如何利用IDAPro逆向分析ARM二进制映像

李肖遥 2023-11-29 22:09
    关注、星标公众号,直达精彩内容




在本文中,我们将以ANYTONE 878UVII对讲机中的固件为例,为大家演示如何对ARM固件映像进行逆向分析。不过,本文中的大部分内容,对于ARM架构来说都是通用的。
本文假设读者已经熟悉IDA Pro,并且至少分析过一些普通的二进制文件。如果您还不熟悉IDA,只需在网上搜索一下,就能找到许多非常优秀的入门教程,大家可以先通过它们来掌握相关的基础知识。

固件映像

就本文来说,我们只需IDA Pro和ANYTONE 878UVII对讲机的固件映像就能搞定我们的实验。并且,所需的映像还可以从分销商网站下载。实际上,下载哪个版本并不重要,但本文是将以2.04版本为例进行介绍。
在下载的更新包中,我们可以找到FW文件夹,其中包含三个文件:CDI、SPI和CDD文件。其中,CDD是最大的文件,它实际上就是我们要分析的固件映像。
这次我们的运气不错,因为这个固件映像并没有加密,否则,事情就会麻烦一些。它只是内部闪存中的映像,甚至连文件头都没有。并且,该文件的元数据被拆分为单独的文件。所以,我们可以直接在IDA Pro中加载CDD文件。

技术背景

ANYTONE 878系列对讲机使用的是GigaDevice GD32 ARM Cortex-M4微控制器:通过拆开对讲机,我们就能看到这些芯片的型号。
除了拆对讲机外,实际上还有另一种更方便的方法:查询FCC。如果您的设备符合FCC的要求,网上应该有关于它的公开信息。这时,我们可以直接在FCC或独立的数据库中搜索制造商的信息。大多数情况下,我们会找到一份带有“内部照片”的文件。这个文件通常能够提供我们感兴趣的信息,比如芯片型号等,这样,我们就不用拆机了。
重要的是,我们建议大家下载CPU的数据表,并保存起来供后面使用:后面步骤中需要设置的参数,都可以从中找到。

关于CPU的相关设置

首先要做的是,把CDD拖到打开的IDA Pro窗口中,或者通过文件菜单打开它。IDA会检测出这是一个二进制文件。然后,将“Processor type”指定为 “ARM little-endian”,具体如下图所示。
现在,先别按“Ok”按钮,因为还要对处理器选项进行一些设置。我们知道,这种设备使用的处理器是基于ARMv7E-M架构的。因此,我们必须对处理器选项做相应的修改。最佳设置如下图所示;为此,需要按下“Processor options”菜单中的“Edit ARM architecture Options”按钮,这样就可以找到中间的窗格了。
由于这个项目与Thumb指令集高度相关,所以也建议在“ARM specific options”中勾选“No automatic ARM THUMB switching”选项。虽然这一点并没有显示在上面的截图中,但对本项目来说的确是一个非常有用的设置。

加载映像

现在,我们已经完成了基本的CPU设置。接下来,我们需要将加载的固件映像重新定位到正确的偏移量处。这个固件映像将被加载到IDA数据库的ROM部分。由于CPU不会从文件中的0x00处开始加载映像,所以,我们必须重新定位。如果跳过这一步,交叉引用将被破坏,反汇编文件将无法正常工作。我们的目标设备中使用的ARM CPU将要求映像从偏移量0x8004000处开始。这里其实就是映射到物理ROM的内存位置,所以,我们需要将文件映射到这个地址。
在单击“Load new file”对话框中的Ok按钮之后,将会出现如下所示的对话框。通常情况下,RAM的大小和ROM的大小并不需要调整。它们现在已经正确地自动填充好了。
接下来要做的事情,就是创建一个RAM分区。为此,可以勾选“Create RAM section”,分配的RAM将从0x20000000位置开始,长度为0x17FFF。

如何找到正确的内存偏移量

如果读者是第一次接触这方面的内容,通常会有这样的疑问:这些值是如何确定的?答案很简单,我们可以从之前下载的数据手册中找到它们。
从第17页的内存映射部分,我们可以找到主闪存(固件文件)的加载地址。而在第16页中,我们可以找到SRAM偏移量和这段内存的长度。
很简单吧?上面所做的只是将文件/映像重新定位到从我们的数据表中获取的正确位置。关于主闪存有一个小技巧,第一个0x4000似乎是由引导程序获取的,所以,我们的二进制文件必须位于0x8004000处。

二进制文件的结构

对于第一次使用IDA的读者来说,感觉可能非常奇怪:它并没有像其他软件一样进行自动分析,也没有展示程序代码,相反,它只是给出了大量的十六进制字符。难道是我们哪里做错了吗?很可能不是。如果您正在使用IDA Pro分析固件映像,这是非常正常的现象。这里的难点在于,我们必须自己从头开始进行分析。
但这也没有想象的那么难。首先,让我们考察文件的开头位置。这是ARM CPU开始执行代码的地方。在这个偏移量处,一个被称为向量表的结构被定位,它在ARM Cortex通用用户指南中有很好的详细描述。
正如我们在用户指南的图形中所看到的,偏移量0x0000(0x08004000)处包含初始堆栈指针。CPU将在这个地址加载接下来的四个字节,并将其用作指向未来堆栈的指针。

复位处理程序

接下来的字节是各种处理程序,最重要的是复位处理程序(reset handler)。它正是CPU要启动或重新启动时将会跳转到的地方。
它又是一个4字节的地址,对于我们的映像来说,这个地址很容易解析。正如链接的ARM用户指南文章所告诉我们的,如果地址的最低有效位为1,则处理程序为Thumb。
在我们的例子中,该地址的最后一个字节是0xF9,二进制形式为11111001B。我们可以看到,这里的最低有效位确实是1。因此,我们需要将复位处理程序的入口点改为Thumb。实际上,复位处理程序的实际偏移量也由于该位的值而移动了一个字节。
0xF9 = 11111001b (with Thumb indicator)
0xF8 = 11111000b (without)
单击这个偏移量,就会跳转到复位处理程序的地址减1个字节的地方。现在,请按“Alt+G”,这时会打开一个对话框,我们需要将下面的部分定义为Thumb(CODE16)。
这个项目主要涉及Thumb指令集,因此,您也可以从ROM段的第一个字节开始使用Thumb代码。请记住,这一点并非适用于所有的ARM项目。但对于这个项目来说,这是没问题的。
将当前偏移量改为CODE16后,只需按“C”,就能在该偏移量处创建代码了。现在,我们就应该可以看到复位处理程序的代码了。

查找其他代码和字符串

上面介绍的方法虽然能用,但是通过手动方式来创建所有的代码是相对繁琐的。别担心,我们可以借助于脚本来完成这些任务。实际上,Maddie Stone已经为IDA Pro创建了许多非常方便的脚本,能够给我们带来极大的便利。
由于她的脚本不能用于较新的IDA版本(在写这篇文章时,最新的版本为7.7),所以,我们专门把适用于IDA 7.x版本的脚本上传到了Github上,读者可以从https://github.com/alexander-pick/IDAPythonEmbeddedToolkit下载。为了支持基于ARM的项目,我已经对这些代码做了相应的处理。
首先,我们可以使用脚本define_code_functions.py,在0x08004000到0x080963DC大致范围内创建代码。如果脚本询问是否要撤销现有的代码,请选择No。
IDA Pro应该可以正常工作了,此时的ROM部分应该开始变得更有趣了。
接下来,我们可以使用make_strings.py脚本,在ROM的其余部分创建字符串。这时,你会在其中发现许多我们感兴趣的字符串。

关于字符串引用

分析这个固件时,我们会发现一个奇怪的现象。由于ANYTONE的开发人员为多国语言创建了固件,所以,他们使用了引用表。因此,这可能导致我们会遗漏某些字符串的引用。之所以会发生这种情况,是因为这些字符串是根据选择的语言来动态加载的。遗憾的是,基于IDA的静态分析是无法解决这个问题的。
不过,引导过程中的一些字符串是直接嵌入的,所以它们解析起来问题不大。因此,我们可以从这些字符串开始下手。
为了做进一步的分析,我们需要能够识别一些基本的OS函数,即操作嵌入字符串的函数,比如“print”或“read”函数等。当然,类似“memcpy”这样的函数在各种操作系统中都是非常常见的。
非常值得注意的是“print_string”函数(一旦识别出来,我就把它重命名为这个名字)。它接受一些坐标和一个字符串作为参数,并将字符串显示在屏幕上给定的位置处。这个函数在启动菜单中被大量使用。
从固件镜像中的字符串可以识别出设备使用的RTOS(实时操作系统)是μC/OS-II。μC/OS-II是一个用ANSI C编写的免费实时操作系统。关于该系统的进一步介绍,以及相关文档,读者可以在这里找到;而相关代码则可以从这里下载。感兴趣的读者可以参考这些资料,它们应该对您有很大的帮助。

I/O和外围设备

像这样基于ARM的CPU通常使用特殊的内存区域来处理地址总线、GPIO、I/O或简单的定时器和时钟,具体请参阅数据表。实际上,在第14页中,大家可以找到我们用来指定加载偏移量的内存映射。该映射还包含要添加到数据库中的特殊内存区域。
打开IDA中的内存区域视图(segments view)并将它们添加到数据库中,结果应该与下图类似。如果你想偷懒,则可以使用这个IDC(https://github.com/alexander-pick/useful-script-and-code/blob/master/GD32F303xx_segments.idc)来完成这个过程。
现在,请重新运行自动分析(Options -> General -> Reanalyse program)以创建交叉引用。
一旦你完成了上面的步骤,就可以查看感兴趣的内存区域,看看是否有对它们的交叉引用。这些可以帮助您找到使用特定总线、GPIO或I/O的函数。
如果您查找操作UART的函数,只需检查UART区域,就会找到对它的引用。这在没有或只有很少字符串作为引用的情况下是特别有用的。

小结

我认为,到目前为止,您应该已经具备了自己研究这一主题所需的一切。
如果大家有兴趣可以试试,当然软件也给大家准备好了,回复IDA即可获取。
参考及来源:https://do1alx.de/2022/reverse-engineering-radios-arm-binary-images-in-ida-pro/
版权声明:本文来源网络,免费传达知识,版权归原作者所有。如涉及作品版权问题,请联系我进行删除。

‧‧‧‧‧‧‧‧‧‧‧‧‧‧‧‧  END  ‧‧‧‧‧‧‧‧‧‧‧‧‧‧‧

关注我的微信公众号,回复“加群”按规则加入技术交流群。


点击“阅读原文”查看更多分享,欢迎点分享、收藏、点赞、在看。

李肖遥 公众号“技术让梦想更伟大”,作者:李肖遥,专注嵌入式,只推荐适合你的博文,干货,技术心得,与君共勉。
评论
  • 这篇内容主要讨论三个基本问题,硅电容是什么,为什么要使用硅电容,如何正确使用硅电容?1.  硅电容是什么首先我们需要了解电容是什么?物理学上电容的概念指的是给定电位差下自由电荷的储藏量,记为C,单位是F,指的是容纳电荷的能力,C=εS/d=ε0εrS/4πkd(真空)=Q/U。百度百科上电容器的概念指的是两个相互靠近的导体,中间夹一层不导电的绝缘介质。通过观察电容本身的定义公式中可以看到,在各个变量中比较能够改变的就是εr,S和d,也就是介质的介电常数,金属板有效相对面积以及距离。当前
    知白 2025-01-06 12:04 209浏览
  • 故障现象一辆2017款东风风神AX7车,搭载DFMA14T发动机,累计行驶里程约为13.7万km。该车冷起动后怠速运转正常,热机后怠速运转不稳,组合仪表上的发动机转速表指针上下轻微抖动。 故障诊断 用故障检测仪检测,发动机控制单元中无故障代码存储;读取发动机数据流,发现进气歧管绝对压力波动明显,有时能达到69 kPa,明显偏高,推断可能的原因有:进气系统漏气;进气歧管绝对压力传感器信号失真;发动机机械故障。首先从节气门处打烟雾,没有发现进气管周围有漏气的地方;接着拔下进气管上的两个真空
    虹科Pico汽车示波器 2025-01-08 16:51 51浏览
  • 在智能家居领域中,Wi-Fi、蓝牙、Zigbee、Thread与Z-Wave等无线通信协议是构建短距物联局域网的关键手段,它们常在实际应用中交叉运用,以满足智能家居生态系统多样化的功能需求。然而,这些协议之间并未遵循统一的互通标准,缺乏直接的互操作性,在进行组网时需要引入额外的网关作为“翻译桥梁”,极大地增加了系统的复杂性。 同时,Apple HomeKit、SamSung SmartThings、Amazon Alexa、Google Home等主流智能家居平台为了提升市占率与消费者
    华普微HOPERF 2025-01-06 17:23 195浏览
  • 大模型的赋能是指利用大型机器学习模型(如深度学习模型)来增强或改进各种应用和服务。这种技术在许多领域都显示出了巨大的潜力,包括但不限于以下几个方面: 1. 企业服务:大模型可以用于构建智能客服系统、知识库问答系统等,提升企业的服务质量和运营效率。 2. 教育服务:在教育领域,大模型被应用于个性化学习、智能辅导、作业批改等,帮助教师减轻工作负担,提高教学质量。 3. 工业智能化:大模型有助于解决工业领域的复杂性和不确定性问题,尽管在认知能力方面尚未完全具备专家级的复杂决策能力。 4. 消费
    丙丁先生 2025-01-07 09:25 108浏览
  • 每日可见的315MHz和433MHz遥控模块,你能分清楚吗?众所周知,一套遥控设备主要由发射部分和接收部分组成,发射器可以将控制者的控制按键经过编码,调制到射频信号上面,然后经天线发射出无线信号。而接收器是将天线接收到的无线信号进行解码,从而得到与控制按键相对应的信号,然后再去控制相应的设备工作。当前,常见的遥控设备主要分为红外遥控与无线电遥控两大类,其主要区别为所采用的载波频率及其应用场景不一致。红外遥控设备所采用的射频信号频率一般为38kHz,通常应用在电视、投影仪等设备中;而无线电遥控设备
    华普微HOPERF 2025-01-06 15:29 160浏览
  • 根据环洋市场咨询(Global Info Research)项目团队最新调研,预计2030年全球无人机锂电池产值达到2457百万美元,2024-2030年期间年复合增长率CAGR为9.6%。 无人机锂电池是无人机动力系统中存储并释放能量的部分。无人机使用的动力电池,大多数是锂聚合物电池,相较其他电池,锂聚合物电池具有较高的能量密度,较长寿命,同时也具有良好的放电特性和安全性。 全球无人机锂电池核心厂商有宁德新能源科技、欣旺达、鹏辉能源、深圳格瑞普和EaglePicher等,前五大厂商占有全球
    GIRtina 2025-01-07 11:02 115浏览
  •  在全球能源结构加速向清洁、可再生方向转型的今天,风力发电作为一种绿色能源,已成为各国新能源发展的重要组成部分。然而,风力发电系统在复杂的环境中长时间运行,对系统的安全性、稳定性和抗干扰能力提出了极高要求。光耦(光电耦合器)作为一种电气隔离与信号传输器件,凭借其优秀的隔离保护性能和信号传输能力,已成为风力发电系统中不可或缺的关键组件。 风力发电系统对隔离与控制的需求风力发电系统中,包括发电机、变流器、变压器和控制系统等多个部分,通常工作在高压、大功率的环境中。光耦在这里扮演了
    晶台光耦 2025-01-08 16:03 44浏览
  • PLC组态方式主要有三种,每种都有其独特的特点和适用场景。下面来简单说说: 1. 硬件组态   定义:硬件组态指的是选择适合的PLC型号、I/O模块、通信模块等硬件组件,并按照实际需求进行连接和配置。    灵活性:这种方式允许用户根据项目需求自由搭配硬件组件,具有较高的灵活性。    成本:可能需要额外的硬件购买成本,适用于对系统性能和扩展性有较高要求的场合。 2. 软件组态   定义:软件组态主要是通过PLC
    丙丁先生 2025-01-06 09:23 93浏览
  • 本文介绍编译Android13 ROOT权限固件的方法,触觉智能RK3562开发板演示,搭载4核A53处理器,主频高达2.0GHz;内置独立1Tops算力NPU,可应用于物联网网关、平板电脑、智能家居、教育电子、工业显示与控制等行业。关闭selinux修改此文件("+"号为修改内容)device/rockchip/common/BoardConfig.mkBOARD_BOOT_HEADER_VERSION ?= 2BOARD_MKBOOTIMG_ARGS :=BOARD_PREBUILT_DTB
    Industio_触觉智能 2025-01-08 00:06 83浏览
  • 彼得·德鲁克被誉为“现代管理学之父”,他的管理思想影响了无数企业和管理者。然而,关于他的书籍分类,一种流行的说法令人感到困惑:德鲁克一生写了39本书,其中15本是关于管理的,而其中“专门写工商企业或为企业管理者写的”只有两本——《为成果而管理》和《创新与企业家精神》。这样的表述广为流传,但深入探讨后却发现并不完全准确。让我们一起重新审视这一说法,解析其中的矛盾与根源,进而重新认识德鲁克的管理思想及其著作的真正价值。从《创新与企业家精神》看德鲁克的视角《创新与企业家精神》通常被认为是一本专为企业管
    优思学院 2025-01-06 12:03 152浏览
  • 村田是目前全球量产硅电容的领先企业,其在2016年收购了法国IPDiA头部硅电容器公司,并于2023年6月宣布投资约100亿日元将硅电容产能提升两倍。以下内容主要来自村田官网信息整理,村田高密度硅电容器采用半导体MOS工艺开发,并使用3D结构来大幅增加电极表面,因此在给定的占位面积内增加了静电容量。村田的硅技术以嵌入非结晶基板的单片结构为基础(单层MIM和多层MIM—MIM是指金属 / 绝缘体/ 金属) 村田硅电容采用先进3D拓扑结构在100um内,使开发的有效静电容量面积相当于80个
    知白 2025-01-07 15:02 137浏览
  • By Toradex 秦海1). 简介嵌入式平台设备基于Yocto Linux 在开发后期量产前期,为了安全以及提高启动速度等考虑,希望将 ARM 处理器平台的 Debug Console 输出关闭,本文就基于 NXP i.MX8MP ARM 处理器平台来演示相关流程。 本文所示例的平台来自于 Toradex Verdin i.MX8MP 嵌入式平台。  2. 准备a). Verdin i.MX8MP ARM核心版配合Dahlia载板并
    hai.qin_651820742 2025-01-07 14:52 101浏览
  • 根据Global Info Research项目团队最新调研,预计2030年全球封闭式电机产值达到1425百万美元,2024-2030年期间年复合增长率CAGR为3.4%。 封闭式电机是一种电动机,其外壳设计为密闭结构,通常用于要求较高的防护等级的应用场合。封闭式电机可以有效防止外部灰尘、水分和其他污染物进入内部,从而保护电机的内部组件,延长其使用寿命。 环洋市场咨询机构出版的调研分析报告【全球封闭式电机行业总体规模、主要厂商及IPO上市调研报告,2025-2031】研究全球封闭式电机总体规
    GIRtina 2025-01-06 11:10 117浏览
  • 「他明明跟我同梯进来,为什么就是升得比我快?」许多人都有这样的疑问:明明就战绩也不比隔壁同事差,升迁之路却比别人苦。其实,之间的差异就在于「领导力」。並非必须当管理者才需要「领导力」,而是散发领导力特质的人,才更容易被晓明。许多领导力和特质,都可以通过努力和学习获得,因此就算不是天生的领导者,也能成为一个具备领导魅力的人,进而被老板看见,向你伸出升迁的橘子枝。领导力是什么?领导力是一种能力或特质,甚至可以说是一种「影响力」。好的领导者通常具备影响和鼓励他人的能力,并导引他们朝着共同的目标和愿景前
    优思学院 2025-01-08 14:54 47浏览
  • 本文介绍Linux系统更换开机logo方法教程,通用RK3566、RK3568、RK3588、RK3576等开发板,触觉智能RK3562开发板演示,搭载4核A53处理器,主频高达2.0GHz;内置独立1Tops算力NPU,可应用于物联网网关、平板电脑、智能家居、教育电子、工业显示与控制等行业。制作图片开机logo图片制作注意事项(1)图片必须为bmp格式;(2)图片大小不能大于4MB;(3)BMP位深最大是32,建议设置为8;(4)图片名称为logo.bmp和logo_kernel.bmp;开机
    Industio_触觉智能 2025-01-06 10:43 92浏览
我要评论
0
点击右上角,分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦