把USB协议栈核心落到USB协议栈核心的触发条件、可观察状态和复查材料上，先判断问题从哪里收窄。
USB协议栈核心用USB协议栈核心、事务、传输类型连接到USB协议栈核心的调试、验证和交付动作。
在固件逆向分析识别固件中的协议实现时，USB描述符（Descriptor）是第一个必须攻克的“身份证”。STM32的USB设备在枚举阶段会向主机发送一系列标准描述符，包括设备描述符（Device Descriptor）、配置描述符（Configuration Descriptor）、接口描述符（Interface Descriptor）和端点描述符（Endpoint Descriptor）。这些描述符不仅定义了设备的类、子类和协议，还直接暴露了固件中端点数量、缓冲区大小和传输类型等关键参数
描述符中的 接口 和 接口 字段是识别固件协议栈类型（如HID、CDC、MSC）的最直接证据。若固件中这两个字段被篡改或填充为厂商自定义值，则说明该设备使用了私有协议，需要进一步分析端点传输行为
逆向时，建议使用USB分析仪（如Beagle USB 12）或Wireshark抓取枚举阶段的描述符请求。重点关注GET_DESCRIPTOR事务的返回数据，将其与STM32标准库或HAL库中的描述符样例对比。例如，STM32的CDC类设备描述符中，bcdUSB通常为0x0200，而bMaxPacketSize0为0x40（64字节）。若固件中bNumConfigurations大于1，则可能存在多配置切换逻辑，这在工业设备中常用于切换高速/全速模式
记录输入、环境、时序或操作动作，先保留现场证据。
优先保留日志、返回码、状态位或波形片段。
把命令、配置和日志放到同一时间窗口，再只调整一个会改变链路状态的条件。
把返回码、计数器和吞吐变化分开留存，避免把一次偶然恢复当成结论。
图表解读：对应正文“事务与传输类型：控制、批量与中断的固件实现模式”。这张图以最终 Mermaid 图中的真实节点为准，先观察“USB协议栈核心：描述符、事务与传输类型”的主链。读图顺序：USB指向最常见的风险是描述符被固件；在设备协指向STM32议识别教程
节点说明：【USB节点】表示可观察对象，标出该节点在主线中的位置；检查重点：相关操作、判断条件或常见问题。
USB协议栈核心识别固件中的传输类型，决定了数据流的实时性和可靠性。在STM32固件中，每个端点（Endpoint）通过描述符中的bEndpointAddress和bmAttributes字段声明其传输类型。控制传输（Control Transfer）用于枚举和命令通道，批量传输（Bulk Transfer）用于大块数据（如U盘读写），中断传输（Interrupt Transfer）用于周期性小数据（如鼠标、键盘）
逆向分析时，通过跟踪固件中USB_EP_CTR_RX或USB_EP_CTR_TX中断服务函数，可以定位每个端点的处理逻辑。例如，批量传输端点通常对应一个循环缓冲区（Circular Buffer）和DMA描述符链，而中断传输端点则依赖定时触发或事件标志。一个常见的实操步骤是：在固件中搜索EP_KIND或EP_TYPE寄存器配置值，这些值直接映射到传输类型（0x00=控制，0x02=批量，0x03=中断）
某工业数据采集器使用STM32F407，固件中CDC类端点2被配置为批量传输（EP_TYPE_BULK），但实际数据流却表现出周期性（每1ms发送一帧）。逆向发现，固件在USB_HP_IRQHandler中插入了一个软件定时器，强制每1ms触发一次批量传输。这种“伪装的中断传输”模式在私有协议中很常见，用于在标准批量端点上模拟实时性
USB协议栈核心落地前要同时核对USB协议栈核心的事务、失败路径和传输类型。
以下参数表总结了STM32 USB固件中常见的描述符字段和端点配置值，用于快速比对逆向结果
| 接口 | 输入 | 输出 | 错误码 |
|---|---|---|---|
| bcdUSB | 0x0200 (USB 2.0) | 声明USB规范版本 | 决定高速/全速协商 |
| bMaxPacketSize0 | 0x40 (64字节) | 端点0最大包长 | 控制传输吞吐量 |
| bmAttributes | 0x02 (批量) / 0x03 (中断) | 端点传输类型 | 数据流实时性与可靠性 |
| wMaxPacketSize | 0x40 / 0x200 (512字节) | 端点最大包长 | 单次事务数据量上限 |
在固件逆向分析识别固件中的端点配置时，建议使用STM32CubeProgrammer的DFU模式读取固件二进制，然后通过objdump或Ghidra定位描述符数组。例如，STM32标准库中描述符通常定义在usb_desc.c的const uint8_t数组中，其起始地址可通过搜索0x12（设备描述符长度）快速定位
在Ghidra中搜索字符串“USBD_”，定位到接口结构体，其中pDesc指针指向描述符表。检查pDesc[4]（bNumConfigurations）和pDesc[8]（bMaxPacketSize0），与抓包数据比对，确认固件版本和协议栈来源
在设备协议识别教程中，最常见的风险是描述符被固件动态修改。例如，某些STM32固件在枚举后通过USBD_CtlSendData重新配置bMaxPacketSize0，导致静态分析结果与实际行为不符。判断标准表如下：
不要仅依赖描述符中的接口判断协议类型。例如，CDC类设备可能使用0xFF（厂商自定义）来隐藏真实协议，此时必须通过分析端点0的控制传输请求（如SEND_ENCAPSULATED_COMMAND）来识别
风险边界还包括：固件中CRC校验失败后的重传策略。STM32的USB IP核在检测到CRC错误时会自动重发NAK，但若固件在软件层实现了超时计数器（如USB_TIMEOUT_MS），则可能导致主机端挂起。逆向时，检查USB_ISTR寄存器中的CTR位和ERR位，可以定位重传逻辑的触发条件
USB协议栈核心的细节补充应直接说明可复查对象：先确认现场任务对应的输入、输出和结果材料，再用USB协议栈核心解释哪一处条件会影响判断。
USB协议栈核心的主要风险来自USB协议栈核心边界、状态和验证口径不清；落地前先核对示例片段，并确认例外场景和结果记录。
复盘USB协议栈核心时，可以把USB放在机制链路的起点，再用描述符的逆向起点说明约束如何改变结论。如果描述符的逆向起点与预期不一致，先比较观测条件和从设备枚举到固件指纹是否同步变化，再判断当前解释是成立、变弱还是需要改写。从设备枚举到固件指纹最好留下“前提、观测、边界”三类线索，方便读者换到新协议或新模型时重新判断，而不是沿用同一句结论。交接这节内容时，把知识结构当作观察入口，把方法框架当作边界条件，避免只沿用USB协议栈核心的名称而忽略结果变化。第03节后续复用时，不复述整段结论，只检查概念联动、描述符的逆向起点和从设备枚举到固件指纹是否仍然同向。