大家可能都知道破解 51 單片機(jī)是很容易的，但為什么容易，又是如何來(lái)破解的，可能很多人就不大清楚了。其實(shí)對(duì)于MCU的破解從簡(jiǎn)單來(lái)講，它并不像我們開(kāi)發(fā)項(xiàng)目那樣復(fù)雜，有時(shí)候一個(gè)漏洞被發(fā)現(xiàn)，可能一個(gè)小技巧就可以獲取或者篡改用戶程序，行業(yè)里解密的方法有很多，每個(gè)人破解的思路也不一樣。但大致也就是以下幾種。

軟件破解

利用軟件破解目標(biāo)單片機(jī)的方法，并且利用這種方法，不會(huì)對(duì)目標(biāo) MCU 元器件造成物理?yè)p傷。

這種破解方法最早的時(shí)候主要是對(duì) WINBONGD，SYNCMOS 單片機(jī)和 GAL 門(mén)陣列，這種利用軟件解密設(shè)備，按照一定的步驟操作，執(zhí)行片內(nèi)的程序送到片外的指令，然后用解密的設(shè)備進(jìn)行截獲，這樣芯片內(nèi)部的程序就被解密完成了（GAL 采用邏輯猜測(cè)），就可以得到加密單片機(jī)中的程序。

另外對(duì)于我們現(xiàn)在市場(chǎng)上比較普遍的ARM系列芯片也同樣適用，比如我們?cè)诎l(fā)布產(chǎn)品的時(shí)候沒(méi)有把相關(guān)的調(diào)試接口關(guān)閉掉，如SWD接口，那么破譯者完全可以利用這個(gè)調(diào)試接口，將自己編寫(xiě)的一段代碼燒錄到MCU的ram中，并將執(zhí)行這一端代碼，而這一段代碼就可以把我們存放在flash中的固件程序一個(gè)字節(jié)一個(gè)字節(jié)的從芯片中讀取出來(lái)。

除了這種調(diào)試作用的SWD接口外，對(duì)于具備OTA功能的產(chǎn)品也要注意保護(hù)自己的OTA通道，一旦OTA過(guò)程被識(shí)破，黑客完全有機(jī)會(huì)利用這個(gè)接口去運(yùn)行自己的程序，從而將Flash中的信息獲取到。

芯片的唯一ID

以上所講的都是利用芯片本身或者軟件漏洞來(lái)獲取用戶固件的案例，那么會(huì)有人說(shuō)，我利用芯片的唯一ID在程序運(yùn)行過(guò)程中對(duì)ID做校驗(yàn)，這樣即便把固件拷貝出來(lái)也沒(méi)辦法批量生產(chǎn)。

好的，芯片設(shè)計(jì)中增加了唯一ID確實(shí)給芯片的破解增加了一些難度，但黑客往往都是不走尋常路的。

首先這種唯一ID在硬件上就存在漏洞，是有機(jī)會(huì)被篡改的，ID或者讀取ID的地址。那么我們從軟件上來(lái)破解也是可以的。

破解方法：

1. 首先按照上面提到獲取固件的破解方法，獲取到 MCU 的 HEX 文件。2. 使用軟件進(jìn)行 HEX 反編譯，反編譯軟件目前有很多。3. 在反編譯的程序中，找到對(duì)比點(diǎn)，比如圖 3 所示，CJNE 語(yǔ)句可能就是這個(gè)對(duì)比點(diǎn)。因此只要把箭頭 2 那行語(yǔ)句刪除，然后重新把匯編語(yǔ)言下載到 MCU 中，破解工作就完成了。此時(shí)即使沒(méi)有加密芯片，MCU 也能正常運(yùn)行了。

加密芯片是否安全?

關(guān)于加密芯片，我想說(shuō)的是，加密芯片本身還是非常安全的，它內(nèi)部都設(shè)計(jì)了相關(guān)的防硬件破解的措施，一但對(duì)芯片進(jìn)行硬件探測(cè)和破解就會(huì)觸發(fā)其內(nèi)部保護(hù)電路，將自身數(shù)據(jù)全部擦除。

但是我們的產(chǎn)品是一個(gè)系統(tǒng)，他不是單獨(dú)的一個(gè)加密芯片，一旦我們的功能的主要部分暴露在非安全區(qū)，就給黑客帶來(lái)了可乘之機(jī)，比如一般的智能硬件產(chǎn)品的功能實(shí)現(xiàn)都是在系統(tǒng)的主MCU中，在主MCU之外往往通過(guò)SPI或者IIC接口來(lái)連接加密芯片對(duì)系統(tǒng)進(jìn)行保護(hù)。

加密原理：

MCU 和加密芯片各存儲(chǔ)一條認(rèn)證秘鑰，存儲(chǔ)同樣的加密算法；

MCU 產(chǎn)生隨機(jī)數(shù)發(fā)給加密芯片，后者用秘鑰加密后將密文返回，此時(shí) MCU 解密后，比對(duì)明文是否和生成的隨機(jī)數(shù)相等。如果相等，程序正常運(yùn)行; 如果不相等，出錯(cuò)處理。

因?yàn)楸I版商沒(méi)有這條秘鑰，加密芯片與 MCU 交互的數(shù)據(jù)又是隨機(jī)變化的，無(wú)法找到規(guī)律，所以只能把加密芯片的程序破解了，再?gòu)?fù)制一片加密芯片才能讓 MCU 的程序跑起來(lái)。而加密芯片不同于通用 MCU，它內(nèi)部有很多安全機(jī)制，破解難度非常大。

這種加密方案看似非常安全，但其實(shí)主MCU存在安全漏洞，依然會(huì)被拷貝出固件，執(zhí)行類似破解唯一ID加密的方法即可，因此這種加密芯片只能保護(hù)個(gè)別數(shù)據(jù)，無(wú)法對(duì)整個(gè)系統(tǒng)進(jìn)行全面的保護(hù)。

硬件破解

前面所講的都有一個(gè)前提，那就是用戶忘記關(guān)閉調(diào)試接口，或者用的OTA程序被破解利用，使得黑客獲取到了芯片內(nèi)部的固件程序。

接下來(lái)我們聊一下另一個(gè)情況，工程師認(rèn)真，沒(méi)有留下調(diào)試接口，同時(shí)OTA邏輯也設(shè)計(jì)的非常可靠，具備了各種保護(hù)邏輯和防重放措施，保證不被黑客檢測(cè)到重復(fù)的命令信息。

難道這樣就沒(méi)辦法破解了嗎？很遺憾，這才是真正研究芯片破解技術(shù)的專業(yè)人員的起步環(huán)境。

全球有很多做芯片破解的公司和研究機(jī)構(gòu)，他們有的甚至在一些院校實(shí)驗(yàn)室和研究所里面，他們往往會(huì)為芯片設(shè)計(jì)公司服務(wù)，來(lái)幫助設(shè)計(jì)公司提高自己的芯片安全指標(biāo)，當(dāng)然也可以提供芯片破譯服務(wù)給有利可圖者提供服務(wù)。

芯片的安全就是攻防對(duì)決，不斷提高技術(shù)水平的過(guò)程，接下來(lái)我們看一下硬件上是怎么破解一顆芯片的。

流程如下：

1、測(cè)試使用高檔編程器等設(shè)備測(cè)試芯片是否正常，并把配置字保存。

2、開(kāi)蓋采用手工或?qū)Ｓ瞄_(kāi)蓋設(shè)備進(jìn)行開(kāi)蓋處理，這里說(shuō)的開(kāi)蓋并不是說(shuō)單片機(jī)或者其他 MCU 真有一個(gè)蓋。MCU 其實(shí)是一個(gè)大規(guī)模集成電路，它是由 N 個(gè)電路組合而成的，而晶圓就是搭載集成電路的載體。將晶圓進(jìn)行封裝后，就形成了我們?nèi)粘Ｋ玫?IC 芯片，封裝形式可以有多種，比如 TSSOP28、QFN28 等，大家可以自己去百度搜索，這里不再?gòu)?fù)述。

3、做電路修改對(duì)不同芯片，提供對(duì)應(yīng)的圖紙，讓廠家做電路修改，目的是讓 MCU 的存儲(chǔ)區(qū)變得可讀。有些 MCU 默認(rèn)不允許讀出 Flash 或者 E2PROM 中的數(shù)據(jù)，因?yàn)橛杏布娐纷霰Ｗo(hù)，而一旦切斷加密連線，程序就暴露可讀了。如圖 2 所示

（切割掉加密熔絲，這樣就可以直接讀出芯片內(nèi)部程序）

4、讀程序取回修改過(guò)的 MCU，直接用編程器讀出程序，可以是 HEX 文件，或者 BIN 文件。

5、燒寫(xiě)樣片給客戶按照讀出的程序和配置，燒寫(xiě)到目標(biāo) MCU 中，這樣就完成了 MCU 的破解。至此，硬件破解法成功完成。

其他硬件破解

開(kāi)蓋修改電路破除芯片設(shè)置的讀保護(hù)來(lái)對(duì)芯片進(jìn)行破譯，這其實(shí)還是最一般的手段，對(duì)于很多具備熔絲位以及更高保護(hù)措施的芯片，依然有各種破譯辦法，接下來(lái)簡(jiǎn)單列舉一下：

**電子探測(cè)攻擊**

該技術(shù)通常以高時(shí)間分辨率來(lái)監(jiān)控處理器在正常操作時(shí)所有電源和接口連接的模擬特性，并通過(guò)監(jiān)控它的電磁輻射特性來(lái)實(shí)施攻擊。因?yàn)閱纹瑱C(jī)是一個(gè)活動(dòng)的電子器件，當(dāng)它執(zhí)行不同的指令時(shí)，對(duì)應(yīng)的電源功率消耗也相應(yīng)變化。這樣通過(guò)使用特殊的電子測(cè)量?jī)x器和數(shù)學(xué)統(tǒng)計(jì)方法分析和檢測(cè)這些變化，即可獲取單片機(jī)中的特定關(guān)鍵信息。

**過(guò)錯(cuò)產(chǎn)生技術(shù)**

該技術(shù)使用異常工作條件來(lái)使處理器出錯(cuò)，然后提供額外的訪問(wèn)來(lái)進(jìn)行攻擊。使用最廣泛的過(guò)錯(cuò)產(chǎn)生攻擊手段包括電壓沖擊和時(shí)鐘沖擊。處理器執(zhí)行錯(cuò)誤操作。電源和時(shí)鐘瞬態(tài)跳變可以在某些處理器中影響單條指令的解碼和執(zhí)行。

**探針技術(shù)**

該技術(shù)是直接暴露芯片內(nèi)部連線，然后觀察，阻止，干擾單片機(jī)以達(dá)到攻擊目的。

**紫外線攻擊方法**

紫外線攻擊也稱為紫外線攻擊方法，就是利用紫外線照射芯片，讓加密的芯片變成了不加密的芯片，然后用編程器直接轉(zhuǎn)換程序。這種方法適合OTP的芯片，做單片機(jī)的工程師都知道OTP OTP芯片的封裝有陶瓷封裝的一半都有石英玻璃，這種是可以直接用紫外線照射的，如果是用塑料封裝的，就需要先將芯片開(kāi)蓋，將晶圓暴露以后才可以通過(guò)這種芯片的加密性比較差，解密基本不需要任何成本，所以市場(chǎng)上這種芯片解密的價(jià)格非常便宜，SONIX的SN8P2511解密，飛凌單片機(jī)解密等價(jià)格就非常便宜。

**FIB恢復(fù)加密熔絲方法**

這種方法適用于很多的具有熔絲加密的芯片，最有特色的芯片就是TI的MSP430解密的方法，因?yàn)镸SP430加密的時(shí)候要燒熔絲，那么只要能將熔絲恢復(fù)上，那就變一般解密公司利用探針來(lái)實(shí)現(xiàn)，將熔絲位連上，也有的人因?yàn)樽约簺](méi)有太多的解密設(shè)備，需要交由其他半導(dǎo)體線路修改的公司來(lái)修改線路，一般可以使用FIB（聚焦離子束）設(shè)備這些設(shè)備目前在國(guó)內(nèi)的二手設(shè)備很多，也價(jià)格很便宜，一些有實(shí)力的解密公司都配置了自己的設(shè)備。這種方法依據(jù)需要設(shè)備和耗材，不是好的方法，但是很多芯片如果沒(méi)有更好的方法的時(shí)候，就需要這種方法來(lái)實(shí)現(xiàn)。

**修改加密線路的方法**

目前市場(chǎng)上的CPLD和DSP芯片設(shè)計(jì)復(fù)雜，加密性能要高，采用上述方法是很難做到解密的，那么就需要對(duì)芯片結(jié)構(gòu)作前面的分析，然后找到加密電路，然后利用芯片線路修改的設(shè)備將芯片的線路做一些修改，讓加密電路失效，讓加密的DSP或CPLD變成了不加密的芯片從而可以讀出代碼。如TMS320LF2407A解密，TMS320F28335解密，TMS320F2812解密就是采用這種方法。