02 ARM Cortex-M异常向量表与启动文件逆向定位

🎯异常向量表偏移：定位固件入口的第一道工序

ARM Cortex-M异常向量表与启动文件逆向定位要确认的对象和结果

在嵌入式RTOS固件逆向分析（Firmware Reverse Engineering for Embedded RTOS）中，ARM Cortex-M 系列内核的异常向量表（Exception Vector Table）是定位固件入口与中断服务例程（ISR）分布的核心锚点。Cortex-M 强制要求向量表必须从地址 0x00000000 或由 VTOR（Vector Table Offset Register）指定的基地址开始。逆向定位的第一步，就是通过解析向量表的前两个条目——初始主栈指针（MSP）与复位向量（Reset Vector）——来锁定固件的真实加载基址与第一条执行指令

工程现场中，固件通常被烧录在 Flash 的特定偏移处（例如 0x08000000 或 0x08020000），而 Bootloader 或启动文件（Startup File）会通过修改 VTOR 寄存器来重定向异常向量表。因此，逆向定位固件入口（Cortex-M定位固件入口）的关键检查点在于：读取 VTOR 寄存器的当前值，并验证其指向的地址是否包含合法的向量表结构。若 VTOR 指向的地址前 4 字节（MSP 初始值）落在 SRAM 地址范围内，且第 5-8 字节（复位向量）指向 Flash 或 ROM 区域，则可判定该地址为当前激活的向量表基址

⭐复位序列与启动文件逆向：从向量表到任务调度入口

复位向量指向的地址，通常是启动文件（Startup File）中 Reset_Handler 函数的入口。该函数负责完成三项关键工序：初始化 .data 和 .bss 段、配置系统时钟与外设、调用 main() 函数。在 RTOS 固件中，main() 函数内部会完成操作系统初始化，包括创建任务、启动调度器。因此，逆向分析启动文件（ARM逆向定位）的实质，是沿着复位向量追踪到 Reset_Handler，再通过反汇编识别出对 __main（C 库初始化）和 main 的调用

判断标准表用于评估启动文件是否被篡改或是否包含非标准初始化序列：

在逆向定位过程中，若发现复位向量指向的地址并非标准 Reset_Handler，而是直接跳转到一段自调整实现或加密加载器，则需警惕固件采用了反逆向技术。此时，应结合 Flash 分区（Flash Partition）与 CRC 校验（Cyclic Redundancy Check）机制，分析 Bootloader 是否在跳转前对主固件进行了完整性验证

🎯VTOR 重定位与 Flash 分区：A

在支持 A/B 分区（Dual Bank）升级的嵌入式系统中，Bootloader 会在启动跳转（Boot Jump）前修改 VTOR，使其指向当前激活分区的向量表。这一机制直接影响了固件逆向分析（固件逆向分析逆向定位）的起始点。若直接读取 Flash 起始地址 0x08000000 的向量表，可能得到的是 Bootloader 自身的向量表，而非 RTOS 固件的

技术资产与验证记录：以下是一段用于扫描 Flash 分区并定位有效向量表的 Python 脚本（配合 pyocd 或 cmsis-pack-manager 使用），它通过检查每个分区的起始 8 字节是否符合向量表规范，来判定固件入口

import struct
def find_vector_table(flash_base, flash_size, sector_size=0x20000):
    for offset in range(0, flash_size, sector_size):
        addr = flash_base + offset
        # 读取 MSP 和 Reset Vector
        msp = struct.unpack('<I', target.read32(addr, 4))[0]
        reset_vec = struct.unpack('<I', target.read32(addr + 4, 4))[0]
        # 检查 MSP 是否在 SRAM 范围，Reset Vector 是否在 Flash 范围
        if (0x20000000 <= msp <= 0x20040000 and
            0x08000000 <= reset_vec <= 0x08200000):
            return addr, msp, reset_vec
    return None, None, None

这段配置属于“问题代码/原始配置”，核对键名、默认值、取值范围和修改后影响的行为。

该脚本验证了 VTOR 重定位后的向量表边界：只有当 MSP 和复位向量同时落在合理的内存区域时，才判定该分区包含可执行的固件。在 A/B 分区场景下，若发现两个分区均包含合法向量表，则需进一步检查回滚标志（Rollback Flag）或激活标志位，以确定当前正在运行的分区