01 · 固件漏洞类型谱系
对第3—6页方法发现的漏洞按机理聚类，形成可复用的类型谱系。每一类标注主产出方法（静态/动态/硬件）与对应CWE，支撑规则库的持续迭代。
| 类型 | 典型形态（固件语境） | 主要产出方法 | 对应CWE |
|---|---|---|---|
| 硬编码凭证与后门 | 固写root口令、特殊User-Agent/参数触发的隐藏账户、全局共享TLS私钥 | 静态分析（第3页） | CWE-798、CWE-259 |
| OS命令注入 | 管理CGI将输入拼入system()执行ping/traceroute等系统命令 | 静态+仿真动态验证（第4页） | CWE-78 |
| 内存破坏 | 私有协议/UPnP/SOAP/配置解析中的栈溢出、堆溢出、格式化字符串 | 模糊测试（第5页） | CWE-787、CWE-125、CWE-134 |
| 认证与会话缺陷 | 认证绕过、可预测会话token、默认会话、越权访问 | 动态分析（第4页） | CWE-287、CWE-306、CWE-862 |
| 第三方组件漏洞 | 旧版OpenSSL/Dropbear/miniupnpd/Samba、TCP/IP协议栈集群漏洞 | 固件SCA（第3页） | 按CVE归类 |
| 供应链密钥复用 | OTA签名密钥泄露、升级包加密密钥硬编码、云凭证内置 | 静态分析（第3页） | CWE-321、CWE-798 |
| 硬件信任根失效 | 调试口未封闭、Secure Boot未熔断、读保护可绕过、mask ROM降级路径 | 硬件分析（第6页） | OWASP IoT I10类 |
度量口径：案例档案中每条记录绑定"固件版本三元组（型号/硬件版本/固件版本）+发现方法+CWE+公开编号+修复状态"五要素；修复状态以厂商公告或NVD/CNVD条目更新为准，不以研究者单方判定为准。
02 · 标志性案例档案（2013—2021）
以下条目均来自公开披露、司法文件或权威安全机构分析，是检测规则验证、固件基线评估与防御设计的参考案例库。涉及规模与评分数字均标注披露方口径。
| 时间 | 事件/编号 | 类型 | 关键事实与影响（披露方口径） |
|---|---|---|---|
| 2013.10 | D-Link固件后门 | 硬编码后门 | 独立研究者Craig Heffner披露：多款D-Link消费级路由器固件的Web CGI接受特定User-Agent字符串（xmlset_roodkcableoj28840ybtide）即绕过认证获得管理权限。成为"固件内藏后门"的标志性公开案例，确立固件字符串审计价值。 |
| 2014.09 | Shellshock（CVE-2014-6271等） | 组件漏洞/更新长尾 | Bash环境变量注入波及大量带CGI的嵌入式设备；因设备固件更新依赖厂商节奏，相当比例设备长期未获修复，成为"漏洞修复长尾"问题的教科书案例。 |
| 2016.09—10 | Mirai僵尸网络 | 弱口令感染/IoT僵尸网络 | 内置62组Telnet/SSH默认口令，感染量峰值估计达数十万台；9月对Krebs on Security发起约620Gbps级DDoS（Akamai观测口径），10月攻击Dyn DNS致全球大批站点瘫痪；9月30日源代码公开后衍生变种数以百计。 |
| 2017.04 | BrickerBot | 破坏性恶意软件 | Radware披露：不以DDoS为目的，通过修改存储配置直接"变砖"设备的恶意软件，促使业界重新讨论设备"默认自愈/恢复"设计。 |
| 2018.05 | VPNFilter | 国家级IoT恶意软件 | Cisco Talos披露：感染54个国家逾50万台路由器与NAS（Linksys、MikroTik、Netgear、TP-Link及QNAP等）；分阶段持久化、支持流量篡改与设备变砖，主要阶段可经重启清除（第一阶段持久化需恢复出厂）。美方司法文件将其部分基础设施与GRU相关人员关联。 |
| 2020.06 | Ripple20（JSOF） | 供应链/协议栈漏洞集群 | Treck TCP/IP栈19个漏洞，其中4个CVSS评分10.0；代码历史约17年，受影响设备估计达数亿至十亿量级（JSOF估计口径），波及工控、医疗与能源设备，披露协调历时数月。 |
| 2020.12 | AMNESIA:33（Forescout） | 供应链/开源协议栈 | uIP、picoTCP、FNET、cycloneTCP四个开源TCP/IP栈共33个漏洞，其中多个为无需认证的远程代码执行；Forescout估计受影响设备数以百万计。 |
| 2021.04 | NAME:WRECK（Forescout/JSOF） | 供应链/DNS解析漏洞 | Nucleus NET、NetX、FreeBSD、IPnet四个TCP/IP栈9个漏洞，集中于DNS域名解析实现，波及医疗、工控与通信设备。 |
| 2021.08 | INFRA:HALT（Forescout） | 供应链/工控协议栈 | Siemens Nucleus NET（广泛用于工控与医疗设备）14个漏洞，Forescout评估其潜在影响面巨大（估算口径）。 |
| 2021.12 | Realtek Jungle SDK（CVE-2021-35392等） | 供应链/SDK漏洞 | IoT Inspector披露：Realtek eCos SDK中多个远程代码执行漏洞（CVE-2021-35392至35395），受影响面覆盖至少65家厂商约200款设备型号——"上游SDK一处缺陷、下游全网传染"的典型样本。 |
| 2021.08 | ThroughTek Kalay（CVE-2021-28372） | 供应链/P2P SDK | Mandiant于2021年8月17日协同CISA披露（ICS公告ICSA-21-229-01）：Kalay P2P SDK存在不当访问控制缺陷（CVSS 9.6），攻击者可冒充设备、劫持连接并远程控制摄像头、DVR等设备；ThroughTek称Kalay平台活跃设备超8300万台（厂商口径），受影响面无法完全确定。 |
03 · 延伸案例（2022—2025）：供应链与软件供应链新趋势
| 时间 | 事件/编号 | 类型 | 关键事实（披露方口径） |
|---|---|---|---|
| 2024.03 | xz Utils后门（CVE-2024-3094） | 构建链供应链 | Andres Freund披露：XZ 5.6.0/5.6.1发布tarball中被植入后门，经长期"账户培养"式社会工程渗透上游维护流程；xz为Buildroot/Yocto等固件构建链的常用组件，事件将"构建工具链本身"纳入固件供应链威胁模型。 |
| 2024.07 | regreSSHion（CVE-2024-6387） | 组件漏洞/边界服务 | Qualys披露：OpenSSH 8.5p1—9.7p1在glibc Linux系统上的信号处理器竞态条件，CVSS 8.1，未认证攻击者可远程以root权限执行代码；大量暴露sshd的嵌入式/Linux设备位于受影响区间。 |
| 2023—2025 | ThroughTek Kalay SDK追加漏洞（CVE-2023-6321至6324） | 供应链/P2P SDK | Kalay P2P SDK再曝命令注入、栈溢出、DTLS预共享密钥可预测等漏洞，涉及Owlet、Roku、Wyze等厂商设备——SDK级缺陷的"修复长尾"问题持续存在。 |
趋势研判：2022—2025年的标志性事件从"设备固件缺陷"扩展到"构建链与上游组件渗透"，与第8页SBOM义务化、CRA强制化形成呼应：固件安全的治理对象正从"成品设备"前移到"开发-构建-发布全链路"。
04 · 共性模式与防御映射
3.1 五条共性模式
- 第三方组件长尾化：Ripple20/AMNESIA:33/NAME:WRECK/INFRA:HALT四批集群漏洞均来自共享协议栈——攻击面不在品牌厂商代码中，而在其依赖里；SBOM缺失使受影响面确认需要数月协调。
- 默认与硬编码凭证的规模变现：Mirai证明"最原始的口令问题"至今仍是僵尸网络的第一感染向量（对应子课题06蜜罐规则库的直接输入）。
- 边界设备成为内网跳板：VPNFilter展示路由器被控后的内网横向与流量篡改能力——边界固件安全是内网安全的前置条件。
- 修复链路过长：Shellshock/Ripple20的处置周期表明"漏洞公开→固件发布→用户更新"每一环都有数月级延迟；无强制更新机制的暴露面持续存在。
- SDK级单点缺陷全网传导：Realtek与ThroughTek案例显示，消费级IoT"同源贴牌"生态使单个SDK缺陷的影响面跨越数十个品牌。
3.2 防御映射表
| 共性模式 | 防御基线（对应本课题章节） | 验证方法 |
|---|---|---|
| 组件长尾 | 固件SCA纳入构建流水线；SBOM生成与持续监测（第3、8页） | 批次固件成分核查 |
| 默认凭证 | 首启强制改密、口令复杂度策略、禁用Telnet（第3、8页） | 静态规则库批量扫描+实物验证 |
| 边界跳板 | 管理面不暴露WAN侧；管理流量TLS+双向认证；最小化开放端口（第3、5页） | 仿真环境攻击面枚举 |
| 修复链长 | OTA强制更新通道；安全支持期公开承诺；EOL处置策略（第8页） | 治理度量台账 |
| SDK传导 | 上游组件准入评估；签名与来源验证；漏洞情报订阅（第8页） | 组件-供应商映射库 |
本节参考来源（第7页）
以下均为真实可查的权威来源（学术论文、标准组织、监管机构、官方项目仓库与漏洞库），用于支撑本页事实性表述；涉统计数字均标注原始出处。
Craig Heffner对D-Link后门的披露（2013年10月，Tactical Network Solutions/Devttys0）：devttys0.com；Binwalk项目仓库：github.com/ReFirmLabs/binwalk。
Cisco Talos《VPNFilter》披露与分析（2018年5月）：blog.talosintelligence.com/vpnfilter；美国司法部2018年10月相关起诉文件：justice.gov。
JSOF《Ripple20》（2020年6月）：jsof-tech.com/ripple20；Forescout《AMNESIA:33》（2020年12月）、《NAME:WRECK》（2021年4月）、《INFRA:HALT》（2021年8月）：forescout.com/blog。
Mirai事件：Akamai对Krebs网站DDoS峰值约620Gbps的观测（2016年9月）；美国司法部2017年12月公布Paras Jha、Josiah White、Dalton Norman认罪（2018年9月宣判）：justice.gov；Radware对BrickerBot的分析（2017年4月）：radware.com（BrickerBot）。
IoT Inspector对Realtek Jungle SDK漏洞的披露（2021年12月）：iot-inspector.com/blog；ThroughTek Kalay漏洞（CVE-2021-28372）披露（2021年4月）：cisa.gov。
NVD（CVE官方条目查询）：nvd.nist.gov；CNVD：cnvd.org.cn。
xz Utils后门事件（CVE-2024-3094，2024年3月，由Andres Freund公开披露）：tukaani.org/xz-backdoor；Qualys《regreSSHion》（CVE-2024-6387，2024年7月）：qualys.com/regresshion-cve-2024-6387；CVE-2023-6321至6324条目：nvd.nist.gov。