04 STM32H7 OTA 差分升级补丁生成与合并算法逆向

🧭差分补丁逆向：从二进制差异到回滚路径的工程还原

输入、处理和输出的检查项

在嵌入式设备OTA升级中，差分升级并非简单的文件替换，而是一场围绕二进制差异的精确手术。本节的核心意图是逆向分析bsdiff与xdelta两种主流差分算法在STM32H7平台上的补丁生成与合并逻辑，并以此为基础，构建可靠的升级回滚（Rollback）路径。我们关注的重点不是算法本身的数学原理，而是当补丁生成失败、合并校验不通过或升级中途断电时，系统如何通过状态切换与异常恢复路径，确保设备不“变砖”

🧠bsdiff与xdelta的逆向机制：补丁生成与合并的工程拆解

在逆向分析中，我们首先需要将bsdiff与xdelta视为两个黑盒，通过调试验证（bsdiff/xdelta调试验证）来揭示其内部状态机。bsdiff基于后缀排序（Suffix Sorting）寻找最长公共子串，其补丁格式包含“控制块（Control Block）”与“差异块（Diff Block）”；而xdelta则采用VCDIFF（RFC 3284）格式，通过指令（ADD、COPY、RUN）描述差异。在STM32H7交付物中，补丁合并器通常运行在Bootloader阶段，此时仅有有限的SRAM和Flash资源

逆向的关键在于还原合并器的状态切换条件。以bsdiff为例，合并过程可抽象为以下示例片段逻辑，它揭示了进入回滚路径的触发点：

// bsdiff 合并核心逻辑逆向还原（简化）
int bsdiff_apply(const uint8_t *old, int64_t old_size,
                 const uint8_t *patch, int64_t patch_size,
                 uint8_t *new_fw) {
    // 解析控制块头
    int64_t ctrl_len, diff_len, extra_len;
    // 状态：逐块处理差异数据
    while (/* 未处理完控制块 */) {
        // 动作1: 从old中COPY并ADD差异数据到new
        memcpy(new_fw + new_pos, old + old_pos, diff_len);
        apply_diff(new_fw + new_pos, patch + patch_pos, diff_len);
        // 动作2: 从patch中COPY额外数据（新增数据）
        memcpy(new_fw + new_pos + diff_len, patch + patch_pos, extra_len);
        // 状态切换条件：若CRC校验失败，立即进入异常恢复路径
        if (crc32_partial(new_fw, new_pos + diff_len + extra_len) != expected_crc) {
            return -1; // 触发回滚
        }
    }
    return 0;
}

这段脚本或函数属于“问题代码/原始配置”，核对输入、输出、错误返回和日志点是否闭合。

上述代码中的crc32_partial校验是状态切换的关键边界。当合并过程中任何一块数据的CRC校验失败，系统不应继续合并，而应立即触发回滚（Rollback）动作。在嵌入式设备调试验证中，我们通过注入单比特错误来验证该路径是否被正确执行

⭐STM32H7 OTA 差分的技术资产与验证方式

在“升级固件逆向分析实战交付物”中，我们构建了一套完整的调试验证环境。该环境的核心资产包括：一个基于STM32H743的A/B分区Bootloader、一个bsdiff/xdelta补丁生成脚本、以及一个用于模拟升级失败的回滚测试用例。以下表格对比了两种算法在资源受限场景下的关键参数：

在“integration_debug交付物”中，我们记录了以下关键验证动作：通过stm32h7_ota_debug.py脚本模拟升级中断，观察Bootloader是否能在VTOR向量表重映射前，正确读取备份分区中的回滚标志（Rollback Flag）。若标志有效，系统应执行NVIC_SystemReset()并跳转至备份分区

🧭异常信号与处理边界：异常恢复路径的工程实现

差分升级的风险主要集中在补丁损坏、Flash坏块和意外断电。在“OTA调试验证”中，我们定义了以下判断标准表，用于评估回滚路径的可靠性：

在实现上，回滚标志应存储在独立于A/B分区的非易失性存储区（如备份SRAM或OTP区域），且每次升级前先写入“待回滚”状态，升级成功后清除。若合并过程中发生异常，Bootloader通过读取该标志决定是否执行memcpy将备份分区内容覆盖至主分区。这一动作必须在关闭全局中断（__disable_irq()）后执行，防止中断服务函数访问不一致的Flash内容