GitHub上有个项目叫PayloadsAllTheThings，解具下star数快破万了，包工但很多人不知道它真正的解具下用法——不是给你抄payload，而是包工让你理解每个payload背后的逻辑。今天不谈那个，解具下只说解包工具。包工你手里攥着一个从某CTF比赛或渗透测试中拿到的解具下固件包，后缀是包工.bin或.img，hexdump一看全是解具下乱码，这时候你需要的包工是binwalk。这工具没什么花哨界面，解具下命令行一敲，包工几秒钟内告诉你文件里嵌了几个东西，解具下偏移量多少，包工文件系统类型是解具下什么。我见过有人拿它拆开一个路由器固件，结果在里面翻出了厂商忘记删除的私钥，那种感觉，比开盲盒刺激多了。

binwalk下载很简单，GitHub上直接clone，或者apt install binwalk。但别急着跑，默认配置下它只做签名扫描，很多压缩格式识别不了。你得加上-e参数，让它自动提取。有一次我处理一个智能门锁的固件，binwalk -e跑完，解出来一个squashfs文件系统，但挂载失败，报错说superblock校验不对。后来才发现，厂商在固件头部塞了自定义加密，binwalk只识别出了外层结构，真正的文件系统被藏在更深处。这时候你得用dd命令手动切割，或者上firmware-mod-kit。后者是个老牌工具集，专门处理固件解包和重打包，虽然维护频率不高，但对付大多数嵌入式设备还是够用的。

如果你面对的是Android的boot.img或recovery.img，那得换工具。Android的格式跟普通固件不一样，头部有page size、kernel size这些字段，用binwalk硬拆容易拆出垃圾。这时候用abootimg或者mkbootimg，前者是分析工具，后者是打包工具。我习惯先跑abootimg -i boot.img查看分区布局，再手动提取kernel和ramdisk。ramdisk是个gzip压缩的cpio归档，解压后能看到完整的rootfs目录结构——里面往往藏着init.rc脚本，改这个脚本就能实现开机自启后门，这也是很多定制ROM的惯用伎俩。

还有个容易忽略的场景：Python的pyinstaller打包文件。你拿到一个exe，想看看里面有没有硬编码的API密钥，直接strings扫是能扫到，但乱得很。这时候用pyinstxtractor.py，脚本一跑，把exe拆成pyc文件，再用uncompyle6反编译，源码就出来了。我上周帮朋友分析一个恶意样本，就是用这套流程，在main.pyc里找到了一段混淆过的C2服务器地址。整个过程不到五分钟，比手动翻hex快太多了。

工具下载这事，渠道比工具本身更重要。GitHub是首选，但有些项目被DMCA下架了，比如某些针对特定厂商的提取脚本。这时候去GitLab或者SourceForge找镜像，再不行就上archive.org翻历史快照。别从不知名论坛下载打包好的“绿色版”，里面指不定塞了什么。我习惯用pip安装Python工具链，比如cstruct、lzma、zstandard这些库，配合脚本能解决大部分自定义格式的解包需求。如果你连Python环境都懒得配，那就用在线服务，比如firmware.motrola.com那个提取工具，上传固件，网页端直接给出文件系统树——不过要注意，在线服务有泄露风险，敏感文件别传。

最后提醒一句，解包工具不是万能的。遇到加密固件，先看启动日志有没有泄露密钥，或者搜索芯片型号的默认调试接口。解包只是第一步，解包之后的分析才是重头戏。工具下载地址我放在下面，自己动手试试比看任何教程都管用。

binwalk: https://github.com/ReFirmLabs/binwalk
firmware-mod-kit: https://github.com/rampageX/firmware-mod-kit
pyinstxtractor: https://github.com/extremecoders-re/pyinstxtractor
abootimg: https://github.com/ggrandou/abootimg