把CAN报文收发寄存器操作落到CAN报文收发寄存器操作的触发条件、可观察状态和复查材料上，先判断问题从哪里收窄。
CAN报文收发寄存器操作用CAN报文收发寄存器操作、掩码、FIFO管理逆向连接到CAN报文收发寄存器操作的调试、验证和交付动作。
在STM32 CAN总线固件逆向中，收发寄存器操作是连接硬件与协议的唯一桥梁。本节的核心目标是：通过逆向分析发送邮箱（Tx Mailbox）与接收FIFO（Rx FIFO）的寄存器操作，还原CAN报文的完整收发流程。工程实践中，固件开发者通常不会直接操作寄存器，而是调用HAL库或LL库；但逆向分析必须直面寄存器级行为，因为库函数调用最终会映射到CAN_TIxR（发送标识符寄存器）、CAN_TDTxR（发送数据长度与时间戳寄存器）和CAN_TDLxR/CAN_TDHxR（发送数据低/高字节寄存器）等具体地址。理解这些寄存器的位域布局，是区分标准帧（11位ID）与扩展帧（29位ID）、判断远程帧（RTR位）以及验证CRC校验是否被硬件自动插入的关键
逆向时，优先定位CAN_TSR（发送状态寄存器）中的TME[2:0]位（邮箱空标志）和CODE[1:0]位（当前发送邮箱编号）。这两个位域直接暴露了固件是采用轮询还是中断方式发送报文
CAN报文收发寄存器操作落地前要同时核对CAN报文收发寄存器操作的掩码、失败路径和FIFO管理逆向。
STM32的CAN外设提供3个发送邮箱和2个接收FIFO（每个FIFO深度为3个报文）。逆向分析时，需要重点关注固件如何管理邮箱优先级（CAN_TIxR中的STID/EXID字段决定仲裁优先级）以及FIFO溢出后的处理策略。一个典型的逆向路径是：通过监控CAN_RF0R（接收FIFO 0寄存器）的FMP[1:0]位（FIFO报文数）和FOVR位（溢出标志），判断固件是否实现了“丢弃旧帧”或“丢弃新帧”的溢出策略。如果FOVR位在连续采样中始终为0，说明固件可能采用了中断快速读取机制，避免了溢出；反之，如果FOVR频繁置位，则说明接收负载已超过处理能力，固件存在丢帧风险
在一次汽车ECU逆向中，我们发现接收FIFO的FMP位始终为1，但FOVR从未置位。进一步分析CAN_IER（中断使能寄存器）发现，固件使能了FMPIE（FIFO报文挂起中断）而非FOVIE（溢出中断）。这意味着固件设计者假设报文读取速度足够快，因此只依赖报文到达中断，未处理溢出异常。这一判断直接影响了后续重放攻击的窗口期计算
在还原发送流程时，步骤（释放步骤）是一个容易出错的环节。固件在写入邮箱后，必须通过设置CAN_TIxR的TXRQ位（发送请求）来触发发送。逆向时，如果发现固件在写入数据后立即检查TSR的TXOK位（发送成功标志），说明采用的是同步发送模式；如果固件在写入后直接返回，则说明是异步模式，发送结果由后续中断或轮询处理。这两种模式在实时性要求不同的场景中各有应用，但逆向还原时必须区分，否则会导致对通信时序的误判
图表解读：这张图以最终 Mermaid 图中的真实节点为准，先观察“CAN报文收发寄存器操作：邮箱、掩码与FIFO管理逆向”的主链。读图顺序：现场 / 设备侧 → CAN → FIFO
节点说明：【CAN总线】表示可观察对象，标出该节点在主线中的位置；检查重点：相关操作、判断条件或常见问题。
以下表格整理了CAN收发过程中最关键的寄存器操作位域，用于在逆向分析时快速对照固件行为与硬件规格
| 检查项 | 标准 | 是否通过 | 常见遗漏 |
|---|---|---|---|
| CAN_TIxR | TXRQ (位0) | 发送请求，置1后硬件开始发送 | 写操作后， TSR.TME 位清零 |
| CAN_TSR | TXOK[2:0] (位4:6) | 对应邮箱发送成功标志 | 发送完成后硬件自动置1，需软件清零 |
| CAN_RF0R | FMP[1:0] (位0:1) | FIFO中待读取报文数量 | 每次读取 CAN_RDL0R 后自动减1 |
| CAN_RF0R | FOVR (位3) | FIFO溢出标志 | 新报文到达时FIFO已满则置位 |
在实验验证环节，我们通过逻辑分析仪捕获了STM32F103的CAN_TX和CAN_RX引脚信号，并与寄存器读写时序进行比对。以下是一段典型的发送流程日志，记录了从邮箱写入到发送完成的完整步骤：
步骤1: 写入 CAN_TI0R = 0x00000001 // 设置TXRQ，请求发送
步骤2: 写入 CAN_TDT0R = 0x00000008 // 设置DLC=8，数据长度8字节
步骤3: 写入 CAN_TDL0R = 0xDEADBEEF // 写入数据低32位
步骤4: 写入 CAN_TDH0R = 0xCAFEBABE // 写入数据高32位
步骤5: 轮询 CAN_TSR，检查 TXOK0 位
步骤6: 读取到 CAN_TSR = 0x00000010 // TXOK0置位，发送成功
步骤7: 写入 CAN_TSR = 0x00000010 // 软件清零TXOK0，准备下一次发送这段配置属于“问题代码/原始配置”，核对键名、默认值、取值范围和修改后影响的行为。
这段日志验证了固件采用的是同步发送模式（步骤5的轮询）。关键字段TXRQ的置位时机和TXOK的清除方式，直接决定了固件对总线仲裁失败（如丢失仲裁）的处理能力。如果固件在TXOK未置位时直接重试，说明其重传策略是“立即重试”；如果等待一段时间后再重试，则说明实现了超时重试机制
当逆向发现固件在发送前检查TSR.CODE位（当前空闲邮箱编号）时，说明其实现了邮箱动态调度，而非固定使用邮箱0。这种设计在需要发送多条高优先级报文时更常见
在CAN总线固件逆向中，风险边界主要体现在三个场景：FIFO溢出、仲裁丢失和错误帧处理。以下判断标准表可以帮助分析人员快速评估固件的健壮性：
初学者常误以为TXOK位由软件置位。实际上，该位由硬件在发送成功后自动置1，软件只能通过写1来清零。逆向时如果发现固件直接写0到TSR寄存器，说明其操作无效，发送状态将无法正确更新
在验证环节，建议通过注入异常帧（如CRC错误帧）来测试固件的错误处理路径。具体做法是：在总线上发送一个故意破坏CRC校验的报文，然后观察固件是否读取CAN_ESR的LEC[2:0]位（上次错误代码），并判断其是否执行了重传或状态切换。如果固件在错误发生后仍继续正常收发，说明其实现了错误恢复机制；如果固件停止发送且未重新初始化，则说明其错误处理逻辑存在缺陷
CAN报文收发寄存器操作的细节补充应直接说明可复查对象：先确认现场任务对应的输入、输出和结果材料，再用CAN报文收发寄存器操作解释哪一处条件会影响判断。
CAN报文收发寄存器操作的主要风险来自CAN报文收发寄存器操作边界、状态和验证口径不清；落地前先核对示例片段，并确认例外场景和结果记录。
复盘CAN报文收发寄存器操作时，可以先问“安全或机制边界在哪里”：指标对照卡说明对象，报文收发寄存器操作说明条件，报文收发寄存器操作说明可观察结果。如果条件换成关键对象或实际技术应用场景里的CAN报文收发寄，原结论可能只剩参考价值，需要重新检查假设、测量方式和解释范围。关键对象最好保留成一张关系说明，帮助读者在新章节里判断这套机制是否还能解释问题。如果后续章节复用本节判断，先问知识结构是否还成立，再看方法框架是否改变关键对象的解释范围。第04节的复盘出口是关键对象，它要能说明CAN报文收发寄存器操作、知识结构和方法框架之间哪一项先发生变化。