• 一种通过篡改特定代码数据修复嵌入式产品BUG的方法

    一、前言

            在嵌入式产品开发中，难以避免地会因为各种原因导致最后出货的产品存在各种各样的BUG，通常会给产品进行固件升级来解决问题。记得之前在公司维护一款BLE产品的时候，由于前期平台预研不足，OTA参数设置不当，导致少数产品出现不能OTA的情况，经过分析只需改变代码中的某个参数数值即可，但是产品在用户手里，OTA是唯一能更新代码的方式，只能给用户重发产品。后来在想，是否可以提前做好一个接口，支持动态地传输少量代码到产品中临时运行，通过修改特定位置的Flash代码数据来修复产品的棘手BUG？多留一个后门，有时候令产品出棘手问题的往往是那么一两行代码或者几个初始化的参数不对，那么这种方法也可以应应急，虽然操作比较骚，

            本文记录了自己的探究过程，需要对汇编语言的编码和实现机制有基本的掌握。

    二、创建演示工程

            本文以STM32F103C8T6单片机为例创建演示工程，分为app和bootloader两个工程。即将mcu的Flash分为“app”和“bootloader”两个区域， bootloader放在0x8000000为起始的24KB区域内，app放在0x8006000为起始的后续区域。bootloader完成对app的Flash数据修改。

    1、app工程

            注意app的工程需要在keil上修改ROM起始地址。

             还要在app代码的开头设置向量偏移（调用一行代码）：

    NVIC_SetVectorTable(NVIC_VectTab_FLASH, 0x6000);

            app工程的逻辑为：先顺序执行3个不同速度的LED闪灯过程（20ms、200ms、500ms、切换亮灭），最后进入到一个循环状态每秒切换一次LED的状态闪烁。代码如下：

    1. void init_led(void)
    2. {
    3. 	GPIO_InitTypeDef GPIO_InitStructure;
    4. 	
    5. 	RCC_APB2PeriphClockCmd(RCC_APB2Periph_GPIOB, ENABLE);
    6.  
    7. 	GPIO_InitStructure.GPIO_Pin = GPIO_Pin_All; 
    8. 	GPIO_InitStructure.GPIO_Mode = GPIO_Mode_Out_PP;	 
    9. 	GPIO_InitStructure.GPIO_Speed = GPIO_Speed_50MHz;	  
    10. 	GPIO_Init(GPIOB, &GPIO_InitStructure); 	  
    11. 	
    12. 	GPIO_ResetBits(GPIOB, GPIO_Pin_10);
    13. 	GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    14. }
    15.  
    16. void led_blings_1(void)
    17. {
    18. 	uint32_t i;
    19.  
    20. 	for (i = 0; i < 10; i++)
    21. 	{
    22. 		GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    23. 		delay_ms(20);  
    24.  
    25. 		GPIO_ResetBits(GPIOB, GPIO_Pin_10); 
    26. 		delay_ms(20);
    27. 	}
    28. }
    29.  
    30. void led_blings_2(void)
    31. {
    32. 	uint32_t i;
    33.  
    34. 	for (i = 0; i < 10; i++)
    35. 	{
    36. 		GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    37. 		delay_ms(200);  
    38.  
    39. 		GPIO_ResetBits(GPIOB, GPIO_Pin_10); 
    40. 		delay_ms(200);
    41. 	}
    42. }
    43.  
    44. void led_blings_3(void)
    45. {
    46. 	uint32_t i;
    47.  
    48. 	for (i = 0; i < 10; i++)
    49. 	{
    50. 		GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    51. 		delay_ms(500);  
    52.  
    53. 		GPIO_ResetBits(GPIOB, GPIO_Pin_10); 
    54. 		delay_ms(500);
    55. 	}
    56. }
    57.  
    58. int main()
    59. {
    60. 	NVIC_SetVectorTable(NVIC_VectTab_FLASH, 0x6000);
    61.  
    62. 	SysTick_Init(72);
    63.  
    64. 	init_led();
    65.  
    66. 	led_blings_1();
    67. 	led_blings_2();
    68. 	led_blings_3();
    69.  
    70. 	while (1)
    71. 	{
    72. 		GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    73. 		delay_ms(1000);  
    74.  
    75. 		GPIO_ResetBits(GPIOB, GPIO_Pin_10); 
    76. 		delay_ms(1000);
    77. 	}
    78. }

            为了分析汇编和查看bin文件数据，我们需要在keil中添加两条命令，分别生成.dis反汇编和.bin的代码文件。（具体的目录情况依葫芦画瓢）

    fromelf --text -a -c --output=all.dis Obj\Template.axf

    fromelf --bin --output=test.bin Obj\Template.axf

             先将app的代码烧写进单片机，注意烧写设置里面选择“Erase Sectors”只擦除需要烧写的地方。

    2、bootloader工程

            在bootloader中分为两部分，不变的代码部分和变动的代码部分（error_process函数）。初次编译的时候error_process写为空函数，当我们有需求对App进行修改的时候，我们重新编译工程对error_process函数进行填充。为了重新编译工程的时候不影响之前函数的链接地址，特意将error_process函数放到代码区的最后0x8000800地址处，理由是原来工程大小是1.51KB，擦除页大小是2KB，所以需要2KB对齐，对齐处的地址就选择0x8000800为起始。代码如下：

    1. #define FLASH_PAGE_SIZE 2048
    2. #define ERROR_PROCESS_CODE_ADDR 0x8000800
    3.  
    4. void error_process(void) __attribute__((section(".ARM.__at_0x8000800")));
    5.  
    6. void init_led(void)
    7. {
    8. 	GPIO_InitTypeDef GPIO_InitStructure;
    9. 	
    10. 	RCC_APB2PeriphClockCmd(RCC_APB2Periph_GPIOB, ENABLE);
    11.  
    12. 	GPIO_InitStructure.GPIO_Pin = GPIO_Pin_All; 
    13. 	GPIO_InitStructure.GPIO_Mode = GPIO_Mode_Out_PP;	 
    14. 	GPIO_InitStructure.GPIO_Speed = GPIO_Speed_50MHz;	  
    15. 	GPIO_Init(GPIOB, &GPIO_InitStructure); 	  
    16. 	
    17. 	GPIO_ResetBits(GPIOB, GPIO_Pin_10);
    18. 	GPIO_SetBits(GPIOB, GPIO_Pin_10); 
    19. }
    20.  
    21. uint32_t pageBuf[FLASH_PAGE_SIZE / 4];
    22.  
    23. void error_process(void)
    24. {
    25.  
    26. }
    27.  
    28. void eraseErrorProcessCode(void)
    29. {
    30. 	FLASH_Unlock();
    31. 	FLASH_ClearFlag(FLASH_FLAG_BSY | FLASH_FLAG_EOP | 
    32. 					FLASH_FLAG_PGERR | FLASH_FLAG_WRPRTERR);
    33. 	FLASH_ErasePage(ERROR_PROCESS_CODE_ADDR);
    34. 	FLASH_Lock();
    35. }
    36.  
    37. void(*boot_jump2App)();
    38.  
    39. void boot_loadApp(uint32_t addr)
    40. {
    41. 	uint8_t i;
    42. 	
    43. 	if (((*(vu32*)addr) & 0x2FFE0000) == 0x20000000)	
    44. 	{
    45. 		boot_jump2App = (void(*)())*(vu32*)(addr + 4);		
    46. 		
    47. 		__set_MSP(*(vu32*)addr);
    48. 		
    49. 		for (i = 0; i < 8; i++)
    50. 		{
    51. 			NVIC->ICER[i] = 0xFFFFFFFF;	
    52. 			NVIC->ICPR[i] = 0xFFFFFFFF;	
    53. 		}
    54. 		
    55. 		boot_jump2App();		
    56. 		
    57. 		while (1);
    58. 	}
    59. }
    60.  
    61. int main()
    62. {
    63. 	uint32_t flag;
    64.  
    65. 	SysTick_Init(72);
    66.  
    67. 	flag = *((uint32_t *)ERROR_PROCESS_CODE_ADDR);
    68.  
    69. 	if ((flag != 0xFFFFFFFF) && (flag != 0))
    70. 	{
    71. 		init_led();
    72. 		GPIO_ResetBits(GPIOB, GPIO_Pin_10); 
    73.  
    74. 		delay_ms(1000);
    75. 		delay_ms(1000);
    76.  
    77. 		error_process();
    78. 		eraseErrorProcessCode();
    79. 	}
    80.  
    81. 	boot_loadApp(0x8006000);
    82.  
    83. 	while (1);
    84. }

            一进main函数就读取0x8000800地址处的32位数据，如果不是全F或者全0那么这个地方是有函数体存在需要执行的，那么将LED亮起2秒钟代表bootloader识别到有处理程序需要执行（当然这里还需要加一些error_process代码数据是否完整之类的判断机制，这里演示先略去）。执行完处理程序后将处理程序擦除（数据变为全F），避免以后每次上电都重复擦写Flash。

            error_process函数代码的数据由产品正常使用期间通过数据接口传入直接写入到0x8000800处（这部分的demo略去），编译后查看生成的bin文件将error_process部分的代码截取出来传输到Flash地址0x8000800处。

            bootloader的代码烧写进单片机时注意烧写设置里面选择“Erase Sectors”只擦除需要烧写的地方。keil设置里ROM地址改回0x08000000。

    三、修改app的特定参数

             在app的工程中以“led_blings_1”函数为例，反汇编如下：

    1.     $t
    2.     i.led_blings_1
    3.     led_blings_1
    4.         0x08006558:    b510        ..      PUSH     {r4,lr}
    5.         0x0800655a:    2400        .$      MOVS     r4,#0
    6.         0x0800655c:    e010        ..      B        0x8006580 ; led_blings_1 + 40
    7.         0x0800655e:    f44f6180    O..a    MOV      r1,#0x400
    8.         0x08006562:    4809        .H      LDR      r0,[pc,#36] ; [0x8006588] = 0x40010c00
    9.         0x08006564:    f7fffea2    ....    BL       GPIO_SetBits ; 0x80062ac
    10.         0x08006568:    2014        .       MOVS     r0,#0x14
    11.         0x0800656a:    f7ffffaf    ....    BL       delay_ms ; 0x80064cc
    12.         0x0800656e:    f44f6180    O..a    MOV      r1,#0x400
    13.         0x08006572:    4805        .H      LDR      r0,[pc,#20] ; [0x8006588] = 0x40010c00
    14.         0x08006574:    f7fffe98    ....    BL       GPIO_ResetBits ; 0x80062a8
    15.         0x08006578:    2014        .       MOVS     r0,#0x14
    16.         0x0800657a:    f7ffffa7    ....    BL       delay_ms ; 0x80064cc
    17.         0x0800657e:    1c64        d.      ADDS     r4,r4,#1
    18.         0x08006580:    2c0a        .,      CMP      r4,#0xa
    19.         0x08006582:    d3ec        ..      BCC      0x800655e ; led_blings_1 + 6
    20.         0x08006584:    bd10        ..      POP      {r4,pc}
    21.     $d
    22.         0x08006586:    0000        ..      DCW    0
    23.         0x08006588:    40010c00    ...@    DCD    1073810432

            由于led是20ms交替亮灭一次，如果我们觉得这个参数有问题想改成100ms，从汇编上来说就是要改变两行代码：

            0x08006568:    2014        .       MOVS     r0,#0x14

            0x08006578:    2014        .       MOVS     r0,#0x14

            改为

            0x08006568:    2064        2       MOVS     r0,#0x64

            0x08006578:    2064        2       MOVS     r0,#0x64

            bootloader工程中error_process的函数实现如下：

    1. void error_process(void)
    2. {
    3. 	#define MODIFY_FUNC_ADDR_START 0x08006558
    4.  
    5. 	uint32_t alignPageAddr = MODIFY_FUNC_ADDR_START / FLASH_PAGE_SIZE * FLASH_PAGE_SIZE;
    6. 	uint32_t cnt, i;
    7.  
    8. 	// 1. copy old code
    9. 	memcpy(pageBuf, (void *)alignPageAddr, FLASH_PAGE_SIZE);
    10.  
    11. 	// 2. change code.
    12. 	pageBuf[90 + 256] = (pageBuf[90 + 256] & 0xFFFF0000) | 0x2064;
    13. 	pageBuf[94 + 256] = (pageBuf[94 + 256] & 0xFFFF0000) | 0x2064;
    14.  
    15. 	// 3. erase old code, copy new code.
    16. 	FLASH_Unlock();
    17. 	FLASH_ClearFlag(FLASH_FLAG_BSY | FLASH_FLAG_EOP | 
    18. 					FLASH_FLAG_PGERR | FLASH_FLAG_WRPRTERR);
    19. 	FLASH_ErasePage(alignPageAddr);
    20.  
    21. 	cnt = FLASH_PAGE_SIZE / 4;
    22. 	for (i = 0; i < cnt; i++)
    23. 	{
    24. 		FLASH_ProgramWord(alignPageAddr + i * 4, pageBuf[i]);
    25. 	}
    26.  
    27. 	FLASH_Lock();
    28. }

            由于Flash的2KB页擦除特性，这里先将待修改代码区的Flash页数据拷贝到缓冲buffer里，然后修改buffer里的数据，之后擦除Flash相关页，最后将buffer里修改后的数据重新写回到Flash里去。error_process函数的反汇编如下：

    1.     $t
    2.     .ARM.__at_0x8000800
    3.     error_process
    4.         0x08000800:    b570        p.      PUSH     {r4-r6,lr}
    5.         0x08000802:    4d1a        .M      LDR      r5,[pc,#104] ; [0x800086c] = 0x8006000
    6.         0x08000804:    142a        *.      ASRS     r2,r5,#16
    7.         0x08000806:    4629        )F      MOV      r1,r5
    8.         0x08000808:    4819        .H      LDR      r0,[pc,#100] ; [0x8000870] = 0x20000008
    9.         0x0800080a:    f7fffcbd    ....    BL       __aeabi_memcpy ; 0x8000188
    10.         0x0800080e:    4818        .H      LDR      r0,[pc,#96] ; [0x8000870] = 0x20000008
    11.         0x08000810:    f8d00568    ..h.    LDR      r0,[r0,#0x568]
    12.         0x08000814:    f36f000f    o...    BFC      r0,#0,#16
    13.         0x08000818:    f2420164    B.d.    MOV      r1,#0x2064
    14.         0x0800081c:    4408        .D      ADD      r0,r0,r1
    15.         0x0800081e:    4914        .I      LDR      r1,[pc,#80] ; [0x8000870] = 0x20000008
    16.         0x08000820:    f8c10568    ..h.    STR      r0,[r1,#0x568]
    17.         0x08000824:    4608        .F      MOV      r0,r1
    18.         0x08000826:    f8d00578    ..x.    LDR      r0,[r0,#0x578]
    19.         0x0800082a:    f36f000f    o...    BFC      r0,#0,#16
    20.         0x0800082e:    f2420164    B.d.    MOV      r1,#0x2064
    21.         0x08000832:    4408        .D      ADD      r0,r0,r1
    22.         0x08000834:    490e        .I      LDR      r1,[pc,#56] ; [0x8000870] = 0x20000008
    23.         0x08000836:    f8c10578    ..x.    STR      r0,[r1,#0x578]
    24.         0x0800083a:    f7fffd53    ..S.    BL       FLASH_Unlock ; 0x80002e4
    25.         0x0800083e:    2035        5       MOVS     r0,#0x35
    26.         0x08000840:    f7fffcca    ....    BL       FLASH_ClearFlag ; 0x80001d8
    27.         0x08000844:    4628        (F      MOV      r0,r5
    28.         0x08000846:    f7fffccd    ....    BL       FLASH_ErasePage ; 0x80001e4
    29.         0x0800084a:    14ae        ..      ASRS     r6,r5,#18
    30.         0x0800084c:    2400        .$      MOVS     r4,#0
    31.         0x0800084e:    e007        ..      B        0x8000860 ; error_process + 96
    32.         0x08000850:    4a07        .J      LDR      r2,[pc,#28] ; [0x8000870] = 0x20000008
    33.         0x08000852:    f8521024    R.$.    LDR      r1,[r2,r4,LSL #2]
    34.         0x08000856:    eb050084    ....    ADD      r0,r5,r4,LSL #2
    35.         0x0800085a:    f7fffd0d    ....    BL       FLASH_ProgramWord ; 0x8000278
    36.         0x0800085e:    1c64        d.      ADDS     r4,r4,#1
    37.         0x08000860:    42b4        .B      CMP      r4,r6
    38.         0x08000862:    d3f5        ..      BCC      0x8000850 ; error_process + 80
    39.         0x08000864:    f7fffcfe    ....    BL       FLASH_Lock ; 0x8000264
    40.         0x08000868:    bd70        p.      POP      {r4-r6,pc}
    41.     $d
    42.         0x0800086a:    0000        ..      DCW    0
    43.         0x0800086c:    08006000    .`..    DCD    134242304
    44.         0x08000870:    20000008    ...     DCD    536870920

             那么这124个字节就是最终要传输到0x8000800处的函数数据。传输完毕后软复位mcu，bootloader将app的Flash数据进行篡改，达到改变程序功能的目的。

            为什么要在bootloader运行时篡改app的数据？按理说在app运行时接收到error_process函数的更新数据后可以立刻运行，但是由于涉及到对app自身代码的修改，涉及Flash修改的一些相关函数有可能会被暂时破坏而导致代码运行崩溃。

    四、跳过app的某些函数

            如果想跳过“led_blings_1”函数，有2种方法：

    1、函数内部跳过

            即将以下汇编语句

            0x0800655a:    2400        .$      MOVS     r4,#0

            修改为

            0x0800655a:    e013        .$      B             0x08006584

            在“led_blings_1”函数入口处指令修改直接跳转到函数出口处。至于汇编的机器码和用法文末有相关资料可以查阅。

            因为修改处的字节偏移为0x55a，是pageBuf下标为342元素的高2Byte，需要在error_process函数中做如下修改：

    pageBuf[342] = (pageBuf[342] & 0x0000FFFF) | 0xe0130000;        

    2、函数调用处跳过

            main函数汇编如下：

    1.     $t
    2.     i.main
    3.     main
    4.         0x080065f8:    f44f41c0    O..A    MOV      r1,#0x6000
    5.         0x080065fc:    f04f6000    O..`    MOV      r0,#0x8000000
    6.         0x08006600:    f7fffe5c    ..\.    BL       NVIC_SetVectorTable ; 0x80062bc
    7.         0x08006604:    2048        H       MOVS     r0,#0x48
    8.         0x08006606:    f7ffff01    ....    BL       SysTick_Init ; 0x800640c
    9.         0x0800660a:    f7ffff85    ....    BL       init_led ; 0x8006518
    10.         0x0800660e:    f7ffffa3    ....    BL       led_blings_1 ; 0x8006558
    11.         0x08006612:    f7ffffbb    ....    BL       led_blings_2 ; 0x800658c
    12.         0x08006616:    f7ffffd3    ....    BL       led_blings_3 ; 0x80065c0
    13.         0x0800661a:    e011        ..      B        0x8006640 ; main + 72
    14.         0x0800661c:    f44f6180    O..a    MOV      r1,#0x400
    15.         0x08006620:    4808        .H      LDR      r0,[pc,#32] ; [0x8006644] = 0x40010c00
    16.         0x08006622:    f7fffe43    ..C.    BL       GPIO_SetBits ; 0x80062ac
    17.         0x08006626:    f44f707a    O.zp    MOV      r0,#0x3e8
    18.         0x0800662a:    f7ffff4f    ..O.    BL       delay_ms ; 0x80064cc
    19.         0x0800662e:    f44f6180    O..a    MOV      r1,#0x400
    20.         0x08006632:    4804        .H      LDR      r0,[pc,#16] ; [0x8006644] = 0x40010c00
    21.         0x08006634:    f7fffe38    ..8.    BL       GPIO_ResetBits ; 0x80062a8
    22.         0x08006638:    f44f707a    O.zp    MOV      r0,#0x3e8
    23.         0x0800663c:    f7ffff46    ..F.    BL       delay_ms ; 0x80064cc
    24.         0x08006640:    e7ec        ..      B        0x800661c ; main + 36
    25.     $d
    26.         0x08006642:    0000        ..      DCW    0
    27.         0x08006644:    40010c00    ...@    DCD    1073810432

            下面是调用语句

            0x0800660e:    f7ffffa3    ....    BL       led_blings_1 ; 0x8006558

            直接将此语句改为空语句nop（0xbf00）即可跳过调用，由于该命令占用4个字节，nop是两个字节的命令，所以替换为两个nop命令。

            0x0800660e:    bf00bf00    ....    NOP        

            因为修改处的字节偏移为0x60e，是pageBuf下标为387元素的高2Byte和下标为388元素的低2Byte，需要在error_process函数中做如下修改：

    pageBuf[387] = (pageBuf[387] & 0x0000FFFF) | 0xbf000000;        

    pageBuf[388] = (pageBuf[388] & 0xFFFF0000) | 0x0000bf00; 

            记得之前看过软件破解的一些教程，教怎么去绕过一些验证的，比较简单的方法也是这种类似的操作，通过修改验证入口来跳过验证。

    五、总结

            mcu跑程序无非就是按照固有的机制去取指令然后运行，我们升级代码往往是整套代码完全替换，本文提出一种通过对原代码少量Flash数据进行直接篡改的方式来修复固件bug的方法，这也许可以作为一个产品的后门使用。本文为了简单只演示核心想法，具体流程的完备性未做考虑。

    六、参考资料

    《ARM指令计算机器码,自己归纳整理的ARM THUMB指令机器码表》

    《thumb长跳转指令（BL）机器码详解》

    《armv7-A系列5- arm 指令集以及编码》

    《armlink使用方法详解》

    bootloader.rar

    app.rar

    链接：https://pan.baidu.com/s/10puoQW5YI7TKDH8jlr-Gmg  提取码：q6er

  • 相关阅读:
    NAND Vpass对读干扰和IO性能有什么影响？
    MinIO学习
    目标追踪Sort与DeepSort算法
    基于Java的在线问卷调查系统的设计与实现(源码+lw+部署文档+讲解等)
    每日两题 / 46. 全排列 && 41. 缺失的第一个正数（LeetCode热题100）
    Java 12 及Tomcat 部署配置
    PyTorch - autograd自动微分
    NVMe-MI --- Message Servicing Model（消息服务模型）
    嵌入式Linux学习(1)——经典CAN介绍(上)
    计算机毕业设计Java校园资料在线分享网站(系统+源码+mysql数据库+lw文档)
  • 原文地址：https://blog.csdn.net/qq_34254642/article/details/126753564