WiFi 秘密、UART 锁定和闪存芯片损坏的故事

亲爱的堕落猫头鹰船，正如我们在上一篇文章中宣布的那样，我们敬爱的上帝调试器认为适合将他的神圣之光 - 充满操作码 - 投射到他卑微的仆人身上，我们在我们的寺庙里有一个新的布道。请坐下来听听我们的一只猫头鹰如何与他的姐夫一起剖析 Eufy 生态系统的下一个组成部分：Eufy HomeBase 2。我们将分析重点放在 Eufy Homebase2 而不是 Homebase3，因为正如我们在从门铃到家庭网络中所解释的那样，这是我发现在我的城市部署的版本，也是最容易购买的版本。我们这里分析的固件版本是3.4.2.2h (2026-06-05 18:45:48) 这是我第一次接触与“硬件”相关的东西。我总是在可以从互联网下载的固件上进行漏洞狩猎，所以请原谅我犯下的罪过重要！在继续阅读本文之前，您必须先阅读上一篇文章。目录 就像上一篇文章一样，我们将在这里讨论各种主题；因此，该团契的一些成员可能对某些部分不感兴趣，并可能希望直接跳到最吸引他们的部分。这就是为什么我们提供这份神圣的礼物：目录。在这个传奇的前一章中，我提到我们只能提取门铃的固件，因为 Homebase 的闪存直接焊接到板上，并且没有暴露任何可以连接测试挂钩来转储固件的引脚。最初我们不想拆焊它（尽管最终我们不得不这样做，我将在稍后解释），所以我不得不等待获得额外的硬件。 Craig S. Blackie 向我推荐了适合 Winbond 25Q256JWEQ (WSON8 8.6mm) 所需尺寸的弹簧夹。夹子到达后，我创建了可以想象到的最临时的设置，使用橡皮筋固定夹子，同时我继续使用 Raspberry Pi 的 SPI0 接口读取读数，就像我们对门铃所做的那样。设置使用橡皮筋来读取固件。我执行了三次读取，这三个具有不同的校验和，这通常表明出现了问题。检查完这些垃圾场后，我很快意识到它们都是垃圾，完全没有用处。与门铃不同的是，在这种情况下，为读取操作提供的电源还会激活板上与存储器交互的其他组件；因此，要提取固件，我们必须拆焊芯片并将其从板上读取。我的妹夫 ( Óscar Lestón ) 是拆焊闪存的勇敢者（我太害怕了，甚至不敢尝试）： 拆焊 虽然内存模块在拆下后看起来很糟糕，但几乎没有损坏...... 提取闪存 最后我们使用 Raspberry Pi SPI 0 复制相同的设置来转储固件。这次，三个转储具有相同的校验和并包含“有趣的数据”。唯一的问题是……一块 64kbs 的块被擦除/无法读取，很可能是因为我们在提取芯片时损坏了它。使用 Raspberry Pi 离线读取芯片 大多数固件都可以使用 Binwalk 提取。 /home/psyconauta/research/Eufy/homebase2-firmware/chipoff/STUFF/extracts/homestation2_firmware00。 bin ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 十进制 十六进制 说明 ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 83328 0x14580 U - 启动版本字符串：1。 1. 3 (Jun 14 2023 - 16:18:56) 3022226 0x2E1D92 XZ 压缩数据，总大小：11514432 字节 14536660 0xDDCFD4 XZ 压缩数据，总大小：2200 字节 14538862 0xDDD86E XZ 压缩数据，总大小：2084 字节 14540948 0xDDE094 XZ 压缩数据，总大小：1868 字节 14542818 0xDDE7E2 XZ 压缩数据，总大小：168 字节 14542988 0xDDE88C XZ 压缩数据，总大小：4192 字节14547182 0xDDF8EE XZ 压缩数据，总大小：2844 字节 14550028 0xDE040C XZ 压缩数据，总大小：244 字节 14550282 0xDE050A XZ 压缩数据，总大小：1452 字节 15138816 0xE70000 uImage 固件镜像，标头大小：64 字节，数据大小：3429849 字节，压缩：lzma，CPU：MIPS32，操作系统：Linux，镜像类型：操作系统内核镜像，加载地址：0x80000000，入口点：0x802E04F0，创建时间：2023-06-14 12： 56：37，映像名称：“Linux Kernel Image”21233664 0x1440000 JFFS2 文件系统，小端，节点：3426，总大小：12255244 字节 一些部分已恢复，其他部分没有。因为有很多 XS 流，所以我们选择愚蠢的（或者可能是 n