Gizemli bir cihazın firmware’ini çıkarmak için flash çipini sökmek cihaza zarar verme riski taşırken, çipi devre üzerinde okumak da başarısız olabilir. [Matthew “wrongbaud” Alt], bunun yerine mantık analizörü kullanarak yaygın W25Q serisi flash çipinin açılışta gerçekleştirdiği SPI okuma işlemlerini tanımlama, kaydetme ve çözümleme sürecini anlatıyor. Yöntem, işlemcinin gerçekten okuduğu verilerle sınırlı olduğundan çipin tamamını vermeyebilir.
Alt, önce SPI iletişiminin temelini ve flash çipinin veri sayfası yardımıyla sinyallerin nasıl yorumlanacağını açıklıyor. Ardından mantık analizörü kayıtlarını Scapy ile işleyerek binwalk’a aktarılabilecek bir imaj dosyasına dönüştürüyor. Python aracı Scapy, ağ paketleri dışında bu tür veriler üzerinde de kullanılabiliyor.
Firmware imajında bootloader ve Linux kernel bulunmasına rağmen dosya sistemi bölümünün eksik olduğu görülüyor. Bunun nedeni, işlemcinin dosya sistemini okumadan önce iki ek veri hattı kullanan daha hızlı Quad-SPI moduna geçmesi. Ek kayıt ve işlemden sonra iki imaj, bir dd tek satırlık komutuyla birleştiriliyor. Alt’ın çalışmaları arasında donanım korsanlığı rehberi ve fault injection incelemeleri de bulunuyor.
Neden önemli
Bu yaklaşım, firmware incelemesinde çipi sökmeden çalışılabilmesi sayesinde hem cihaza zarar verme riskini azaltır hem de araştırmacılara devre üzerindeki gerçek iletişimi izleme olanağı sunar. Ancak sonuç, bellekte bulunan tüm içeriği değil, işlemcinin açılış sırasında eriştiği bölümleri yansıttığı için elde edilen imajın kapsamı baştan sınırlıdır. Özellikle SPI’dan Quad-SPI’a geçiş, yalnızca standart sinyallerin kaydedilmesinin neden eksik bir çıktı verebileceğini gösterir ve benzer çalışmaların kullanılan veri hatlarını da dikkate almasını gerektirir. Bu durum, donanım araştırmacıları ve tersine mühendislik yapanlar için yöntemin tek başına yeterli olmadığını, eksik bölümlerin tamamlanması için ek kayıt ve işlem adımlarının gerekebileceğini ortaya koyar.