2、嵌入式系统基础：处理器架构（ARM、MIPS、RISC-V）、存储器映射、启动流程

嵌入式固件逆向分析的第一步，是建立对目标系统硬件基础的完整认知。不同处理器架构决定了指令集编码方式、寄存器组织、内存访问模型和异常处理机制，而这些直接影响了固件反汇编的准确性和分析工具的选择。存储器映射则揭示了固件在运行时如何被布局、哪些地址区域是可执行代码、哪些是外设寄存器或易失性内存。启动流程（Boot Flow）则决定了固件从复位向量到主程序的执行路径，是定位固件入口点、识别引导加载程序（Bootloader）与主应用程序（Main Application）边界的关键依据。本章将围绕这三大核心主题展开，为后续的固件提取、分析和逆向工程奠定坚实的理论基础。

上图展示了本章三大知识模块之间的内在联系。处理器架构决定了指令的解码方式，存储器映射提供了固件运行的地址上下文，而启动流程则将两者串联起来，形成从复位到主函数的完整执行轨迹。逆向工程师在拿到一份未知固件时，通常需要先通过熵分析、字符串扫描和指令模式匹配来识别架构，再结合数据手册确定存储器映射，最后通过启动代码的分析定位关键函数入口。下面我们将逐一深入探讨每个模块的核心原理与实战应用。

2.1 处理器架构：ARM、MIPS 与 RISC-V 的逆向视角

2.1.1 核心原理：指令集架构（ISA）的差异

指令集架构（ISA）是处理器硬件与软件之间的接口契约，它定义了指令的编码格式、寄存器组、寻址模式、异常处理以及存储模型。对于固件逆向分析而言，ISA 决定了反汇编工具的选择、指令对齐方式以及函数调用约定的解析方法。

• ARM（32位/64位）：采用精简指令集（RISC），特点是大部分指令支持条件执行（Conditional Execution），从而减少分支指令的数量。ARM 有两种主要指令集状态：ARM（32位，固定4字节）和 Thumb/Thumb-2（16/32位混合）。在逆向时，需要特别注意函数入口处的 BX 或 BLX 指令，它们可能切换处理器状态。ARM 的调用约定（AAPCS）规定前4个参数通过 R0-R3 传递，返回值在 R0 中。
• MIPS：同样基于 RISC 设计，所有指令均为固定 32 位长度，这使得反汇编时的指令对齐相对简单。MIPS 最显著的特征是延迟槽（Delay Slot）——分支指令后的下一条指令无论分支是否跳转都会被执行。在逆向分析时，必须将延迟槽指令与分支指令作为一个整体来理解，否则容易误解控制流。MIPS 的调用约定使用 A0-A3 传递参数，V0/V1 返回结果。
• RISC-V：这是一个开放、模块化的 ISA，基础指令集（RV32I/RV64I）仅包含 40 多条指令，但通过扩展（如 M 扩展用于乘除、F/D 扩展用于浮点）可以支持更复杂的操作。RISC-V 没有延迟槽，也没有条件执行，这使得其指令语义更加清晰。其调用约定与 ARM 类似，使用 A0-A7 传递参数，A0 返回标量值。

2.1.2 判断方法：识别目标固件的架构

在拿到一份未知的固件二进制文件时，快速准确地识别其架构是逆向的第一步。以下是几种实用的判断方法：

1. 文件头与字符串分析：使用 binwalk 或 strings 工具扫描固件，查找与架构相关的字符串（如 "ARM"、"MIPS"、"RISC-V"）或编译器签名（如 GCC 版本信息）。
2. 指令模式匹配：利用 radare2 或 Ghidra 的自动分析功能，尝试以不同架构加载固件，观察反汇编结果是否合理（如指令密度、常见函数序言 PUSH {R4, LR} 或 addiu sp, sp, -32）。
3. 熵分析与字节分布：ARM Thumb 指令通常包含大量 0x00-0xFF 的低字节，而 MIPS 指令的高 6 位操作码字段分布较为均匀。通过统计字节频率可以辅助判断。
4. 中断向量表检查：ARM Cortex-M 系列在地址 0x00000000 处存放初始堆栈指针，0x00000004 处存放复位向量。如果固件开头符合此模式，则极有可能是 ARM Cortex-M。

2.1.3 案例拆解：一个基于 MIPS 的路由器固件入口分析

假设我们提取了一个某品牌路由器的固件，大小约 8MB。使用 binwalk 扫描后，发现文件系统在偏移 0x1F0000 处。我们提取出内核镜像（vmlinux）后，需要确定其入口点。

初始现象：使用 readelf -h vmlinux 显示架构为 MIPS R3000，入口点地址为 0x80001000。

分析过程：MIPS 架构的 Linux 内核通常链接在 0x80001000（KSEG0 段）。我们使用 Ghidra 加载该镜像，选择 MIPS 32-bit 小端模式，基址设为 0x80001000。反汇编后，在入口处看到典型的 MIPS 启动代码：

80001000: 3c1d8000  lui   sp, 0x8000
80001004: 27bd1000  addiu sp, sp, 0x1000
80001008: 3c048000  lui   a0, 0x8000
8000100c: 34841000  ori   a0, a0, 0x1000
80001010: 3c058000  lui   a1, 0x8000
80001014: 34a51000  ori   a1, a1, 0x1000
80001018: 3c068000  lui   a2, 0x8000
8000101c: 34c61000  ori   a2, a2, 0x1000
80001020: 3c078000  lui   a3, 0x8000
80001024: 34e71000  ori   a3, a3, 0x1000
80001028: 0c002000  jal   0x80008000
8000102c: 00000000  nop

判断与操作：这段代码首先设置栈指针（SP），然后传递参数并跳转到 0x80008000（通常是 start_kernel）。注意 jal 指令后的 nop 是延迟槽。我们继续分析 0x80008000 处的代码，确认其为 C 语言入口。通过这种方式，我们成功定位了内核的启动入口，为后续的漏洞分析提供了起点。

复盘：MIPS 的延迟槽是初学者最容易忽略的点。在分析控制流时，必须将分支指令和其后的延迟槽指令视为一个原子操作。此外，MIPS 的地址映射（KSEG0/KSEG1）也影响了内存访问的缓存属性，这在分析外设驱动时尤为重要。

2.1.4 常见误区与总结

总结：架构识别是固件逆向的基石。掌握 ARM、MIPS、RISC-V 的指令特征、调用约定和启动代码模式，可以显著提高分析效率。建议在本地搭建一个多架构反汇编环境（如 Ghidra + QEMU），以便快速验证分析结果。

2.2 存储器映射：固件运行的地址空间

2.2.1 核心原理：统一编址与独立编址

嵌入式系统通常采用统一编址（Memory-Mapped I/O）方式，即外设寄存器、RAM 和 Flash 都映射到同一个线性地址空间中。这意味着 CPU 可以通过普通的加载/存储指令访问外设寄存器，无需专门的 I/O 指令。理解存储器映射对于逆向分析至关重要，因为它帮助我们区分代码、数据和硬件控制寄存器。

一个典型的 32 位嵌入式 SoC 存储器映射可能如下：

2.2.2 判断方法：从固件中提取内存布局

在分析固件时，我们通常需要确定以下关键信息：

• 加载地址（Load Address）：固件被烧录到 Flash 的哪个地址？这决定了反汇编时的基址。
• 链接地址（Link Address）：代码期望在哪个地址运行？如果固件包含重定位表，则链接地址可能与加载地址不同。
• 外设寄存器地址：通过识别代码中对特定地址的访问模式（如 LDR R0, [R1, #0x14]），结合芯片数据手册，可以推断出外设类型。

常用的方法包括：

1. 字符串交叉引用：在固件中搜索可读字符串（如串口打印信息），然后在反汇编代码中查找对这些字符串的引用地址，从而推断出代码段和数据段的基址。
2. 中断向量表分析：对于 ARM Cortex-M，向量表位于 Flash 起始地址。通过分析向量表中的各个入口地址，可以确定中断服务例程（ISR）的位置。
3. 使用 Ghidra 的 "Auto Import"：Ghidra 可以根据文件头信息自动猜测加载地址，但通常需要手动调整。可以尝试不同的基址，观察反汇编结果中函数边界是否清晰、指令是否合理。

2.2.3 案例拆解：识别 ARM Cortex-M 固件的外设寄存器

假设我们分析一个基于 STM32F103 的物联网设备固件。在 Ghidra 中加载固件，基址设为 0x08000000（STM32 的主 Flash 起始地址）。

初始现象：反汇编代码中频繁出现对 0x40021000 和 0x40010C00 的读写操作。

分析判断：查阅 STM32F103 数据手册，0x40021000 是 RCC（Reset and Clock Control）寄存器组的基址，而 0x40010C00 是 GPIOB 的基址。代码中类似 LDR R0, =0x40021000; LDR R1, [R0, #0x18] 的指令是在配置时钟使能寄存器（RCC_APB2ENR），以打开 GPIOB 的时钟。

操作步骤：在 Ghidra 中，我们可以通过 "Data Type Manager" 导入 SVD 文件（芯片厂商提供的寄存器描述文件），从而将地址注释为有意义的寄存器名称（如 RCC->APB2ENR）。这大大提高了代码的可读性。

结果与复盘：通过识别外设寄存器，我们能够快速定位固件中的硬件初始化代码，进而理解设备的功能（如 UART 通信、LED 控制）。这为后续的漏洞挖掘（如检查 UART 是否暴露调试接口）提供了重要线索。

2.2.4 常见误区与总结

总结：存储器映射是连接固件二进制与硬件行为的桥梁。通过仔细分析地址访问模式，并结合芯片数据手册，我们可以重建出固件的运行时内存布局，为深入分析打下基础。

2.3 启动流程：从复位向量到主函数

2.3.1 核心原理：Boot 的层级结构

嵌入式系统的启动流程通常分为多个阶段，每个阶段负责不同的初始化任务。理解启动流程有助于我们定位固件中的关键代码段，并识别安全边界（如安全启动）。

1. 阶段 0 (Boot ROM)：固化在芯片内部的只读存储器，上电后首先执行。它负责初始化最基本的时钟和存储器控制器，然后根据启动引脚（Boot Pin）的状态，决定从哪个介质加载下一阶段代码（如 SPI Flash、SD 卡、UART）。
2. 阶段 1 (Bootloader)：通常是 U-Boot、Coreboot 或厂商自定义的引导程序。它负责初始化 DDR 内存、外设（如以太网、USB），并加载主应用程序或操作系统内核。Bootloader 通常提供串口控制台，是逆向分析的重要目标。
3. 阶段 2 (主应用程序/内核)：这是最终运行的操作系统或裸机程序。对于 Linux 设备，此阶段是内核镜像；对于 MCU，此阶段是用户固件。

2.3.2 判断方法：定位启动代码的关键特征

在逆向分析中，我们通常通过以下特征来识别启动代码：

• 复位向量：对于 ARM Cortex-M，地址 0x00000000 存放初始 SP，0x00000004 存放复位向量。对于 ARM Cortex-A，复位向量通常位于 0x00000000 或 0xFFFF0000（高向量）。
• 初始化序列：启动代码通常包含一系列对系统控制寄存器的写入操作，如设置时钟锁相环（PLL）、配置存储器控制器（如 DDR 初始化序列）。这些操作通常具有明显的特征，如连续的 STR 指令配合特定的延时循环。
• 栈指针设置：在跳转到 C 语言主函数之前，必须设置栈指针（SP）。在 ARM 中，通常是 LDR SP, =__stack_top；在 MIPS 中，是 lui sp, %hi(__stack_top)。

2.3.3 案例拆解：分析 U-Boot 的启动流程

我们以常见的 U-Boot 引导程序为例。假设我们从某开发板中提取了 U-Boot 固件（约 500KB）。

初始现象：使用 strings 命令，我们看到了 "U-Boot 2020.04" 的版本字符串，以及 "DRAM: 512 MiB" 等打印信息。

分析过程：在 Ghidra 中加载该固件，基址设为 0x87800000（常见的 U-Boot 链接地址）。反汇编后，在入口处看到：

87800000: ea000014  b    #0x87800058
...
87800058: e59fd000  ldr   sp, [pc, #0]  ; 加载栈地址
8780005c: e59f0000  ldr   r0, [pc, #0]  ; 加载参数
87800060: ebfffffe  bl    #0x87800100   ; 调用 board_init_f

关键判断：第一条指令是跳转指令，跳过了中断向量表。随后，代码设置了栈指针，并调用了 board_init_f（板级初始化函数）。通过跟踪 bl 指令的目标地址，我们可以逐步梳理出 U-Boot 的初始化流程：board_init_f -> relocate_code（重定位）-> board_init_r。

操作与结果：我们可以在 Ghidra 中为这些函数重命名，并设置断点（如果使用 QEMU 模拟）。通过分析 relocate_code 函数，我们了解到 U-Boot 会将自身从 Flash 复制到 RAM 中运行，这解释了为什么链接地址与加载地址不同。

复盘：启动流程分析的关键在于理解"重定位"（Relocation）的概念。许多 Bootloader 会先执行一段位置无关代码（PIC），然后将自身复制到 RAM 的高地址处继续运行。在逆向时，如果发现代码中有大量基于 PC 的地址计算，通常意味着该代码是位置无关的。

2.3.4 常见误区与总结

总结：启动流程是固件执行的"路线图"。通过分析启动代码，我们可以确定固件的入口点、内存初始化顺序以及安全机制。这对于提取固件、运行模拟器（如 QEMU）以及进行动态调试至关重要。

2.4 本章总结与实战要点

本章深入探讨了嵌入式系统基础的三大支柱：处理器架构、存储器映射和启动流程。这三者相互关联，共同构成了固件逆向分析的上下文环境。在实际工作中，建议遵循以下分析流程：

1. 架构识别：使用工具（如 Ghidra、binwalk）初步判断架构，并通过反汇编结果验证。
2. 内存布局重建：结合数据手册和固件特征，确定加载地址、链接地址以及外设寄存器映射。
3. 启动流程梳理：从复位向量开始，逐步跟踪代码执行路径，识别 Bootloader 与主应用的边界。
4. 工具链配置：在 Ghidra 中设置正确的架构、基址和编译器选项，以提高反汇编的准确性。