02 STM32固件结构解析：启动文件、向量表与链接脚本逆向

🎯固件二进制布局：从启动文件到向量表定位

STM32固件结构解析要确认的对象和结果

在《IDA Pro分析STM32单片机固件实战课程》中，逆向分析的第一步并非直接反汇编，而是理解固件在 Flash 中的物理布局。STM32 的固件通常从 0x08000000 地址开始，其最前端的 4 字节存放的是栈顶指针（MSP），紧接着的 4 字节才是复位向量（Reset_Handler）。这 8 字节构成了中断向量表（Interrupt Vector Table, IVT）的头部，是整个固件执行的起点。若无法准确识别向量表，后续的代码定位将失去基准

向量表不仅包含复位向量，还按优先级顺序排列了所有异常和中断入口。STM32 的向量表偏移寄存器（VTOR）允许运行时重定位向量表，但在固件镜像中，它始终固定在起始位置。实战中，我们常通过 IDA 的“Create Vector Table”插件或手动解析前 16 个异常向量来验证布局是否正确。若向量表偏移被修改（例如在 Bootloader 中），则需通过交叉引用定位 VTOR 的赋值指令

⭐链接脚本逆向：从分散加载到内存映射还原

固件的内存布局由链接脚本（Linker Script）控制，它定义了代码段（.text）、数据段（.data）、BSS 段（.bss）以及堆栈的起始地址和大小。逆向工程师通过分析固件中的段符号和初始化代码，可以反推出链接脚本的配置。例如，__etext 符号标记了只读数据的结束位置，而 _sdata 和 _edata 则定义了已初始化数据的搬运范围

在 IDA Pro 中，我们通过定位 Reset_Handler 中的循环搬运代码来还原这些段。典型的搬运代码会从 __etext 复制数据到 _sdata，直到 _edata。若固件包含多个分区（如 Bootloader 和 App），则链接脚本会定义不同的加载域（LMA）和运行域（VMA）。例如，Bootloader 的 VMA 可能位于 0x08000000，而 App 的 VMA 则从 0x08020000 开始

链接脚本逆向的核心产出是一张内存映射表，它标明了每个段的起始地址、大小和属性。这张表是后续分析代码流、定位全局变量和识别堆栈溢出的基础

⭐STM32固件结构解析的技术资产与验证方式

本节的核心技术资产是一套可复用的向量表解析样例和分区校验脚本。以下是一个基于 Python 的向量表解析片段，它从固件二进制中提取前 16 个异常向量，并与标准 STM32 向量表进行比对：

import struct
def parse_vector_table(路径, base_addr=0x08000000):
    with open(路径, 'rb') as f:
        data = f.read()
    # 读取前 16 个向量（每个 4 字节）
    vectors = []
    for i in range(16):
        offset = i * 4
        addr = struct.unpack('<I', data[offset:offset+4])[0]
        vectors.append((i, hex(addr)))
    # 验证复位向量是否在 Flash 范围内
    reset_addr = vectors[1][1]
    if not (0x08000000 <= int(reset_addr, 16) <= 0x081FFFFF):
        print(f"[WARNING] 复位向量 {reset_addr} 超出 Flash 范围")
    return vectors
# 输出示例
vectors = parse_vector_table("firmware.bin")
for idx, addr in vectors:
    print(f"Vector {idx}: {addr}")

这段配置属于“问题代码/原始配置”，核对键名、默认值、取值范围和修改后影响的行为。

该脚本验证了向量表头部是否合理，是固件加载后的第一道检查点。若复位向量指向 SRAM 或外设地址空间，则说明固件可能被加密、压缩或加载地址错误

以下是一张分区校验参数表，用于判断固件是否包含 Bootloader 和 App 双分区：