XX教你玩 MiniPC (三)MK908之CPU RK3188启动 bootloader分析

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/faithsws/article/details/17245699

上一篇我们已经弄明白了整个MiniPC的软件组成,但是并不是很清楚系统启动的细节,所以这一篇就仔细说明一下rk3188 从上电开始到启动内核为止的过程。

再说明一点,这篇有一部分是翻译的内容,但针对翻译的内容,我亲自做了一些实际的实验,所以我还是自己坦白,这篇算是“伪原创”吧。

先给大家发原创的链接:https://gist.github.com/sarg/5028505

这个是国外的一个大神做的工作,真是很佩服啊。

那么,有人会问,我们为什么这么费劲的去解析启动部分的内容,第一,我们没有RK3188的datasheet,第二,没有bootloader的源码。而我们的目的是能够自由的开发或移植bootloader到rk3188上,能够启动我们定制的操作系统。如果谁有RK3188的详细datasheet或者bootloader的源码,一定要给我一份啊!

首先,先翻译一下原创的内容吧。绿色的部分是原文没有提及,我自己根据自己的实验猜测的。其中的代码就不拷贝过来了。

如何获取RK3066的BootRom

 

以下是我的步骤。

首先,我在我的设备的升级包(update.img)中发现了一个RK30xxLoader(L)_V1.18.bin的文件。我用rk29Kitchen把它解包出来。

使用strings 命令(linux下)去查看其中的参考字符串,并没有发现有用的地方,所以我觉得这个文件是经过加密混淆过的。

下一个步骤是使用IDA pro来反汇编RKAndroidTool.exe ---rockchip公司提供的用于烧写升级包的工具。在分解过程中,我发现了loader文件使用了RC4的加密方法。这个文件被分隔成512字节的多个块,每个块都被加密。

所以,我用perl写了unpack_loader.pl 脚本,这样我得到了4个输出文件。

1           14a         321c        30_LPDDR2_300MHz_DD
2           3366        c914        rk30usbplug
4           fc7a        3400        FlashData
4           1307a       1ac00       FlashBoot

 

幸运的是,这些文件名都是有意义的名字。

30_LPDDR2_300MHz_DD  是一个dram 初始化处理过程。FlashData 是只是30_LPDDR2_300MHz_DD的拷贝,只不过是512字节对齐(flash的块大小)。

rk30usbplug 是负责MaskRom模式下的处理。FlashBoot是从NAND flash启动的第二阶段,里面也包含了DFU模式的处理。

我也反编译了上面所说的4个文件。在FlashBoot中,发现了用于DFU模式下从DDR Ram区域获取数据的指令。所以,我的想法是在FlashBoot中注入代码,把bootrom拷贝到DFU模式下能够访问到的内存地址。但是一个问题是,FlashBoot会覆盖掉从0地址开始的内存 --- 这个地址也是上电时bootrom被加载的地方。所以,我需要做的就是在Flashboot覆盖掉它以前,从0地址拷贝出0x2800个字节(boot rom 的大小)。这个就是我们想要的bootrom.bin。

然后,我写了一系列的工具:patch_loader.sh 帮助 注入代码;pack_loader.pl重新组包,并且用rkcrc签名。

我所有的命令就是以下几个:

# perl unpack_loader.pl RK30xxLoader\(L\)_V1.18.bin write
# sh patch_loader.sh FlashBoot.bin
# perl pack_loader.pl dram=30_LPDDR2_300MHz_DD.bin boot=FlashBoot.bin.patched data=FlashData.bin usbplug=rk30usbplug.bin out=patchedLoader.bin

用RKAndroidTool.exe把生成的patchedLoader.bin烧写到flash中,然后用以下的命令获取loader。

# rkflashtool m 0x64000000 0x2800 >bootrom.bin

我上传了 bootrom.hex。执行命令xxd -rp bootrom.hex >bootrom.bin 把bootrom.hex变换成二进制文件boot.bin。

现在,loader的所有部分都被破解并且反编译了,现在我们就可以把uboot移植到这个平台上,启动我们想要的任何操作系统。

 

 

RK3066 的启动过程

在上电时,rk30在bootrom的0地址开始启动。

Bootrom把自己拷贝到SRAM,然后到idbrom中搜索dram的初始化句柄。

Bootrom加载dram初始化句柄到内存(SRAM),然后执行它。

Bootrom到idbrom中搜索flashboot,加载到内存(DRAM)

如果没找到flashboot,bootrom继续搜索usbplug然后加载它。

如果找到,flashboot初始化NAND,搜索parameter文件,加载kernel到DRAM,然后启动kernel。


该翻译的已经翻译完了,不知道大家能不能理解,反正我是明白了一部分。对于作者的逆向工程的功底,我真是自叹不如啊。既熟悉Windows平台的可执行文件破解,又熟悉arm架构的机器码和汇编指令,还能开发工具进行代码注入。

下面就是我的实验阶段了。

我没有利用IDA pro进行反编译调试,这部分工作好长时间不做了,很生疏,费时。总之,把作者写的perl脚本下载下来运行,解我的Rk3188的bootloader,是完全行的通的。这说明rk3066和rk3188在启动过程以及架构上没有很大改变。运行结果如下图:


从中我们也能看到3188_LPDDR2_300MHz_ 和FlashData的大小很接近,FlashData是以512字节对齐的。这符合作者的阐述。

其实,以上的这些信息,我们使用winhex也是可以看到的,但不是很直观的。

 

比较解压完的4个文件的大小,发现跟上面解包过程中提供的信息是一样的,这也能说明这个过程是正确的。

我没有分析3188_LPDDR2_300MHz_ 和rk30usbplug,因为DDR2的初始化是必需的过程,没有必要改动。rk30usbplug是通往MaskRom模式的(其实我是真不懂MaskRom模式是什么模式,做什么用,谁明白细节的告诉我啊),但是在我测试过程中,从没进入过这个模式,所以略过吧。

那么重点就是仔细分析FlashBoot这个模块了。

第一步,反汇编FlashBoot模块。FlashBoot模式是纯的二进制文件,不是我们通常的elf文件,在这里没有段的概念,没有架构的概念,有的只有二进制的代码和地址。先看看反汇编的指令吧。

arm-linux-gnueabi-objdump -b binary  -marmv5 -D FlashBoot.bin > flashboot.asm

每个标准的gcc交叉编译工具链,都很提供一个objdump程序,这是帮助我们做一些debug工作的。我用的arm gcc是从linaro社区下载的,版本是4.7。其中的参数是必须的,binary表示我们的输入是一个纯的二进制文件,marmv5是告诉objdump安装哪种架构来将机器码翻译成汇编语言。因为这个arm objdump不支持armv7的架构,所以先用armv5代替了,虽然有些小的差别,但不会错的天翻地覆。大家可以通过 --help来看看自己的objdump支持什么架构。

这样就得到反汇编得到的汇编语言。下面着重分析这个汇编文件。

从上面的分析得出,第一次拷贝时覆盖了0地址,所以需要在第一次拷贝之前进行代码注入。

那么以下,就分析作者的代码注入原理。

首先,先关注两个重要参数。offset和inject,分别代表注入代码的静态文件偏移和执行时的注入点。 这两个点的选择是有依据的。offset为A0,在这个位置数据全部为0,没有特殊意义,并且有很大的空间来存储注入代码。inject为224,通过上面的分析知道,这个是在第一次拷贝之前,比较早的执行位置。

再来看JUMP1的计算,实际上这里的目标地址是里面的2b0,因为2b0位置是memcpy的代码,从汇编代码看,就是在r0,r1,r2三个寄存器存入合适的数据(传参),然后把0地址的数据拷贝到0x64000000去,个数为0x2800,因为从仅有的手册上看bootrom只有10K。0x64000000是比较高的地址,不会被覆盖掉。但为什么计算过程这么麻烦呢,是因为流水线的缘故,这个大家自己去了解吧。

在执行我们注入代码的最后,是恢复原始环境的代码,就是把注入之前的环境恢复回来。224位置的代码被我们修改了,我们返回的时候,要把224位置的代码重新补回来,然后再跳转到228。224位置原来的意思是:把2D8中的数据存入r0,我们则在注入代码中直接写入10080000,效果是一样的。返回228之后,程序就正常执行了。

JUMP的计算,目的是获得offset位置相对PC的偏移,因为我们的跳转都是相对跳转。当执行到224的时候,要跳转到A0,就要计算向前跳转的偏移。

我们明白这些参数的含义之后,就可以用dd命令完成 flashboot的重新组装。

重组的过程是分解的逆过程,在此不多说了。


rkflashtool在前几篇的链接中有源码,在linux下编译通过,并且可以成功运行。在windows下,可执行文件rkflashtool.exe没法成功运行,不知道为什么,也没仔细调试,大家成功了的话,通知一下我吧。

到现在,我们就明白了注入过程和原理。根据我对kernel代码和上面地址的分析,以下就是我个人的猜测了。

bootrom是CPU内置的ROM,内容无法被修改,启动时会依据硬件设置来选择启动方式。

bootrom把自身拷贝带内部sram,因为内部sram无需初始化,所以非常适合bootrom操作。

我们所说的bootloader,实际上是被烧写在一块神秘的idbrom上。这个rom的特性应该是类似于Nor flash,可以随机的访问,并且能执行代码。这样bootrom在其中找到句柄时,就可以立刻跳转过去执行,而不用先拷贝后执行。idbrom的flash肯定不是NAND flash。这点从烧写工具上就可以看出:windows上的rkandroidtool,bootloader和paramter文件都在0地址,这是一组矛盾。linux上的rkflashtool ,有i选项和r选项,分别对应idb flash和nand flash。

在bootrom的高字节中,包含了CPU的标识ID,通过判断这些ID,就可以知道是什么CPU。

Flashboot中才是我们通常Bootloader的工作。所以获得flashboot的动作属性,是我们后续启动的关键。

动作属性主要包括:

对parameter的解析

对kernel分区的使用

对kernel启动时cmdline的作用


这篇的内容涉及很多底层的知识,搞明白这些真的非常有益。

下一篇讲述 Flashboot的动作属性。


有人知道IDB是什么的缩写吗?告诉我吧!

展开阅读全文

没有更多推荐了,返回首页