02 Cortex-M3/M4启动文件与向量表逆向定位

⭐启动文件逆向：从复位向量到调用链入口

M4启动文件的验收口径

在固件逆向工程中，拿到一份未经符号表的 STM32 HAL 库固件（STM32 HAL Library Firmware）二进制文件后，首要任务不是逐行反汇编，而是定位其执行起点。对于 Cortex-M3/M4 定位中断向量表（Interrupt Vector Table, IVT）而言，启动文件（Startup File）是硬件复位后第一条指令的来源，也是整个固件调用链（Call Chain）的根节点。本节将演示如何从裸二进制中逆向定位向量表、提取复位处理函数入口，并验证其与 HAL 初始化流程的衔接关系

🎯向量表定位与复位处理函数提取

Cortex-M3/M4 强制要求向量表放置在地址 0x00000000（或通过 VTOR 寄存器重映射）。在 STM32 固件中，Flash 起始地址通常为 0x08000000，但芯片上电后硬件会自动将地址 0x00000000 映射到 Flash 起始区。因此，逆向定位中断向量表的关键检查点在于：验证二进制文件前 16 字节是否符合 Cortex-M 向量表规范

判定条件如下：

• 偏移 0x00-0x03：栈顶指针（MSP），值必须在 SRAM 地址范围内（如 0x20000000 至 0x20020000），且对齐到 8 字节
• 偏移 0x04-0x07：复位向量（Reset_Handler），值必须在 Flash 地址范围内（如 0x08000000 至 0x08100000），且为 Thumb 代码地址（最低位为 1）
• 偏移 0x08-0x0B：NMI 向量，通常指向 HardFault_Handler 或弱定义的死循环

当这些条件全部满足时，即可确认向量表起始位置。随后，提取复位向量值，减去 1（清除 Thumb 标志位）得到真正的函数入口地址。该入口即为固件启动文件中的 Reset_Handler，它负责调用 SystemInit（时钟配置）和 main 函数

⭐调用链还原：从复位处理到 HAL 初始化

定位到 Reset_Handler 后，下一步是还原其内部的调用链（Call Chain）。在 STM32 HAL 库固件中，典型的启动调用序列为：

1. Reset_Handler → 复制 .data 段、清零 .bss 段
2. 调用 SystemInit（位于 system_stm32xxxx.c）配置时钟树、Flash 等待周期
3. 调用 main 函数，其中首先执行 HAL_Init（HAL 库初始化），配置 SysTick、NVIC 优先级分组等

逆向还原时，可通过反汇编工具（如 Ghidra、IDA Pro）定位 Reset_Handler 函数体，查找对 SystemInit 和 main 的 BL/BLX 调用指令。以下是一个典型的反汇编片段（ARM Thumb 指令集）：

Reset_Handler:
    ldr   r0, =_sidata       ; 加载 .data 加载区起始地址
    ldr   r1, =_sdata        ; 加载 .data 运行区起始地址
    ldr   r2, =_edata        ; 加载 .data 结束地址
    bl    copy_data           ; 调用数据复制函数
    ldr   r0, =_sbss
    ldr   r1, =_ebss
    bl    zero_bss            ; 清零 .bss 段
    bl    SystemInit          ; 时钟初始化
    bl    main                ; 进入主函数
    b     .                   ; 死循环

这段配置属于“问题代码/原始配置”，核对键名、默认值、取值范围和修改后影响的行为。

该代码块验证了启动文件的标准结构。通过追踪 bl SystemInit 的地址，可进一步分析时钟配置参数（如 HSE/LSE 使能、PLL 倍频系数）。而 bl main 后的第一条指令通常为 bl HAL_Init，这是 HAL 库固件逆向识别（HAL Library Firmware Reverse Identification）的核心标志