03 CAN控制器寄存器配置逆向：STM32F407 bxCAN位时序与滤波器

🧠从固件二进制到寄存器配置：bxCAN 位时序与滤波器逆向方法

在嵌入式固件逆向中，CAN 控制器（Controller Area Network）的寄存器配置是协议还原的关键瓶颈。STM32F407 的 bxCAN 外设通过一组映射在 APB1 总线上的寄存器控制通信行为，其中 位时序（Bit Timing） 和 硬件滤波器（Hardware Filter） 直接决定了总线波特率、采样点位置以及报文接收策略。本节的核心任务是从固件二进制中提取这些配置项，还原出完整的 CAN 控制器寄存器配置逆向结果

💻CAN控制器寄存器配置逆向

逆向工程师面对的第一个问题是：固件中并没有直接存储“500 kbps”这样的波特率值，而是存储了 BS1（时间段1）、BS2（时间段2） 和 波特率预分频器（BRP） 三个参数。这三个参数通过 CAN_BTR 寄存器（bxCAN 位时序寄存器）组合在一起。我们的目标是从固件中提取出 CAN_BTR 寄存器的最终写入值，并反向推导出实际的波特率和采样点位置

另一个容易被忽视的目标是 硬件滤波器配置。STM32F407 的 bxCAN 提供了 28 个滤波器组，每个组可以配置为标识符列表模式或掩码模式。错误的滤波器配置会导致报文被错误地过滤或遗漏，从而影响协议还原的完整性。因此，逆向时必须同时提取 CAN_FMR（滤波器主控寄存器）、CAN_FM1R（滤波器模式寄存器）和 CAN_FS1R（滤波器位宽寄存器）的值

🎯对象配置与验证链路：定位初始化函数与寄存器写入序列

逆向 bxCAN 配置项的主链路分为三步：定位初始化函数、提取寄存器写入值、反推配置参数

定位 CAN 初始化函数

在固件二进制中，搜索 0x40006400（CAN1 的基地址）或 0x40006800（CAN2 的基地址）的引用。这些地址通常出现在外设时钟使能函数（如 RCC_APB1PeriphClockCmd()）之后。找到引用后，向上回溯函数调用栈，即可定位到初始化函数。在 STM32 HAL 库中，初始化函数通常包含对 CAN_BTR 寄存器的写操作，写入值来自结构体 CAN_InitTypeDef 的 Prescaler、TimeSeg1 和 TimeSeg2 字段

提取寄存器写入序列

一旦定位到初始化函数，重点关注以下寄存器的写入顺序：

• CAN_MCR（主控制寄存器）：用于初始化请求（INRQ 位）和睡眠模式
• CAN_BTR：包含 BRP、BS1、BS2 和同步跳转宽度（SJW）
• CAN_FMR 和 CAN_FM1R：配置滤波器模式和位宽
• CAN_FS1R 和 CAN_FFA1R：配置 FIFO 关联和滤波器激活

以下是一个典型的 CAN_BTR 寄存器写入值示例（来自固件二进制）：

// 假设从固件中提取到的写入值
uint32_t CAN_BTR_value = 0x2300A001;
// 解析：
// Bit[31:24] = 0x23 -> 保留位，忽略
// Bit[23:16] = 0x00 -> 保留位
// Bit[15:8]  = 0xA0 -> 实际为 0xA0，但需按字段拆分
// Bit[7:0]   = 0x01 -> 波特率预分频器 (BRP) = 1
// 注意：BS1 和 BS2 位于 Bit[23:16] 中，需进一步按位域拆分

这段配置属于“问题代码/原始配置”，核对键名、默认值、取值范围和修改后影响的行为。

上述代码块展示了如何从原始寄存器值中提取关键字段。实际解析时，需要参考 STM32F407 参考手册中 CAN_BTR 寄存器的位域定义：TS1[3:0]（Bit[19:16]）对应 BS1，TS2[2:0]（Bit[22:20]）对应 BS2，SJW[1:0]（Bit[25:24]）对应同步跳转宽度。通过位运算即可还原出 BS1 = 0x0A（10 个时间单元）、BS2 = 0x00（1 个时间单元）、SJW = 0x00（1 个时间单元）