ip和其他操作，只能在PC上搭建一个tftp服务器并修改ip为192.168.1.99，将待刷固件命名为update.bin并放到tftp服务器文件目录。

tftp服务器准备就绪，再次上电启动设备，观察到设备成功从192.168.1.99服务器下载到固件，并写入flash，救“砖”成功。

后面再次按照sd卡刷流程尝试刷入正常固件，终于没有再出现成“砖”的状况。

ox03. 分析卡刷固件校验

正常的sd卡刷流程大致如下，首先断电，将存储固件的sd卡插入摄像头，按住reset键，接通电源，此时摄像头就会加载sd卡固件进行刷机.在刷写固件的过程中，按住reset键的作用是强制摄像头进入IPL模式（Initial Program Loader），也称为恢复模式。这个模式允许设备加载存储在SD卡中的新固件并更新原有的固件。在IPL模式下，设备将不会自动运行已有的固件，而是等待从SD卡加载新的固件进行刷写。因此，按住reset键是为了保证设备能够正确地进入IPL模式，从而完成固件的更新。在这个日志中，可以看到 IPL（Initial Program Loader）已经成功地加载，并且检查通过。

IPL_CUST 固件的作用是启动 U-Boot，然后由 U-Boot 来加载并运行设备的操作系统。在这个过程中，U-Boot 会从 SD 卡上读取固件，然后将它加载到摄像头的内存中，并启动 Linux 内核。因此，加载 sd卡固件的程序在U-Boot中，从上面日志可以看到uboot启动固件时首先对固件做了crc校验，所以篡改固件后需要还需要考虑过crc校验才可能刷写成功。

从uboot固件中也确实搜到上面日志中的crc校验相关字符串。

分析uboot中crc校验逻辑，逆向出修改固件后需要计算的相关字段。

0x04.定制文件系统

知道固件组成结构后，接下来就可以向固件文件系统中植入我们自己的程序，固件修改后，计算并调整固件中相应size和crc字段值，通过sd卡重新刷入设备。

使用buildroot编译一个包含telnet、ftp等功能的busybox，将新编译的busybox移植到摄像头原来的文件系统中。

下载Buildroot ，选择编译配置

接着编译BusyBox，将telnetd编译进去

以上设置完成后执行make进行编译，编译完成后在当前目录生成output文件夹，生成的telnetd是链接到busybox的，所以这里直接将

将busybox_hack添加到启动项中/etc_default/init.d/，并启动telnetd，-l 参数将其链接到/bin/sh，这样直接免密登录。

重新打包文件系统

其中 ./squashfs-root 是待打包的目录，out.fs 是想要重新打包的文件名。-comp xz 告诉 mksquashfs 使用 xz 压缩算法，-b 64K 告诉 mksquashfs 使用 64K 的块大小。-noappend 告诉 mksquashfs 不要将新文件附加到现有文件中。

将out.fs覆写在原固件文件系统处并调整固件中相应size和crc字段值。

最后通过sd卡刷入固件，文件系统成功启动，telnetd也成功启动，通过telnet直接连接到摄像头shell。