用途：面向嵌入式设备与 PCB 的物理攻击面评估。前提是持有设备并获书面授权打开、修改；开壳与改动具有破坏性风险，芯片拆卸、毛刺注入和引导程序修改可能不可逆，需先确认所有者接受该风险。
主要能力：在未标注测试点与排针上寻找接口——UART（用万用表与逻辑分析仪识别 TX/RX/GND/VCC，USB-TTL 适配器连接，screen/minicom/picocom 打开控制台，常见波特率 115200）；JTAG/SWD（JTAGulator 爆破引脚，OpenOCD 配合 Bus Pirate、J-Link、Black Magic Probe，可停机 CPU、读写内存寄存器、dump 并打补丁）；SPI/I2C 闪存（SOIC8 测试夹加 flashrom、CH341A 或 Bus Pirate，在线或离片 dump）。协议或引脚未知时用逻辑分析仪（Saleae 或 sigrok/PulseView）。
使用方式：UART 常直接给出 root shell 或认证控制台，否则中断引导程序（U-Boot 常需按键）改内核命令行，如 init=/bin/sh 或单用户模式；JTAG 用于 dump flash/RAM、读密钥或绕过校验；SPI dump 即固件镜像，交给 analyzing-firmware-images 做提取与分析，该路径在 UART 与 JTAG 被锁定 时仍可用。安全启动评估关注信任链中未验证环节、调试路径与可跳过的检查，以及生产机 JTAG 禁用与安全启动熔丝是否真正烧断。故障注入（电压/时钟毛刺，ChipWhisperer 级工具）可跳过签名或比较，属高级手段，应按可行性研究而非保证结果来界定。sub-GHz 射频（315/433/868/915 MHz）用 RTL-SDR 接收配合 Universal Radio Hacker 或 GNU Radio 捕获分析，关键结论是固定码还是滚动码（KeeLoq 类）；发射须在屏蔽/射频隔离实验室内进行，不得在未授权频段空口发射。
限制：不覆盖已 dump 固件的提取分析、Wi-Fi、蓝牙/BLE 与 NFC/RFID、单个二进制逆向，这些属其他技能。射频发射受法规约束，接收一般无源；发现接口前不要因无标注排针就断定无调试访问。无标注测试点、闪存加密或已启用安全启动都不能单独作为结论。参考资料提及 analyzing-firmware-images、attacking-bluetooth-nfc、attacking-wireless-networks、analyzing-binaries、maintaining-engagement-state。