针对基于Phison(群联)U盘的BadUSB攻击
修改U盘固件使之在插入电脑时能执行键盘指令。原文和源码在此，粗略翻译了一下。https://github.com/adamcaudill/Psychson
其实还有类似的成品卖，叫做USB Rubber Ducky ：http://192.64.85.110/
——————以下是翻译——————
Phison 2251-03 (2303) 自定义固件 & 固件打补丁
这个库包含以下项目：
-
DriveCom -- 一个PC上的C# 程序，用来与基于Phison主控的设备连接。
-
EmbedPayload -- 一个PC上的C# 程序，将 Rubber Ducky inject.bin key scripts嵌入到定制的firmware，使之在设备上工作。
-
Injector -- 一个PC上的C# 程序，用来从固件中提取 addresses/equates以及在固件上打补丁代码。
-
firmware -- 用C语言写的8051自定义固件。
-
patch -- 用C语言写的8051补丁代码。
发布了以下各项目：
-
patch -- 用C语言写的8051补丁代码。
-
tools -- 这是所需工具。皆为编译过的二进制文件。
-
CFW.bin -- 这个自定义固件的作用是发送预设的键盘指令。
请注意，这个固件的补丁仅针对PS2251-03 ，固件版本1.03.53(就是那个8K eD3 NAND flash chip)。其他设备有可能会运行。
只要你用了正确的固件镜像使之与控制器版本、NAND 芯片适配，在降级为早期版本的时候不会有什么损害。 (比如 1.10.53).
注意: 这是实验性质的软件，无论用在不支持的设备还是支持的设备上面，都有可能造成数据丢失，乃至对 设备造成永久损坏。请自负风险。
1.开始
查看 Known Supported Devices ，获知所支持的设备。对不被支持的设备进行操作的话可能会造成永久损坏。
开始之前，我们应该去弄一个烧录器镜像，就是8051的可执行文件。它应该被写入设备的FLASH芯片中。
浏览 Obtaining a Burner Image 获得更多信息。
2.构建编译环境
在修改当前的固件之前，你必须要设置好编译环境。
浏览 Setting Up the Environment 获得更多信息。在最小安装模式下，SDCC 需要被安装在 C:\Program Files\SDCC.
3.读出固件
运行DriveCom, 通过盘符来选择想要写入的盘，以及烧录器镜像的路径和存放固件的路径：
tools\DriveCom.exe /drive=E /action=DumpFirmware /burner=BN03V104M.BIN /firmware=fw.bin
如果盘符为E，BN03V104M.BIN 就是烧录器的镜像，fw.bin就是读出来的固件镜像。
目前只有 大小为200KB 固件镜像能被读出。(这也说明了为何要用 Patriot 8GB Supersonic Xpress 这个U盘)。
4.装入固件
运行DriveCom, 通过盘符来选择想要写入的盘，以及烧录器镜像的路径和（存放？）固件的路径：
tools\DriveCom.exe /drive=E /action=SendFirmware /burner=BN03V104M.BIN /firmware=fw.bin
如果盘符为E，BN03V104M.BIN 就是烧录器的镜像，fw.bin就是要写入的固件镜像。
5.测试Demo 1 (HID Payload)
在Rubber Ducky format创建一个 key script，然后用Duckencoder 创建 inject.bin ，如下所示：
java -jar duckencoder.java -i keys.txt -o inject.bin
其中 keys.txt 就是key script的路径。
你可能会注意到在Rubber Ducky与drive二者的延迟并不完全相同，可以通过调整script来补偿。
(工具来自 https://code.google.com/p/ducky-decode/.)
生成 inject.bin 以后,按以下操作来将其嵌入到定制化的固件中：
copy CFW.bin hid.bintools\EmbedPayload.exe inject.bin hid.bin
上文Inject.bin的路径设置为刚才生成 inject.bin 文件的路径, hid.bin 是 HID payload固件的路径。
(Notice that the firmware image is copied, and the payload is embedded into the copy -- 因为payload 只能被嵌入一次, 所以原来的 CFW.bin 必须保持完整.)
现在可以将固件写入设备：
tools\DriveCom.exe /drive=E /action=SendFirmware /burner=BN03V104M.BIN /firmware=hid.bin
如果目标盘符为E，BN03V104M.BIN就是烧录器镜像，hid.bin就是 HID payload 固件。
Huge thanks to the Hak5 team for their work on the excellent USB Rubber Ducky!