📚 课程目录第2章嵌入式系统基础

2、嵌入式系统基础：微控制器架构（ARM、MIPS、RISC-V）、存储器映射、外设与启动流程

嵌入式固件逆向工程的第一步，是建立对目标硬件平台的系统性认知。微控制器（MCU）作为固件的物理载体，其指令集架构（ISA）、存储器布局、外设寄存器映射以及上电启动流程，直接决定了固件二进制文件中代码段、数据段、中断向量表和外设初始化序列的排布方式。逆向工程师若不具备这些基础知识，面对一段裸机固件时往往只能盲目搜索字符串或交叉引用，难以从底层逻辑还原程序行为。本章将围绕三大主流MCU架构（ARM Cortex-M、MIPS、RISC-V）展开，深入剖析存储器映射规则、外设控制机制与多级启动流程，为后续固件提取、静态分析和动态调试奠定坚实的硬件认知基础。

2.1 微控制器核心架构：ARM、MIPS 与 RISC-V 的逆向视角

微控制器架构决定了固件二进制文件的指令编码方式、寄存器组织、寻址模式以及异常处理模型。逆向工程师在拿到一段未知固件时，首要任务是通过特征字节或指令模式识别其架构，进而选择合适的反汇编工具和调试器。三种主流架构在嵌入式领域各有拥趸，其逆向分析侧重点也截然不同。

2.1.1 ARM Cortex-M 架构：Thumb-2 指令集与中断向量表

ARM Cortex-M 系列（M0/M3/M4/M7/M33）是目前 32 位 MCU 市场占有率最高的内核，广泛用于 STM32、NXP LPC、Nordic nRF 等产品线。其核心特征包括：

指令集：采用 Thumb-2 混合指令集，16 位和 32 位指令混排，无 ARM 状态切换（Cortex-M 仅支持 Thumb 模式）。反汇编时需使用支持 Thumb-2 的引擎（如 Ghidra 的 ARM Thumb 模式、IDA 的 Thumb 插件）。
寄存器组：16 个 32 位通用寄存器（R0-R12、SP、LR、PC），其中 R13 为栈指针（SP）、R14 为链接寄存器（LR）、R15 为程序计数器（PC）。异常返回时使用 EXC_RETURN 特殊值。
中断向量表：位于 Flash 起始地址（通常 0x08000000 或 0x00000000），第 0 项为初始 SP，第 1 项为 Reset_Handler 地址，后续为各外设中断服务函数入口。向量表是逆向分析固件入口点的关键锚点。
位带操作（Bit-Band）：Cortex-M3/M4 支持位带区，将 SRAM 和外设区中每个位映射到别名区的一个 32 位字，常用于高效 GPIO 翻转。逆向时若发现对 0x22000000 或 0x42000000 附近地址的读写，应识别为位带操作。

逆向实战要点：在 Ghidra 中加载 Cortex-M 固件时，应手动设置基地址为向量表所在 Flash 地址，并确认处理器为 "ARM:LE:32:Cortex" 且启用 Thumb 模式。加载后首先检查 0x00 处的初始 SP 值是否落在 RAM 范围内（如 0x20000000-0x2001FFFF），若 SP 异常则说明基地址设置错误或固件经过加密/压缩。

2.1.2 MIPS 架构：延迟槽与高密度代码

MIPS 架构在嵌入式领域主要见于 Microchip PIC32、Atheros/MediaTek 路由器 SoC 以及部分物联网网关。MIPS 采用固定 32 位指令长度（MIPS32），具有以下逆向特征：

延迟槽（Delay Slot）：分支指令（如 BEQ、BNE）后的下一条指令无论分支是否跳转都会被执行。反汇编时必须识别延迟槽，否则控制流图（CFG）会出错。Ghidra 和 IDA 均能自动处理，但手动分析汇编时需格外注意。
寄存器约定：R0 恒为零，R31 为返回地址寄存器（RA），R29 为栈指针（SP）。函数调用使用 JALR 指令，返回使用 JR RA。
高密度代码：MIPS 指令集相对精简，但代码密度低于 Thumb-2。固件中常见大量 NOP 填充和字对齐，逆向时可通过 0x00000000 模式识别未初始化区域。
协处理器 CP0：MIPS 内核通过 CP0 寄存器管理中断、异常和 MMU。固件中访问 CP0 的指令（MFC0/MTC0）是定位系统初始化代码的重要线索。

2.1.3 RISC-V 架构：模块化 ISA 与可扩展性

RISC-V 作为开源指令集，近年来在嵌入式领域快速崛起（ESP32-C3、CH32V、GD32VF103 等）。其逆向分析特点包括：

模块化指令集：基础整数指令集（RV32I）仅 40 余条指令，可选扩展包括 M（乘除）、A（原子操作）、C（压缩指令）、F/D（浮点）。压缩指令（RVC）为 16 位，与 32 位指令混排，类似 Thumb-2 但编码规则不同。
寄存器约定：32 个通用寄存器（x0-x31），x0 恒为零，x1 为返回地址（RA），x2 为栈指针（SP）。函数调用使用 JAL 指令，返回使用 JALR x0, 0(x1)。
CSR 寄存器：通过 CSRRW/CSRRS 等指令访问控制和状态寄存器（如 mtvec、mstatus）。固件中 CSR 访问序列往往对应中断控制器（PLIC/CLINT）和外设初始化。
内存映射：RISC-V 无固定内存布局，由 SoC 设计者自定义。逆向时需结合数据手册或已知开发板原理图确定外设基地址。

对比维度	ARM Cortex-M	MIPS (MIPS32)	RISC-V (RV32)
指令长度	16/32 位混合 (Thumb-2)	固定 32 位	16/32 位混合 (RVC)
通用寄存器	16 个 (R0-R15)	32 个 (R0-R31)	32 个 (x0-x31)
中断向量表	固定位于 Flash 起始	由 CP0 寄存器配置	由 mtvec CSR 指向
延迟槽	无	有（分支后 1 条）	无
典型工具链	arm-none-eabi-gcc	mips-gcc / pic32-gcc	riscv-none-elf-gcc
逆向难点	向量表定位、Thumb 切换	延迟槽处理、CP0 初始化	CSR 访问、无统一内存映射

2.2 存储器映射：从 Flash 到外设寄存器的地址空间布局

存储器映射是连接固件二进制与硬件行为的桥梁。MCU 将 Flash、SRAM、外设寄存器和系统控制空间统一编址，固件通过地址访问这些资源。逆向分析时，识别地址范围即可判断代码正在操作何种硬件资源。

2.2.1 ARM Cortex-M 标准存储器映射

ARM 定义了 Cortex-M 的 4GB 地址空间划分，各厂商在此基础上分配具体外设地址：

0x00000000 - 0x1FFFFFFF：代码区（Flash），通常为 512KB - 2MB。向量表位于此区域起始处。
0x20000000 - 0x3FFFFFFF：SRAM 区，用于存放数据、堆栈和堆。位带别名区位于 0x22000000 起。
0x40000000 - 0x5FFFFFFF：外设区，包括 GPIO、UART、SPI、I2C、定时器、ADC 等。各外设寄存器以 32 位字对齐排列。
0xE0000000 - 0xFFFFFFFF：系统控制空间（SCB），包含 NVIC 中断控制器、SysTick 定时器、调试组件（DWT/ITM/TPIU）。

以 STM32F103 为例，GPIOA 的基地址为 0x40010800，其 CRL 寄存器（0x40010800）控制引脚 0-7 的模式，ODR 寄存器（0x4001080C）控制输出电平。逆向固件时，若发现对 0x40010800 附近地址的写操作，即可推断正在初始化 GPIOA。

2.2.2 MIPS 与 RISC-V 的存储器映射特点

MIPS 架构将地址空间划分为 kseg0（0x80000000-0x9FFFFFFF，缓存直连）、kseg1（0xA0000000-0xBFFFFFFF，非缓存）等区域。PIC32 的 Flash 通常映射在 0x9D000000（缓存）或 0xBD000000（非缓存），SRAM 在 0x80000000 附近。逆向时需注意同一物理地址可能有两个虚拟地址别名。

RISC-V 的存储器映射完全由 SoC 厂商自定义。例如 ESP32-C3 将 Flash 映射在 0x42000000，SRAM 在 0x3FC80000，外设寄存器在 0x60000000 区域。逆向前必须查阅芯片手册确认地址范围，否则极易将外设寄存器误判为普通数据。

常见误区：初学者常将 ARM 的 0x08000000（STM32 Flash 起始）与 0x00000000（向量表映射）混淆。实际上 STM32 的 Flash 物理地址为 0x08000000，但系统上电后会自动将 Flash 前 1KB 映射到 0x00000000 以支持向量表读取。逆向时若以 0x08000000 为基地址，则向量表偏移需相应调整。

2.3 外设控制机制：寄存器编程与中断驱动

MCU 外设（UART、SPI、GPIO、定时器等）通过一组控制寄存器与 CPU 交互。固件对外设的初始化序列和操作模式，是逆向分析中推断程序功能的重要依据。

2.3.1 寄存器编程模型

每个外设通常包含以下类型寄存器：

控制寄存器（CR）：配置外设模式、使能/禁用功能、设置数据位宽和时钟分频。
数据寄存器（DR）：读写实际数据，如 UART 的 TDR/RDR、SPI 的 TX/RX FIFO。
状态寄存器（SR）：反映外设当前状态，如发送完成标志、接收非空标志、错误标志。
中断使能寄存器（IER）：控制哪些事件触发中断请求。

逆向分析时，通过识别固件中对特定外设基地址的连续读写序列，可以还原外设初始化流程。例如，UART 初始化通常包含以下步骤：

// 伪代码示例：STM32 UART1 初始化序列
RCC->APB2ENR |= (1 << 14);      // 使能 USART1 时钟
GPIOA->CRH = 0x4B;              // PA9 TX 复用推挽输出, PA10 RX 浮空输入
USART1->BRR = 0x1D4C;           // 设置波特率 9600 (72MHz / 0x1D4C)
USART1->CR1 = 0x200C;           // UE=1, TE=1, RE=1 使能发送接收
USART1->CR2 = 0x0000;           // 1 停止位
USART1->CR3 = 0x0000;           // 无流控

上述序列中，对 RCC 寄存器（0x40021000 附近）的写操作是识别外设时钟使能的关键。若固件中频繁出现对 0x40021000+ 地址的读写，说明正在配置时钟树。

2.3.2 中断驱动与向量表分析

中断驱动是嵌入式系统的主流编程模型。固件通过 NVIC（ARM）或 PLIC（RISC-V）管理中断优先级和使能状态。逆向分析中断处理函数时，可遵循以下流程：

定位中断向量表，提取各中断服务函数（ISR）入口地址。
在反汇编代码中标记 ISR 起始位置，分析其保存现场（PUSH 指令）和恢复现场（POP 指令）的模式。
检查 ISR 中访问的外设寄存器，推断中断源类型（如 UART 接收中断、定时器溢出中断）。
通过交叉引用查找中断使能配置代码，确认外设中断触发条件。

经验技巧：在 ARM Cortex-M 固件中，向量表第 16 项（偏移 0x40）起为外部中断源。若向量表中某个地址指向 0x0800xxxx 且该地址处代码以 PUSH {R4-R7, LR} 开头，则极有可能是一个 ISR。通过统计 ISR 数量和外设中断号，可快速推断固件使用了哪些外设。

2.4 启动流程：从复位向量到 main 函数的完整链路

MCU 的启动流程是固件执行的起点，也是逆向分析中建立全局视角的切入点。不同架构的启动流程虽有差异，但核心逻辑一致：初始化硬件环境、准备数据段、跳转主程序。

2.4.1 ARM Cortex-M 启动流程详解

Cortex-M 的启动流程由硬件自动完成部分操作，剩余由启动文件（startup_*.s）中的 Reset_Handler 执行：

硬件复位：CPU 从 0x00000000 读取初始 SP 值，从 0x00000004 读取 Reset_Handler 地址并跳转执行。
系统初始化：Reset_Handler 首先调用 SystemInit() 配置时钟（PLL、Flash 等待周期），然后执行数据段拷贝和 BSS 段清零。
数据段准备：将 Flash 中的 .data 段初始值拷贝到 SRAM，将 .bss 段清零。此过程通常由 __main（C 库函数）或 startup 代码完成。
调用 main()：跳转至 C 语言 main 函数，开始用户业务逻辑。

逆向分析启动流程时，应重点关注以下代码模式：

// Reset_Handler 典型汇编模式 (ARM Thumb)
Reset_Handler:
    LDR R0, =_estack      ; 加载栈顶地址
    MOV SP, R0            ; 设置栈指针
    LDR R0, =_sdata       ; 数据段起始
    LDR R1, =_edata       ; 数据段结束
    LDR R2, =_sidata      ; Flash 中数据段镜像
copy_loop:
    CMP R0, R1
    BEQ zero_bss
    LDR R3, [R2], #4
    STR R3, [R0], #4
    B copy_loop
zero_bss:
    LDR R0, =_sbss
    LDR R1, =_ebss
    MOV R2, #0
bss_loop:
    CMP R0, R1
    BEQ call_main
    STR R2, [R0], #4
    B bss_loop
call_main:
    BL main

上述代码中，_estack、_sdata、_edata、_sidata、_sbss、_ebss 是链接脚本定义的符号。逆向时若在固件中看到这些符号名（字符串表中可能保留），可直接定位启动流程。若符号被剥离，则需通过分析 LDR 指令加载的立即数地址来推断内存布局。

2.4.2 MIPS 与 RISC-V 启动流程对比

MIPS 的启动流程通常由 Boot ROM 或引导加载程序（Bootloader）完成。PIC32 上电后从 0xBFC00000（Boot Flash）执行，初始化 CP0 寄存器、配置时钟，然后跳转到主 Flash 的入口。逆向 MIPS 固件时，需区分 Bootloader 和应用程序的边界，通常通过链接脚本中的地址范围判断。

RISC-V 的启动流程依赖 mtvec（机器陷阱向量基址）寄存器。上电后 CPU 从 0x00001000（典型值）或 SoC 定义的复位向量执行，初始化全局指针（gp）、栈指针（sp），然后跳转至 C 运行时初始化。ESP32-C3 的 ROM 引导程序会加载二级引导程序（Secondary Bootloader），再跳转至用户固件，逆向时需关注三级启动链。

2.4.3 案例拆解：从固件二进制还原 STM32 启动流程

假设我们获得一段 STM32F103 的固件（bin 格式，512KB），逆向目标为定位 main 函数并分析其外设初始化逻辑。

初始现象：使用 binwalk 扫描未发现明显文件系统特征，字符串搜索仅找到少量库函数名称。

分析步骤：

以 0x08000000 为基地址加载固件到 Ghidra，选择 ARM Thumb 模式。
检查地址 0x08000000 处的初始 SP 值：读取 4 字节为 0x20000800，落在 SRAM 范围内（0x20000000-0x20005000），确认基地址正确。
地址 0x08000004 处为 Reset_Handler 入口：0x08000145（Thumb 模式，最低位为 1）。跳转至该地址，发现典型的 LDR/MOV SP 序列。
跟踪 BL 指令，找到 SystemInit 调用（地址 0x080000C8），其内部包含对 RCC->CR、RCC->CFGR、FLASH->ACR 的写操作。
继续跟踪 BL main，在 main 函数入口处发现对 GPIOA->CRL、USART1->BRR 的写操作，推断固件初始化了 UART1 用于调试输出。

结果对比：通过上述分析，成功还原了固件的启动链路和 UART 初始化参数（波特率 115200、8N1）。进一步在 0x08000100 处设置断点（若可动态调试），验证了 UART 输出字符串 "System Ready"。

风险与代价：静态分析无法验证时序相关行为（如 PLL 锁定等待），需结合逻辑分析仪或模拟器确认时钟配置是否正确。

常见误区：部分逆向工程师在分析启动流程时，直接搜索 "main" 字符串或尝试从 Reset_Handler 跳转目标猜测 main 地址。实际上，C 运行时库（如 newlib）会在 main 之前执行 __libc_init_array 等初始化函数，直接跳转可能落入库函数而非用户代码。建议通过分析外设初始化序列来定位真正的用户 main。

2.5 本章总结与逆向工程实践建议

微控制器架构知识是固件逆向工程的基石。本章从三大主流架构的指令集特征出发，深入剖析了存储器映射规则、外设寄存器编程模型和启动流程的完整链路。逆向工程师在实际工作中应建立以下思维框架：

架构优先：拿到固件后首先通过熵分析、特征字节（如 ARM 的 0x00 0x00 0x00 0x00 向量表头）或 binwalk 插件识别架构，再选择对应工具链。
地址即语义：牢记各架构的存储器映射范围，通过地址区间快速判断代码操作对象（Flash 代码、SRAM 数据、外设寄存器）。
启动流程是地图：从复位向量开始追踪，建立固件执行的完整路径，标注关键初始化函数和分支点。
外设序列是功能指纹：UART 初始化序列、GPIO 翻转模式、定时器配置参数等，都是推断固件功能（如通信协议、控制逻辑）的重要线索。