AwesomeREA.org

学习资源

OWASP 固件安全测试方法论（FSTM）

由 Aaron Guzman 维护、发布在 GitBook 上的免费英文方法论，用于嵌入式设备固件的安全测试与逆向工程。全文分为九个阶段：信息收集、获取固件、分析固件镜像、提取文件系统、静态分析文件系统内容、仿真、动态测试、运行时分析和二进制漏洞利用，并给出 binwalk、unblob、FACT、EMBA、Firmwalker、QEMU 和 Ghidra 等工具的示例命令。2025 年 10 月的修订加入了 C/C++ 静态分析工具、SBOM 生成，以及与 OWASP IoT 安全验证标准（ISVS）的对应关系。

使用条件与局限

  • 审阅的默认分支提交为 ec666e8（2025-10-05）。正文大多写于 2019–2020 年，2022 年更新过 EMBA/EMBArk 部分；2025 年 10 月的修订更新了工具引用、删除了商业工具，并加入 SAST、SBOM 和 ISVS 章节，已发布的 GitBook 也包含这些内容。另有一个按阶段补充 ISVS 要求对应关系的功能分支（2026 年 6 月），审阅时尚未合并；一份篇幅较短的 2020 年中文译本位于单独的 zhong-wen-fstm 分支。
  • 其目标读者为安全研究人员、软件开发人员、顾问、爱好者和信息安全专业人员。全文是一篇很长的参考页面，提供流程和命令，而不是循序渐进的课程；固件以外的硬件、无线、网络和用户界面测试，则请读者参考 OWASP IoT 安全测试指南（ISTG）。
  • 按此方法操作需要在获得授权的评估中拿到固件镜像或实体设备；方法论要求根据项目目标和约定的测试规则选择获取方式，并遵守当地法律。部分阶段需要硬件调试接口和芯片编程器。工具大多在 Linux 上运行；README 链接了一个 2020 年预配置的 EmbedOS Ubuntu 虚拟机，并推荐 OWASP IoTGoat、DVRF 和 DVID 等故意含漏洞的固件用于练习。
  • 采用 CC BY-SA 4.0 许可证（License.md）。本合集阅读了所审阅提交中的 README，并确认 GitBook 已包含 2025 年新增的章节，没有运行其中的命令或工具。方法论未描述 AI 或 REA 的使用。

关于此条目

类型
学习资源
类别
学习资源
关联
学习资源
目标
固件

来源复核于

说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。

报告条目过时 建议修正翻译

一手来源

  1. README.md GitHub · scriptingxss/owasp-fstm · 修订 ec666e8
  2. README.md#L1051-L1084 GitHub · scriptingxss/owasp-fstm · 修订 ec666e8
  3. README.md#L945-L1050 GitHub · scriptingxss/owasp-fstm · 修订 ec666e8
  4. License.md GitHub · scriptingxss/owasp-fstm · 修订 ec666e8
  5. README.md GitHub · scriptingxss/owasp-fstm · 修订 e32570c

同分区更多条目：文档与学习资源

文档与学习资源分区全部 43 项资源