固件逆向进阶：熵图（Entropy）原理、读图方法与实战应用

0. 前言

在嵌入式固件逆向、IoT设备安全分析、固件二次开发场景中，分析人员常获取到无分区表、无结构说明的裸固件二进制文件。传统固件分析工具高度依赖文件魔数、特征码匹配识别数据区块，存在明显局限性：无法识别私有加密数据、未知压缩算法数据，同时难以界定碎片化文件系统的分区边界，极易出现漏判、误判问题。

熵图（Entropy Graph）是基于香农信息熵理论的结构性分析手段，不依赖任何文件特征码、头部标识，仅通过二进制数据的字节分布规律，即可量化判定数据属性、划分固件分区边界，是固件逆向领域通用性极强的底层分析方法。本文将纯理论讲解信息熵核心原理、熵公式含义、固件数据熵值分类特征、熵图读图逻辑、核心应用场景及常见分析误区，不结合具体设备案例，构建标准化的固件熵分析理论体系。

1. 香农信息熵核心理论与公式解读

1.1 信息熵定义

信息熵由香农提出，是信息论的核心量化指标，用于表征离散信息的不确定性、混乱度与不可预测性。在二进制固件分析场景中，可直接理解为：一段二进制数据的字节分布无序程度，熵值越高，数据分布越随机、可预测性越低；熵值越低，数据分布越规律、可预测性越高。

固件二进制数据由 0x00-0xFF 共256种字节组成，信息熵通过统计所有字节的出现概率，量化计算数据整体混乱程度。

1.2 标准香农信息熵公式

针对固件二进制字节数据的离散熵计算公式：

$$H(X) = -\sum_{i=0}^{255} p(x_i) \log_2 p(x_i)$$

公式取值范围：0 ≤ H(X) ≤ 8，固件分析中通常做归一化处理，将熵值映射为 0 ~ 1 区间，适配熵图可视化展示。

1.3 公式逐参数解读

• H(X)：最终计算得到的信息熵值，代表当前数据块的混乱程度；
• i：字节取值索引，对应二进制所有可能字节（0x00 ~ 0xFF，共256类）；
• p(x_i)：某一字节 $$x_i$$ 在当前统计数据窗口内的出现概率，满足 $$\sum_{i=0}^{255} p(x_i) = 1$$；
• log₂p(x_i)：概率对应的自信息，概率越小，单字节承载的信息量越大；
• 负号：用于抵消对数运算的负数结果，保证熵值恒为非负数。

1.4 公式核心逻辑总结

当数据中某一类字节出现概率趋近于1，其余字节概率趋近于0时，熵值趋近于0，代表数据高度规整、几乎无不确定性；当256类字节出现概率均匀分布、无明显差异时，熵值达到最大值，代表数据完全随机、无任何规律，可预测性最低。这一核心逻辑是所有固件熵图分析的理论基础。

2. 固件二进制数据的三类标准化熵值特征

基于信息熵公式的计算逻辑，所有嵌入式固件的二进制数据，均可划分为三类固定熵值特征，该分类适配所有嵌入式设备固件，具备普适性。

✅ 低熵（归一化≈ 0）：规整重复数据

当数据由单一或极少数字节重复填充构成时，绝大部分字节概率趋近于0，单一字节概率趋近于1，根据熵公式计算，最终熵值无限趋近于0。

数据特征：字节分布高度统一、无变化、可100%预测。

固件对应数据类型：Flash空闲填充区（0x00、0xFF批量填充）、分区对齐冗余空间、固定常量数据表。

✅ 中等熵（归一化 0.4～0.8）：结构化明文数据

数据包含有限种类的可打印字符、指令代码、文本内容，字节存在固定分布规律，部分字节出现概率高、部分字节概率低，熵值处于中间区间，混乱度适中。

数据特征：存在可识别规律，既非完全重复，也非完全随机。

固件对应数据类型：脚本文件、配置文件、网页源码、未压缩可执行程序、系统文本日志。

✅ 高熵（归一化≈ 1）：压缩/加密随机数据

经过压缩或加密算法处理后，原始数据的结构化规律被完全抹平，256类字节出现概率趋近均匀分布，通过熵公式计算可得到最大熵值，数据趋近真随机状态。

数据特征：无任何可预判规律、字节分布杂乱无章。

固件对应数据类型：各类压缩内核、压缩文件系统、对称加密配置数据、设备协处理器二进制固件。

3. 熵图分析相较于传统特征码扫描的核心优势

传统固件分析工具以魔数、特征码匹配为核心识别逻辑，存在天然的技术局限性，无法适配复杂、定制化固件分析场景，而熵图分析从数据底层属性出发，完美弥补其短板。

• 突破特征码限制：私有加密数据、自研压缩算法数据无通用魔数，传统工具无法识别，而熵图可通过高熵特征精准判定未知随机数据区块；
• 精准界定分区边界：碎片化文件系统会产生大量零散特征码记录，无法界定完整分区范围，熵图可通过熵值突变特征，清晰划分不同属性数据的边界；
• 区分有效数据与空白数据：传统扫描无法快速筛选固件中的空闲填充区，熵图可通过零熵特征快速区分有效数据块与冗余空白块；
• 通用性极强：不依赖设备架构、固件系统、厂商定制逻辑，基于统一的信息熵理论，适配所有嵌入式二进制固件。
• 熵图的核心价值：脱离表层文件特征，从底层字节分布本质，还原固件整体存储结构。

4. binwalk 熵图生成标准化实操命令

4.1 环境依赖安装

binwalk 可视化熵图依赖Python绘图库，缺失依赖会导致熵图生成失败，标准化安装命令如下：

sudo apt update
sudo apt install python3-matplotlib python3-pil python3-numpy

4.2 基础熵图生成命令

执行熵分析并生成可视化熵图，同时输出固件扫描日志：

binwalk -E firmware.bin
参数释义：-E/--entropy 开启熵分析功能，自动生成同名PNG格式熵图文件。

4.3 静默熵图生成命令

仅生成熵图，屏蔽冗余控制台日志，适合快速分析：

binwalk -Eq firmware.bin

4.4 原始熵数据导出命令

导出精准的偏移量-熵值原始数据，可用于制作交互式HTML熵图，实现精细化边界定位：

binwalk --entropy-file entropy.txt firmware.bin

5. 标准化熵图读图理论体系

熵图横轴为固件二进制文件字节偏移，代表数据存储位置；纵轴为归一化后的熵值（0~1），代表对应位置数据的混乱度。固件熵图的曲线变化存在标准化、通用的解读逻辑，无设备特异性。

5.1 震荡型曲线（高低熵交替波动）

曲线无规律剧烈起伏，是多种不同属性数据交错排布的典型特征。通常对应固件引导分区区域，包含机器指令、配置表格、零散参数节点、头部标识等混合数据，结构化数据、微压缩数据、空白填充交替出现，最终形成震荡熵曲线。

5.2 连续高熵平顶曲线

熵值长期稳定趋近于1，曲线呈平直贴顶状态，是压缩数据与加密数据的核心特征。连续无波动高熵对应整块标准化压缩数据；带细微毛刺的高熵曲线，对应内嵌明文节点的压缩型文件系统数据。

5.3 零熵平直基线

熵值恒定为0，曲线贴合横轴，代表纯重复填充的无效数据区域，即固件空闲闪存空间、分区对齐冗余区域，无任何有效业务数据。

5.4 锯齿型高低熵交替曲线

高熵区块与零熵区块短间隔交替出现，是加密分区的典型特征。加密有效数据呈现高熵，加密区块之间的填充空间呈现零熵，二者交替形成规律锯齿形态，此类数据无法通过传统特征码扫描识别。

5.5 熵值突变边界准则（核心判据）

熵值的断崖式突变，是固件不同分区、不同数据类型的物理边界：熵值从0骤升至1，代表从空白区进入有效压缩/加密数据区；熵值从1骤降至0，代表有效数据区结束，进入空白填充区。

6. 熵图在固件逆向中的四大核心理论应用

用途1：精准界定完整分区边界

传统特征码扫描仅能输出碎片化数据节点，无法判定分区整体范围。基于熵图连续区块理论，可通过连续同特征熵曲线锁定完整分区，解决文件系统分区截取不完整、偏移错误的核心问题。

用途2：识别未知私有加密/压缩数据

针对无公开特征码的厂商私有加密、自研压缩数据，传统工具完全失效。依托信息熵理论，只要数据经过随机化处理，必然呈现高熵特征，可快速识别隐藏的私有数据分区。

用途3：数据类型快速预判与分析方案选型

基于标准化熵值特征，可无需解析文件头部，快速预判数据类型：零熵为空白填充、中熵为明文结构化数据、平滑高熵为纯压缩数据、毛刺高熵为复合型文件系统、锯齿高熵为加密数据，以此匹配对应的解析、解压、解密方案，大幅提升分析效率。

用途4：固件完整性与重打包合法性校验

固件原始熵曲线为唯一基准特征，对固件进行修改、拆分、重打包后，可通过熵图比对校验：非修改区域熵曲线完全一致，代表分区偏移、数据结构无异常；若出现熵曲线畸变、断层、偏移，证明固件结构被破坏，规避刷写失败、设备变砖风险。

7. 熵图分析常见理论误区（标准化避坑指南）

• 误区1：高熵数据等价于加密数据 → 理论纠错：压缩数据与加密数据均可产生最大熵值，熵图仅能判定数据为随机化数据，无法区分压缩与加密，需结合解压、解密验证进一步甄别。
• 误区2：零熵空白区域可直接裁剪删除 → 理论纠错：嵌入式闪存遵循固定块对齐机制，零熵填充区是分区对齐的必要结构，裁剪后会导致分区偏移、固件结构失效，属于不可逆破坏性操作。
• 误区3：熵图可独立完成固件全量分析 → 理论纠错：熵图负责定结构、划边界，特征码扫描工具负责定内容、识文件，二者为互补关系，不可单独依赖单一手段完成逆向分析。
• 误区4：中等熵数据均为明文可编辑数据 → 理论纠错：部分轻量化自研压缩算法、简易混淆数据，也会呈现中等熵特征，需通过数据解析验证，不可直接判定为明文数据。

8. 总结：标准化固件熵分析理论体系

信息熵是固件熵图分析的底层理论支撑，通过量化二进制字节的混乱度，突破了传统特征码扫描的技术瓶颈。在固件逆向工作中，可固化一套纯标准化、通用化的分析逻辑：依托香农熵公式量化数据属性 → 熵图可视化还原固件整体结构 → 界定分区边界与数据类型 → 配合特征码工具精准解析内容 → 熵图二次校验固件完整性。

熵图不依赖设备架构、固件类型、厂商定制逻辑，是嵌入式固件逆向领域最基础、最通用、最高效的结构性分析手段，是固件安全分析与二次开发的核心必备理论技能。