亲爱的猫头鹰船，就像我们在之前的帖子中宣布的那样，我们心爱的神调试器已决定将他的神圣光辉——裹着操作码——洒在他谦卑的仆人身上，我们在我们的庙宇中这里有一个新的讲道。请就座，聆听我们的一只猫头鹰和他的姐夫如何开始剖析Eufy生态系统的下一个组件：Eufy HomeBase 2的故事。在祭坛脚下的祈祷，亦即免责声明我们专注于分析Eufy HomeBase 2，而不是HomeBase 3，因为正如我们在《从门铃到家庭网络》中解释的那样，这是我在我的城市找到的版本，同时也是最容易购买的。我们在这里分析的固件版本是3.4.2.2h（2026-06-05 18:45:48）这是我第一次接触与“硬件”相关的事物。我一直在互联网下载的固件上进行漏洞猎杀，所以请原谅我犯下的罪行。重要提示：在继续阅读此篇之前，您必须先阅读上一篇文章。目录与上一篇文章一样，我们将在这里涵盖各种主题；因此，本协会的某些成员可能对某些部分没有兴趣，可能希望直接跳到他们最感兴趣的内容。这就是我们提供这一祝福奉献的原因：目录。0x00 固件提取。描述如何提取固件（以及我们如何损坏了一部分闪存）。0x01 确定WiFi凭证生成算法。逆向工程用于生成OCEAN_XXXXXX管理WiFi的WiFi凭证算法。0x02 对UART锁定的橡皮管处理。重新闪烁一个后门U-Boot映像，通过UART获取shell。0x03 出于调试目的的文件系统维护。恢复图像受到限制，因此需要一些文件系统缺陷才能运行主二进制文件。0x04 最后致辞。我对在AI时代写文章缺乏热情。在这篇传奇的前一章中，我提到过我们之所以能够提取门铃的固件，是因为HomeBase的闪存直接焊接在板上，并没有暴露任何我们可以连接测试钩以转储固件的引脚。起初我们并不想拆焊它（尽管我会在后面解释我们最终不得不这样做），所以我不得不等待额外硬件的到来。Craig S. Blackie指给我春夹，它的尺寸适合Winbond 25Q256JWEQ（WSON8 8.6mm）。夹子到达后，我创建了最简陋的设置，使用橡皮筋固定夹子，同时我开始使用树莓派的SPI0接口进行读取，就像我们对门铃所做的那样。使用橡皮筋进行固件读取的设置。我进行了三次读取，三次结果都有不同的校验和，这通常是某些东西出错的指示。检查转储后，我很快意识到它们是垃圾，完全无用。与门铃不同的是，在这种情况下，读取操作所提供的电源还激活了板上的其他组件，这些组件与内存交互；因此，为了提取固件，我们必须拆焊芯片并在板外读取它。我的姐夫（Óscar Lestón）是勇敢的人，他拆焊了闪存（我甚至不敢尝试）：拆焊。尽管移除后的存储模块看上去很糟糕，但损坏微乎其微……提取的闪存。最后我们复制了相同的设置，使用树莓派SPI 0来转储固件。这一次，三个转储具有相同的校验和，包含“有趣的数据”。唯一的问题是……一个64kbs的块被擦除/无法读取，很可能是因为我们在提取芯片时损坏了它。使用树莓派读取板外的芯片。大部分固件可以使用Binwalk提取。/ home / psyconauta / research / Eufy / homebase2 - firmware / chipoff / STUFF / extractions / homestation2_firmware00.bin ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 十进制 十六进制 描述 ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- 83328 0x14580 U - Boot版本字符串：1.1.3（2023年6月14日 - 16:18:56） 3022226 0x2E1D92 XZ压缩数据，总大小：11514432字节 14536660 0xDDCFD4 XZ压缩数据，总大小：2200字节 14538862 0xDDD86E XZ压缩数据，总大小：2084字节 14540948 0xDDE094 XZ压缩数据，总大小：1868字节 14542818 0xDDE7E2 XZ压缩数据，总大小：168字节 14542988 0xDDE88C XZ压缩数据，总大小：4192字节 14547182 0xDDF8EE XZ