📚 课程目录第4章固件头部解析

4. 固件头部解析

任务目标

给定一个嵌入式固件二进制文件，通过解析其文件头部结构，识别CPU架构、入口点、加载地址等关键信息，并判断该固件是否经过加密或压缩。本案例以常见的VxWorks固件头为例，实现一个最小化的头部解析器。

前置知识

VxWorks固件头部（Boot ROM头）通常包含魔数、版本、CPU类型、入口点等字段。不同版本头部布局略有差异，但前16字节的魔数与CPU标识字段相对固定。本案例解析的是VxWorks 5.x/6.x常见的bootrom头布局。

实现代码

import struct
import sys

# VxWorks bootrom头部关键字段偏移（小端序）
HEADER_FORMAT = {
    'magic':      (0x00, '<I'),   # 魔数，通常为 0x534f4258 ('X BOS' 小端)
    'version':    (0x04, '<H'),   # 版本号
    'cpu_type':   (0x06, '<H'),   # CPU类型标识
    'entry_point':(0x08, '<I'),   # 入口点地址
    'load_addr':  (0x0C, '<I'),   # 加载地址
}

# 常见CPU类型映射（部分）
CPU_TYPES = {
    0x0001: 'PPC',
    0x0002: 'ARM',
    0x0003: 'MIPS',
    0x0004: 'SH',
    0x0005: 'I960',
    0x0006: 'SPARC',
    0x0007: 'X86',
    0x0008: 'XSCALE',
}

# 已知魔数（用于快速识别）
KNOWN_MAGICS = {
    0x534f4258: 'VxWorks bootrom',
    0x12345678: 'U-Boot',
    0x90563442: 'RTEMS',
}

def parse_firmware_header(filepath):
    """解析固件头部，返回关键字段字典"""
    with open(filepath, 'rb') as f:
        header_data = f.read(0x10)  # 读取前16字节
    
    if len(header_data) < 0x10:
        raise ValueError('文件太小，不足16字节，无法解析头部')
    
    result = {}
    
    # 解析魔数
    magic = struct.unpack_from('<I', header_data, 0x00)[0]
    result['magic_hex'] = f'0x{magic:08X}'
    result['format'] = KNOWN_MAGICS.get(magic, '未知格式')
    
    # 解析版本
    version = struct.unpack_from('<H', header_data, 0x04)[0]
    result['version'] = f'{version >> 8}.{version & 0xFF}'
    
    # 解析CPU类型
    cpu_raw = struct.unpack_from('<H', header_data, 0x06)[0]
    result['cpu_raw'] = f'0x{cpu_raw:04X}'
    result['cpu'] = CPU_TYPES.get(cpu_raw, '未知')
    
    # 解析入口点和加载地址
    result['entry_point'] = f'0x{struct.unpack_from("<I", header_data, 0x08)[0]:08X}'
    result['load_addr'] = f'0x{struct.unpack_from("<I", header_data, 0x0C)[0]:08X}'
    
    # 简单加密/压缩检测：检查头部之后是否有可打印ASCII字符串
    with open(filepath, 'rb') as f:
        rest = f.read(0x100)  # 读取头部后256字节
    printable_ratio = sum(1 for b in rest if 0x20 <= b <= 0x7E) / len(rest)
    result['encrypted_likely'] = printable_ratio < 0.3  # 可打印字符比例低于30%则疑似加密
    
    return result

def main():
    if len(sys.argv) != 2:
        print('用法: python fw_header_parser.py <固件文件路径>')
        sys.exit(1)
    
    try:
        info = parse_firmware_header(sys.argv[1])
        print('=== 固件头部解析结果 ===')
        for key, value in info.items():
            print(f'{key:20s}: {value}')
    except Exception as e:
        print(f'解析失败: {e}')
        sys.exit(1)

if __name__ == '__main__':
    main()

运行与验证

运行方式：

python fw_header_parser.py firmware.bin

验证方法：

准备一个已知的VxWorks固件文件（可从路由器/嵌入式设备固件中提取），或构造一个测试文件：

# 构造测试文件（Python）
import struct
with open('test_fw.bin', 'wb') as f:
    f.write(struct.pack('<IHHII', 0x534f4258, 0x0105, 0x0001, 0x80100000, 0x80000000))
    f.write(b'\x00' * 100)  # 填充空白

运行解析器，观察输出：

python fw_header_parser.py test_fw.bin

预期输出（与代码逻辑严格一致）：

=== 固件头部解析结果 ===
magic_hex          : 0x534F4258
format             : VxWorks bootrom
version            : 1.5
cpu_raw            : 0x0001
cpu                : PPC
entry_point        : 0x80100000
load_addr          : 0x80000000
encrypted_likely   : False

判定通过条件：

魔数识别为“VxWorks bootrom”
CPU类型正确显示（如PPC）
入口点与加载地址与构造数据一致
encrypted_likely为False（因为填充的是空白字节，可打印比例低，但实际填充的0x00不可打印，因此该字段可能为True——注意此判断逻辑的局限性）

常见问题

头部偏移因版本而异：不同VxWorks版本头部布局可能不同，本解析器基于常见布局，遇到无法识别时需结合具体固件调整偏移。
加密检测的局限性：仅通过可打印字符比例判断加密并不准确，压缩固件也可能导致低可打印比例。更可靠的方式是计算熵值（Shannon熵），高熵值（接近8.0）通常表示加密或压缩。
大小端问题：本解析器默认小端序，若目标固件为大端序（如PPC常见），需将格式字符串改为>IHHII。