02 STM32F4启动流程与固件加载地址映射逆向

🎯复位序列与向量表重定位：从硬件复位到固件入口

STM32F4启动流程与固件加载地址映射逆向要确认的对象和结果

在《STM32F4系列固件逆向分析与外设识别教程》中，理解启动流程是固件逆向的基石。当STM32F4芯片上电或复位后，硬件会从固定地址 0x00000000 加载主堆栈指针（MSP）的初始值，并从 0x00000004 取出复位向量（Reset_Handler）的地址并跳转执行。这一过程完全由硬件固化，不依赖任何软件配置。然而，在实际的固件加载地址映射逆向中，我们通常不会在 0x00000000 处直接找到向量表——因为芯片内部集成了Flash和SRAM的别名映射机制，真正的向量表通常位于Flash基址 0x08000000 处

关键问题在于：固件编译时，链接脚本决定了向量表的存放位置。逆向分析的第一步，就是定位这个向量表并验证其结构。通过检查二进制文件的前8个字节（MSP初始值）和紧随其后的4字节（复位向量），我们可以确认固件的加载基址。例如，若在偏移 0x08000000 处读到 0x20010000（MSP）和 0x08000145（复位向量，注意地址的LSB为1表示Thumb状态），则说明固件确实以 0x08000000 为加载地址

🧭向量表结构与中断向量解析：从复位到异常处理的握手步骤

向量表不仅包含复位向量，还定义了所有异常和中断的入口地址。在STM32F4系列固件逆向分析配置项中，向量表的前16个条目为系统异常（如NMI、HardFault、MemManage等），之后才是外设中断。每个条目占用4字节，存储对应处理函数的地址。逆向时，我们需要通过分析这些地址的分布，推断固件使用了哪些中断，以及这些中断处理函数的代码区域

握手步骤的核心在于：当外设触发中断时，硬件会自动从向量表中取出对应的地址并跳转。因此，向量表的完整性直接决定了系统能否正确响应中断。在固件加载地址映射逆向中，一个常见的验证方法是：检查 0x08000000 + 0x2C（即第12个条目，HardFault_Handler）处是否指向一个有效的函数地址。如果该地址落在Flash范围内（如 0x0800XXXX），则说明异常处理机制已正确配置

⭐VTOR与Flash分区映射：固件加载地址的逆向技术资产

STM32F4通过VTOR（向量表偏移寄存器，地址 0xE000ED08）支持向量表重定位。在固件加载地址映射逆向中，VTOR的值决定了CPU从哪个地址读取向量表。对于支持A/B分区或OTA升级的固件，VTOR会在运行时被修改，指向不同的Flash分区。例如，Bootloader分区通常位于 0x08000000，而应用分区A位于 0x08020000，分区B位于 0x08040000

以下是一个典型的Flash分区配置示例，展示了如何通过链接脚本定义分区边界：

/* STM32F407VG Flash分区定义 */
#define BOOTLOADER_START  0x08000000
#define BOOTLOADER_SIZE   0x00020000  /* 128KB */
#define APP_A_START       0x08020000
#define APP_A_SIZE        0x00020000  /* 128KB */
#define APP_B_START       0x08040000
#define APP_B_SIZE        0x00020000  /* 128KB */
/* 在启动代码中设置VTOR */
void jump_to_app(uint32_t app_addr) {
    // 检查应用固件的栈顶指针是否合法
    if (*(uint32_t*)app_addr > SRAM_BASE + SRAM_SIZE) {
        return; // 栈顶指针异常，不跳转
    }
    // 设置VTOR
    SCB->VTOR = app_addr;
    // 设置MSP并跳转
    __set_MSP(*(uint32_t*)app_addr);
    ((void (*)(void)) (*(uint32_t*)(app_addr + 4)))();
}

这段脚本或函数属于“问题代码/原始配置”，核对输入、输出、错误返回和日志点是否闭合。

上述代码验证了一个关键边界：在跳转前必须检查目标地址的栈顶指针是否在SRAM范围内，否则可能导致堆栈溢出或硬件错误。这是逆向分析中判断固件是否具备安全跳转机制的重要依据