HDD 固件提取是存储设备安全研究的基石环节。从固件层面分析不仅能揭示驱动器内部架构，还能定位隐藏的访问控制机制、诊断顽固故障以及评估硬件层面是否存在后门。在实际工程场景中，绕过签名校验提取微码通常有三条可行路径：直接读取板载 Flash 芯片、通过 ATA 安全特性集操作、以及利用运行时 RAM 驻留状态进行转储。本文系统梳理这三条链路的工具链、操作参数与风险边界。
物理层：SPI Flash 芯片直接读取
现代 HDD 控制器板上通常集成一颗序列闪存芯片，用于存放 Bootloader 与核心固件模块。以 Toshiba MQ01AAD032C 为例，板载 MXIC MX25V4006EZNI 容量为 512KB。直接通过 SPI 接口读取该芯片可完整绕过 SATA 传输层的任何访问限制。
硬件准备
目标芯片以 SOIC-8 或 SOIC-16 封装贴片。读取需要以下设备：支持 SPI 协议的编程器（如 Bus Pirate v3/v4、CH341A、或专业的 Flashrom 兼容设备）、适用于目标封装的 SOIC 测试夹、以及一台运行 Linux 的主机。Bus Pirate 配合 flashrom 是开源社区最成熟的免费方案，成本约 20–30 美元。
接线方式遵循标准 SPI 总线定义：VCC 连接目标芯片的 VCC 引脚、GND 接地、IO0 (MOSI) 接 DI、IO1 (MISO) 接 DO、CLK 接 CLK、Chip Select (CS) 接 CS。SOIC 夹的引脚顺序通常为：VCC、DO、/WP、Hold、GND、MISO (DI)、SCK、CS。实际操作中需参考目标芯片的 Datasheet 确认引脚定义，因为不同封装的引脚排列存在差异。
软件操作流程
在目标主机上安装必要工具：
sudo apt install flashrom binwalk
# 可选：安装Bus Pirate固件更新工具
连接设备后，首先验证编程器与芯片的通信状态：
# 探测Bus Pirate设备
ls /dev/serial/by-id/
# 假设输出：usb-FTDI_FT232R_USB_A1YSLOW0-if00-port0
# 调用flashrom扫描芯片
sudo flashrom -p buspirate_spi:dev=/dev/ttyUSB0 -V
正常输出应在日志尾部显示Found flash chip "XXX" (512 kB)。若探测失败，需检查接线是否松动或电压是否匹配（部分芯片需要 3.3V 而非 5V 供电，可通过调整 Bus Pirate 输出电平解决）。
确认芯片型号后执行读取：
sudo flashrom -p buspirate_spi:dev=/dev/ttyUSB0 -c "MX25V4006EZNI" -r hdd_firmware.bin
读取完成后可通过对比两个独立备份文件的 SHA256 哈希值验证数据完整性：
sha256sum hdd_firmware.bin
# 建议连续读取两次并对比哈希
固件解析与 Binwalk 自动化提取
二进制镜像到手后，使用 binwalk 进行自动特征扫描与提取：
# 扫描固件结构
binwalk hdd_firmware.bin
# 自动递归提取（-M递归、-e自动解压、-d设置深度）
binwalk -Me -d 256 hdd_firmware.bin
典型 HDD 固件中常见的数据结构包括：ARM 小端字节序的机器码、LZMA 压缩块、CRC32 校验值、以及 vendor-specific 的模块头（如 0xdeadbeef 标记的 Service Area 模块）。提取后可在hdd_firmware.bin.extracted目录中查看各个分段的解压内容。
ATA 安全特性集：hdparm 绕过锁定
在某些场景下，驱动器虽被 ATA 密码锁定，但芯片本身未被物理拆解或修改，此时可通过标准的 ATA Security Feature Set 进行软解除。前提条件是驱动器处于not frozen状态 ——BIOS 启动阶段的部分指令（如hdparm --freeze-lock）可以将驱动器冻结在安全状态，防止进一步操作。
诊断锁定状态
sudo hdparm -I /dev/sdb
输出中Security段是关键。若显示locked且not frozen，说明可以通过 ATA 命令序列尝试解锁。若显示frozen，需要通过软件方式发送特定 ATA 指令组合来解除冻结状态，或通过冷重启（断电后重新加电）后立即发送指令。
Master/User 密码模式
ATA 安全特性支持 Master 与 User 两套密码体系。Master 密码通常由制造商预设，用于紧急恢复场景。发送密码的方式如下：
# 使用User Master发送解锁
sudo hdparm --user-master u --security-unlock PASSWORD /dev/sdb
# 使用Master Master发送解锁
sudo hdparm --user-master m --security-unlock PASSWORD /dev/sdb
密码以原始字节形式传递。对于某些特殊设备（如汽车音响系统中的嵌入式 HDD），密码可能经过简单变换编码。例如 Mitsubishi Electric 的 NTG5.5 系统使用 MELCO SANDA 自定义格式，密码原文为 "NTG55HUH Navi Master"，经过 0xFF 逐字节 XOR 后生成 32 字节序列：
printf '\xb2\xba\xb3\xbc\xb0\xdf\xac\xbe\xb1\xbb\xbe\xdf\xb1\xab\xb8\xca\xca\xb7\xaa\xb7\xdf\xb1\x9e\x89\x96\xdf\xb2\x9e\x8c\x8b\x9a\x8d' | sudo hdparm --user-master m --security-unlock - /dev/sdb
解锁成功后，hdparm -I应显示not locked。此时可以自由访问扇区数据，甚至可将整盘镜像复制出来。
紧急擦除与安全擦除
若密码已丢失且无法通过 Master 恢复，可以执行 Security Erase Unit 命令强制擦除所有扇区：
# 普通擦除（约需数小时）
sudo hdparm --security-erase-enhanced PASSWORD /dev/sdb
# 增强擦除（覆写全部用户扇区）
sudo hdparm --security-erase-enhanced PASSWORD /dev/sdb
该过程不可逆，会彻底清除磁盘数据。如果目的是提取固件而非恢复数据，这步操作没有意义；但在数据恢复场景中，若磁盘物理完好但主控受损，可考虑此路径。
RAM 驻留固件转储：利用运行时状态
部分 HDD 在加电运行后，会将关键固件模块加载至片外 DDR 内存中执行。此时即使 Flash 芯片被加密或签名校验锁定，RAM 中仍可能存在可读取的明文数据。
热迁移与 live dump
一种被实践验证的技巧是：在受信任的宿主机上先让 HDD 正常解锁并进入工作状态，不断电的情况下将驱动器迅速移至另一台分析设备。由于 ATA 密码解锁后访问权限持续保存在驱动器 RAM 中，目标设备可以直接访问扇区数据，甚至通过特定的 ATA 指令读取 ROM 映射区域。
具体操作流程：首先将 HDD 接入一台可信主机，使用正确密码解锁；然后在不关闭电源的情况下，将 SATA 数据线和电源线同时拔出，并立即接入第二台分析主机。进入分析主机后，立即发送 identify 命令验证扇区是否可读。若 RAM 状态未刷新，可直接访问用户扇区乃至部分固件区域。
JTAG 调试接口
对于支持 JTAG 接口的 HDD 控制器（如 Marvell、Samsung 等家族），可以通过边界扫描接口直接读取 ARM 核的内存空间。操作步骤包括：定位 PCB 上的 JTAG 测试点（通常为 2×7 或 2×5 排针）、使用 JTAGulator 或开源 JTAG 适配器（如 Bus Blaster）连接、在 OpenOCD 中配置对应控制器脚本、最后通过dump_image命令转储内存。
典型 OpenOCD 配置片段：
# 使用OpenOCD连接Marvell控制器
openocd -f interface/jtag.cfg -f target/arm7tdmi.cfg
# 在telnet会话中执行
> halt
> dump_image firmware_live.bin 0x00000000 0x400000
注意，并非所有 HDD 控制器都暴露 JTAG 引脚，且部分引脚在量产固件中被禁用。若无相关控制器的公开调试文档，建议不要强行探测，以免造成硬件损坏。
工具链与参数汇总
| 方法 | 核心工具 | 适用场景 | 风险 |
|---|---|---|---|
| SPI Flash 读取 | flashrom + Bus Pirate + SOIC 夹 | 物理提取固件镜像 | 需拆焊，可能破坏保修标签 |
| ATA Security | hdparm + 密码序列 | 绕过软锁定 | 仅对未冻结驱动器有效 |
| 热迁移 dump | 无特殊工具，依赖状态保持 | RAM 明文转储 | 操作窗口极短，风险高 |
| JTAG 调试 | OpenOCD + JTAG 适配器 | 获取运行时固件 | 需要控制器文档支持 |
在实际操作中，建议优先选择 SPI Flash 直接读取 —— 该方法独立于驱动器运行状态，不依赖任何固件签名校验逻辑，数据完整性有保障。若驱动器遭受物理加密或签名强校验（如 Secure Boot 链），则需要结合 JTAG 或芯片级攻击手段，这已超出纯软件可及范围。
固件结构与模块定位
成功提取镜像后，下一步是解析其内部结构。HDD 固件通常包含以下功能模块：
- ROM Bootloader：上电后首先执行，负责初始化硬件、验证主固件签名、加载固件至 RAM。位于 Flash 起始偏移地址，通常有固定头标识（如 0xEA 跳转指令）。
- Service Area (SA)：存放 LBA 重映射表、缺陷表、配置参数等关键数据。SA 区域通常对用户隐藏，需要通过特定 ATA 命令（如 0xF2 vendor-specific 扩展命令）访问。
- Microcode/Command Handler：处理 SATA 指令集的核心逻辑，包括 Identify Data、S.M.A.R.T 属性、以及 Vendor-specific 命令。
- Module System：部分现代 HDD 使用模块化结构，每个模块有独立版本号、CRC 校验与加载条件。模块头通常为固定签名 + 长度 + CRC 三元组。
使用 binwalk 的特征签名数据库可以快速定位这些模块的偏移。对于未知格式，可以编写简单的 Python 脚本搜索特定字符串或模式：
import struct
with open('hdd_firmware.bin', 'rb') as f:
data = f.read()
# 搜索ARM函数序言
for i in range(len(data) - 4):
if data[i:i+4] == b'\x00\x00\x00\xea': # ARM b instruction
print(f"Possible ARM code at offset: {hex(i)}")
风险与伦理边界
HDD 固件操作涉及硬件层面的不可逆修改，任何写入操作都可能造成驱动器变砖。在没有完整备份的情况下，强烈建议先完成镜像全量备份再进行任何实验性操作。
从法律角度，固件提取与逆向仅在以下场景具备正当性：拥有设备所有权、进行授权的安全审计、以及学术研究目的。对他人设备或受版权保护的固件进行商业性逆向工程，可能违反相关法律与最终用户许可协议（EULA）。在进行任何相关操作前，请确保理解并遵守当地法规。
资料来源
- Firmware Extraction Series - SATA HDD Unlock（Gorgias' Blog）：https://gorgias.me/posts/firmware-extraction-series-sata-hdd-unlock/
- Firmware Automatic Dumping & Extraction Tool（GitHub Gist）：https://gist.github.com/cryptolok/6916aee059c0b8317ed7078adaa7a226
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。