大家可能都知道破解51單片機是很容易的，但為什么容易，又是如何來破解的，可能很多人就不大清楚了，我在這里結合網(wǎng)上一些前輩整理的資料，和自己的經(jīng)驗，對MCU破解技術做個簡單分析。

MCU的安全等級正在逐步提升，一些公司甚至推出了安全主控，這是很好的現(xiàn)象，說明大家越來越重視嵌入式領域的信息安全和程序安全了。但對于很多特殊行業(yè)，比如消費類電子產(chǎn)品，低成本的通訊模塊、電源控制模塊等等，迫于成本壓力以及更新?lián)Q代速度問題，都無法使用更安全的主控MCU，有很大一部分產(chǎn)品甚至還在使用51單片機。

1軟件破解

利用軟件破解目標單片機的方法，利用這種方法，不會對目標MCU元器件造成物理損傷。主要是對WINBONGD，SYNCMOS單片機和GAL門陣列，這種利用軟件解密設備，按照一定的步驟操作，執(zhí)行片內(nèi)的程序送到片外的指令，然后用解密的設備進行截獲，這樣芯片內(nèi)部的程序就被解密完成了(GAL采用邏輯猜測)，就可以得到加密單片機中的程序。

2硬件破解

流程如下：

1、測試

使用高檔編程器等設備測試芯片是否正常，并把配置字保存。

 2、開蓋

采用手工或專用開蓋設備進行開蓋處理，這里說的開蓋并不是說單片機或者其他MCU真有一個蓋。簡單解釋一下，MCU其實是一個大規(guī)模集成電路，它是由N個電路組合而成的，而晶圓就是搭載集成電路的載體。將晶圓進行封裝后，就形成了我們?nèi)粘Ｋ玫腎C芯片，封裝形式可以有多種，比如TSSOP28、QFN28等，大家可以自己去百度搜索，這里不再復述。

3、做電路修改

對不同芯片，提供對應的圖紙，讓廠家做電路修改，目的是讓MCU的存儲區(qū)變得可讀。有些MCU默認不允許讀出Flash或者E2PROM中的數(shù)據(jù)，因為有硬件電路做保護，而一旦切斷加密連線，程序就暴露可讀了。如圖2所示

(切割掉加密熔絲，這樣就可以直接讀出芯片內(nèi)部程序)

4、讀程序

取回修改過的MCU，直接用編程器讀出程序，可以是HEX文件，或者BIN文件。

5、燒寫樣片給客戶

按照讀出的程序和配置，燒寫到目標MCU中，這樣就完成了MCU的破解。至此，硬件破解法成功完成。

3軟硬兼施

采用軟件和硬件結合的方法，需要對芯片的內(nèi)部結構非常的熟悉。

另外還有其他一些破解技術，例如電子探測攻擊、過錯產(chǎn)生技術等等，但是最終目的只有一個，就是能夠模仿出目標MCU的功能就可以了。

看到這里大家應該明白一個道理，破解MCU并不能做到把MCU中的程序原封不動的還原出來。目前的技術也做不到，至少國內(nèi)應該做不到。針對以上情況，加密芯片應運而生，初期確實能很好的保護MCU的安全，但很快就被找到了漏洞。

我舉個實際破解的例子分析一下，大家就能夠明白了。

加密原理：

MCU和加密芯片各存儲一條認證秘鑰，存儲同樣的加密算法;MCU產(chǎn)生隨機數(shù)發(fā)給加密芯片，后者用秘鑰加密后將密文返回，此時MCU解密后，比對明文是否和生成的隨機數(shù)相等。如果相等，程序正常運行;如果不相等，出錯處理。

因為盜版商沒有這條秘鑰，加密芯片與MCU交互的數(shù)據(jù)又是隨機變化的，無法找到規(guī)律，所以只能把加密芯片的程序破解了，再復制一片加密芯片才能讓MCU的程序跑起來。而加密芯片不同于通用MCU，它內(nèi)部有很多安全機制，破解難度非常大。

這種加密方案看似非常安全，但其實還是有漏洞的。

破解方法：

首先按照第二種破解方法，獲取到MCU的HEX文件。此處省略N步，不再復述。

使用軟件進行HEX反編譯，反編譯軟件目前有很多。

在反編譯的程序中，找到對比點，比如圖3所示，CJNE語句可能就是這個對比點。因此只要把箭頭2那行語句刪除，然后重新把匯編語言下載到MCU中，破解工作就完成了。此時即使沒有加密芯片，MCU也能正常運行了。

其實原因很簡單。MCU是要對加密芯片的返回值進行判斷的，那么不讓他做判斷，這樣一來不管加密芯片返回值是什么，程序都能正常運行。

因此這種加密方案很快就被破解了。當然也不是這么絕對，因為有些MCU即使剖片也不能獲得里面的HEX或者BIN文件，所以這種破解方案也要看MCU的安全等級夠不夠高。但是足以說明一個問題，這種通過對比加密結果來實現(xiàn)加密的方案，安全等級還是不夠高，還是有破解漏洞的。