是否可以拍摄 HDD 和 SSD 的固件图像?

信息安全 固件 固态硬盘 磁盘映像
2021-09-01 18:45:32

我怀疑我的 HDD 和 SSD 都可能被感染了。是否可以拍摄固件的图像?我该怎么做呢?

2个回答

有写固件的标准,ATADOWNLOAD_MICROCODE命令和分段版本(传输协议3),但没有读回固件的标准。正如另一个答案所说,一些制造商可能会添加自己的供应商特定技术来做到这一点。

还有另一种访问固件可靠方法,但不能通过软件完成。打开驱动器以查看控制器将显示固件芯片(闪存或 EEPROM),可以使用设计用于与芯片接口的专用硬件(例如 SPI 读取器)直接读取该固件芯片。有时,控制器芯片具有内部闪存,这意味着没有外部芯片可供读取,这意味着将 JTAG 探针连接到芯片是获取固件的可能解决方案。

有两个很好的资源显示了读取固件所需的内容,以便可以对其进行修改和替换,据我所知。具体来说,来自 Malwaretech 的基于 HDD 固件的 MBR rootkit 和SpritesMods的经典 Linux 移植到 HDD的不完整 (?)文章后者的图像显示了您需要直接与之交互才能读取的闪存芯片。

来自 HDD 的闪存芯片的图像

没有现成的工具可以读取/转储 SSD 固件(少数特定情况除外)。每个制造商都按照他们的意愿实施他们的硬件和固件。这意味着没有标准协议可以转储 SSD 固件。

我们获得工具来转储特定供应商固件的唯一方法是他们发布它,或者有人对其进行逆向工程。对固件转储程序进行逆向工程可能很困难,并且不一定适用于制造商的所有驱动器,因为它们可以随时更改芯片组或新型号固件交互的协议。