嵌入式~PCB专辑7

只发PCB电路相关7 随时更新~~    whaosoft aiot http://143ai.com  

一、嵌入式设备PCB级逆向基础技术

 这里介绍一些实用的PCB级硬件逆向的基础技术，可用于研究者和白帽团体分析未知的硬件。SEC Consult运营的硬件安全专用实验室是SEC Consult安全实验室的一部分。

    下文展示的研究只是硬件实验室众多研究中的冰山一角。

    今天，我们生活在一个被嵌入式设备统治的世界中。每个人都可能生活在各种各样的窥探、监控中。受安全漏洞影响的路由器、网络摄像头、智能手机和其他嵌入式设备，是极易被攻击的。最近爆发的Mirai病毒事件和其他LoT恶意软件更加说明了这一点。无论是出于好奇还是应顾客要求进一步提高产品的安全性，想要深度审计该类设备的固件，我们都需要拆卸下来，好找到调试接口。只有通过对系统进行调试和运行，才能揭示其中的隐秘之处。由于该过程具有一定的破坏性，故通常会对设备造成损坏。因此，要想进行深入的分析，仅准备一台设备是不够的！

如何从熟知的设备开始？

    为了节省昂贵的嵌入式分析费用，一个简单快捷方法是替换固件。大型公司很容易在引进大批IoT设备之前委托安全咨询公司对该产品的内置固件进行测试，以此最大程度地降低系统的安全风险。不过，对用户和业余爱好者来说，选择并不多，他们能安装的固件多来源于第三方如OpenWRT。尽管这些固件的性能不见得一定比原生的（原生固件是针对该专有芯片指令集开发的）更加出色，但在安全性方面，确实如此。当我们在完成对已知设备的安全审计的任务时，硬件分析的部分通常简化为在网上的相关论坛（通常是OpenWRT Wiki）寻找相关资料。

硬件黑客——识别无文档设备的调试接口

    要对一个完全未知的普通设备刷写固件，简直就是一个难以完成的任务。故而，我们需要逐步剖析硬件电路，以便检查其所用的固件及检测固件的安全漏洞。不过，对硬件电路进行逆向工程并不是一件简单的事，尤其是专有芯片集电路，好在一些基本的分析技术还是适用的。在我们的例子中，Broadcom（博通公司）的SoC作为Belkin F9 K1106as（Belkin:贝尔金公司）无线中继器的核心部件。我们用该设备作为例子并不是我们对它别有兴趣，而是它的芯片集也用在众多社区支持的其他设备上。为了识别该SoC的引脚，我们将它接上专用电源。打开设备的外壳，便是PCB板了。我们第一个目的是串行连接到设备，以获得shell或至少访问到引导装载程序。

图：Belkin F9 K1106as PCB图及其不同模块

要识别金属防护罩保护的模块，最简单的办法是拆掉防护罩。

图：用钳子打开静电防护罩

    仅为了逆向分析出隐藏在PCB板上的调试引脚接口，我们不必将全部的防护罩拆除。借助暴露在PCB上的UART接口（译者注：通用异步收发器，详见百度百科）可以实现最初的调试，因为把UART直接接到以11520 Baud 8n1为终端的FT2322H板上，可以获取得root shell。相比于其他接口，很容易就可以辨认出UART，它只有两个针脚，接收端及发送端。进行串行通信并非总是UART，但这能帮助我们缩小可能性。一组3-5针的引脚通常是UART接口，这是开发PCB时预留的。

    UART通常的引脚排布为（GND|RX|TX|VCC）或（GND|TX|RX|VCC）。

    那JTAG（译者注：联合测试工作组，详见百度百科）在哪呢？该标准允许开发者或有经验的黑客轻易地控制CPU、在运行阶段调试SoC和对flash进行读取和编程以及运行自检测试。这个问题可以如此作答：用JTAG暴力工具。SEC Consult开发的工具（包括硬件和软件）附带有该功能，当然，网络上也有许多用于该目的的工具。由于有效的调试针脚为4-5针，PCB板上部的10个针脚看起来像是JTAG。

 图：暴力检测JTAG针脚 

 图：SEC Consult安全实验室开发的硬件分析工具“SEC Xtractor”

经过暴力检测后，终于找出了针脚！为了保持完整性，也标记了UART接口。

 图：JTAG引脚

至于JTAG适配器，用的是廉价的迷你FT2322H模块。

    图：通过迷你FT2232H模块连接到JTAG

    连接到OpenOCD的请求给出了如下结果：

 图：OpenOCD输出

    该芯片似乎有一个ID为0x2535717f的32位的指令寄存器。此前，我们所知的仅是该Broadcom SoC标签为BCM5358UB0KFBG。现在，我们有更多的了解了——不过是针对该具体的设备；JTAG接口可以用来控制芯片及对系统底层的访问。

硬件黑客——抓取固件

    提取固件，是完善该SoC信息池的最后一步。一个Macronix的串行flash芯片安装在PCB背面。花几分钟用flashrom和FT2322H即可读取出其中的内容。从datasheet上可以快速找出其引脚定义：

 图：Macronix SPI flash芯片引脚

将flash芯片从PCB板上取下后，置于转接器上并启动flashrom：

  图：用flashrom读取SPI存储器

    转储文件包括整个程序存储器和暂存数据（NVRAM）。用flashrom重写固件并芯片焊接回去是刷第三方固件的另一种方法。通过调用“binwalk-Adump.bin”，得到许多的“MIPSEL”（MIPS little endian）指令，这让我们不禁假设：该Broadcom SoC 是基于通用MIPSEL32 CPU的。SOP封装的串行flash芯片是最容易读取的flash，更具挑战性的NAND和NOR flash芯片，由于其复杂的接口、狭小的封装和数目众多的引脚，操作起来甚是困难。

    通过IoT Inspector对转储文件进行初步分析显示，该固件存在一些基本的安全风险，同时也获取到该设备使用的软件信息。由于我们分析的是老旧设备，一些安全漏洞可以追溯到2007年：

  图：IoT Inspector报告摘录

硬件黑客——逆向SoC引脚

    正如先前所述，如果得到了SoC的引脚定义，那么我们将可以对任何使用BCM5358UB0KFBG的设备进行逆向。为此，大多数情况下我们可以用热风枪将BGA封装的芯片拆焊下来。

图：热风枪返修台 

        图：拆下SoC后的Belkin PCB

    根据SoC的引脚连接情况，结合datasheet的相关资料以及针脚对地/电源（GND/VCC）电压的测定和逻辑推断，我们得出该芯片部分重要引脚的功能定义。

    图：BCM5358U0KFBG芯片部分引脚功能定义

    显然，BCM535x系列芯片有着相似的引脚定义。https://wikidevi.com网站收集有计算机硬件的相关信息，当然也包括Broadcom SoC系列。我们找到了下面的条目：

  图：来源: https://wikidevi.com

    观察包含该类芯片的其他路由器的图片可以发现，芯片的引脚功能都是大同小异。

    Wikidei网站包含众多硬件的相关信息，除此之外，制造商提供的相关文档也非常详尽。中国似乎是唯一一个各个品牌路由器的生产国。

硬件黑客——来自中国的供应链

    所有这些中国制造的电子产品，芯片、外围设备、路由器等，经常是由同一家工厂组装完成的。结果很明显，这些产品的质量都在一个等级，一些工厂也为相互竞争的市场供应商生产产品。我们来看看两张华硕RT-N53路由器和Belkin F9 K1106无线中继器的内部图片。这PCB板上的标识简直就是一摸一样，是不是？

 图：华硕PCB，来源：https://apps.fcc.gov/ 

 图：Belkin PCB

    巧合吗？并不像啊。这些标识的字体是ELCAD（电脑辅助电子设计）软件默认设置的，如果不是强制要求，开发者是不会去改动的。这意味着相同的模板重用于华硕PCB的开发，甚至更多其他供应商。因此，同一家ODM（原设计制造商）负责设计制造包括Belkin在内各品牌的产品。

    在嵌入式设备生产中，这并不是什么不常见的生产形式，尤其是对于来自US的公司。其中的固件多半也是亚洲供应商基于标准的亦或是定制的SDK开发的。

二、0Ω电阻可以过多大电流

 0Ω电阻到底能过多大电流？这个问题想必每位硬件工程师都查过。而与之相关的还有一个问题，那就是0Ω电阻的阻值到底有多大？

    这两个问题本来是很简单的，答案应该也是很明确的，但网上网友却给出了不尽相同的答案。有的人说0Ω电阻是50mΩ，还有的人说其实只有20mΩ；有的人说只能过1A电流，还有的人说可以过1.5A……

    那么，到底是多大呢？下面，我们一步一步来看。

0Ω电阻阻值大小

    针对这两个问题，我专门查了一下电阻的标准。根据EN60115-2电阻标准文件记载，0Ω电阻的阻值是0Ω，但也会有偏差。0Ω最大电阻偏差有三种可以选择，分别为10mΩ、20mΩ和50mΩ。

    也就是说，0Ω电阻偏差可以允许有多种偏差，这主要看电阻厂商做的是哪种了。

我下载了几大品牌的，比如罗姆、国巨、光颉的普通0Ω电阻规格书查看了一下，发现它们标注的0Ω电阻，最大阻值都是50mΩ。

    由此可以得出结论：常用的普通0Ω电阻的阻值最大不超过50mΩ。

0Ω电阻的过流能力

    网上还有一种观点，认为0Ω电阻的电流是根据功率算出来的，电阻按照50mΩ来算。这样的话，0805的电阻功率一般为1/8W，算出额定电流应该是1.58A。但是，我查看规格书发现，罗姆、国巨、光颉这几大品牌的都是2A，与计算出来的有些出入。

    罗姆、国巨、光颉三大厂家的普通0Ω电阻额定电流如下：

  从上图可以看出，三大厂家的0Ω电阻的额定电流还是略有差别的。我建议综合各家的、按照最小值来选，这样就不论什么品牌，都不会超出规格设计了。

    额定电流综合之后的表格如下：

  我们看到，常规的电阻的电流都不大，按照综合后的最小值来选的话，最大的也就2A。如果设计电路时发现，我要用3A或4A的0Ω电阻，那该怎么办呢？其实很简单，可以用2个0Ω电阻并联起来就行了。

    说到这里，可能大家会觉得奇怪，怎么有的封装变大了，但过流并没有增加呢？例如，0805和1206都是2A，在这里应该是额定电流虽然没有增加，但瞬间电流应该是能过更大了。如果你打开国巨的电阻规格书，就会发现它写了两个参数，一个是额定电流，另一个是最大电流。额定电流都是2A，但最大电流0805是5A，1206是10A。

注：Jumper就是0Ω电阻（标准文件就是这么写的，如下图所示）。 

特殊大额定电流的0Ω电阻

    如果是更大的电流，也是电阻可选的。不过，这些电阻就不常规了，比如这个罗姆的超低阻值电阻，最大阻值0.5mΩ，小了100倍，额定电流更是达到了20A+，但是价格比较贵，要好几毛钱，而普通电阻一分钱能买好几个。

巧用0Ω电阻设计PCB板

    许多硬件初学者看到PCB板上用到0Ω电阻时，往往就会一脸懵圈，他们经常会问：既然这玩意儿里面啥也没有，干嘛还要用它？

    其实，0Ω电阻的用处可大了，如果用好它，可以极大地方便PCB板的设计和调试。下面，我们就来简单说说0Ω电阻的作用。

    例如，老板出于成本的考虑，让你设计一个单面板，也就是说，元器件的安装及走线都只能在一面，你最头疼的是有些线实在走不过去，必须跨线连接，打俩孔用跳线？如果在研发的时候，这种方法还是可以的，但有一天你的设计变成了产品，需要大批量生产，机器折腾起跳线来要比放置一个电阻麻烦的多，这时候0Ω电阻就能帮你大忙了！根据你的空间，可以选用0805、0603或0402的电阻。

调试时的前后级隔离

    如果你的设计是新的，对PCB板上很多部分的功能以及能够实现的性能还不确定，拿回板子来将会面临一场惊心动魄的调试，debug的一个重要原则就是把问题限定在最小的范围内，因此多块电路之间的隔离就非常重要。

    在调试A电路时，你不希望B电路的工作影响到你的调试，那么最好的方式就是断掉它们之间的连接，而0Ω电阻就是一个最好的隔离方式！

    调试的时候不焊接，等调试完成确认这部分电路没问题了，就可以将0Ω电阻安装上。当然，在最终的产品中可以彻底去掉。

测试电流用

    如果你想测试某一路的电流大小，一种方式是通过电压表测量该通路上某电阻两端的电压（确保电压表的内阻不要影响到测量的精度），通过欧姆定律就可以计算出该路的电流。

    另一种方式就是直接将电流表串在该回路上，因此在该电路上可以放置一个0Ω电阻，测量电流的时候用电流表两端代替该电阻，等测量完毕就能将该电阻安装上了。

给自己调试带来灵活性

    可以预留各种可能性，根据实际的需要进行选装不同的电阻，它可以替代掉跳线，避免了跳线的钻孔、安装占用比较大的空间，而且跳线也会引起高频干扰。

    比如，PCB板上设计有低通滤波器，如果发现最终不需要或者一开始调试的时候没时间调试低通滤波器，但又必须让信号流通过去，可以用0Ω电阻来代替原来设计中的电阻/电感，而不安装电容。在匹配电路参数不确定时，以0Ω电阻代替，实际调试的时候确定参数再以具体的数值的元器件来代替。

用于信号完整性的模拟地和数字地的单点连接

    有人说0Ω电阻跟没有一样，干嘛不直接连接上？想象一下，如果你在电路原理图里没有这个0Ω电阻，做PCB Layout的时候就可能忽略这个单点连接的原则，CAD软件也会乱连在一起，达不到你单点连接的初衷。

    当然，单点连接的时候也可以用磁珠，但我个人的观点是连接点的位置选择好的话，磁珠除了比电阻贵之外，没有什么好处。在实际的操作中，你可以用比较小的封装的0Ω电阻，比如0402和0201，焊接的时候直接用烙铁将两端搭接在一起就可以，这样连电阻也省了。

增加被逆向工程的难度

    如果你在电路上放置多个不同颜色、不同封装、没有阻值标记的0Ω电阻，不影响电路的工作性能，但却可以让抄你板子的人瞬间抓狂。

    PCB板上支持不同的配置，有的版本可能有部分电路不安装，可以用它来隔离不安装的电路部分，比如iPhone中有WiFi版本和WiFi+3G版本的，用的实际上是一个设计。

     怎么样？这个0Ω电阻的作用很大吧！在以后的项目中大家慢慢体会吧，很多时候灵活应用它，会让你很多头疼的问题都能迎刃而解。

三、PCB 线宽与电流关系，查表与计算

1、计算方法如下

先计算 Track 的截面积，大部分 PCB 的铜箔厚度为 35um（不确定的话可以问 PCB 厂家，1盎司为35um，实际上都不足35um）它乘上线宽就是截面积，注意换算成平方毫米。

有一个电流密度经验值，为 15~25 安培/平方毫米。把它称上截面积就得到通流容量。I=KT0.44A0.75 （K 为修正系数，一般覆铜线在内层时取 0.024，在外层时取 0.048T 为最大温升，单位为摄氏度(铜的熔点是 1060℃)A 为覆铜截面积，单位为平方 MIL(不是毫米 mm，注意是 square mil.)I 为容许的最大电流，单位为安培 (amp) 一 般 10mil=0.010inch=0.254 可 为 1A ，250MIL=6.35mm, 为 8.3A

2、数据 

PCB 载流能力的计算一直缺乏权威的技术方法、公式，经验丰富 CAD 工程师依靠个人经验能作出较准确的判断。但是对于 CAD 新手，不可谓遇上一道难题。PCB 的载流能力取决与以下因素：线宽、线厚（铜箔厚度）、容许温升。大家都知道，PCB 走线越宽，载流能力越大。在此，请告诉我：假设在同等条件下，10MIL 的走线能承受 1A，那么 50MIL 的走线能承受多大电流，是 5A 吗？答案自然是否定的。请看以下来自国际权威机构提供的数据：线宽的单位是：Inch （inch 英寸=25.4 millimetres 毫米）1 oz.铜=35 微米厚，2 oz.=70 微米厚, 1 OZ =0.035mm 1mil.=10-3inch. Trace Carrying Capacity per mil std 275

3、实验

实验中还得考虑导线长度所产生的线电阻所引起的压降。工艺焊所上的锡只是为了增大电流容量，但很难控制锡的体积。1 OZ 铜，1mm 宽，一般作 1 - 3 A 电流计，具体看你的线长、对压降要求。

最大电流值应该是指在温升限制下的最大允许值，熔断值是温升到达铜的熔点的那个值。Eg. 50mil 1oz 温升 1060 度(即铜熔点)，电流是 22.8A。

4、PCB 设计铜铂厚度、线宽和电流关系

在了解 PCB 设计铜铂厚度、线宽和电流关系之前先让我们了解一下 PCB 敷铜厚度的单位盎司、英寸和毫米之间的换算："在很多数据表中，PCB 的敷铜厚度常常用盎司做单位，它与英寸和毫米的转换关系如下：

1 盎司 = 0.0014 英寸 = 0.0356 毫米（mm）

2 盎司 = 0.0028 英寸 = 0.0712 毫米（mm）

盎司是重量单位，之所以可以转化为毫米是因为 pcb 的敷铜厚度是盎司/平方英寸" PCB 设计铜铂厚度、线宽和电流关系表

导线的电流承载值与导线线的过孔数量焊盘存在的直接关系（目前没有找到焊盘和过孔孔径每平方毫米对线路的承载值影响的计算公式，有心的朋友可以自己去找一下，个人也不是太清楚，不在说明）这里只做一下简单的一些影响到线路电流承载值的主要因素。

1、在表格数据中所列出的承载值是在常温 25 度下的最大能够承受的电流承载值，因此在实际设计中还要考虑各种环境、制造工艺、板材工艺、板材质量等等各种因素。所以表格提供只是做为一种参考值。

2、在实际设计中，每条导线还会受到焊盘和过孔的影响，如焊盘教多的线段，在过锡后，焊盘那段它的电流承载值就会大大增加了，可能很多人都有看过一些大电流板中焊盘与焊盘之间某段线路被烧毁，这个原因很简单，焊盘因为过锡完后因为有元件脚和焊锡增强了其那段导线的电流承载值，而焊盘与焊盘之间的焊盘它的最大电流承载值也就为导线宽度允许最大的电流承载值。因此在电路瞬间波动的时候，就很容易烧断焊盘与焊盘之间那一段线路，解决方法：增加导线宽度，如板不能允许增加导线宽度，在导线增加一层 Solder 层（一般 1毫米的导线上可以增加一条 0.6 左右的 Solder 层的导线，当然你也增加一条 1mm 的 Solder层导线）这样在过锡过后，这条 1mm 的导线就可以看做一条 1.5mm~2mm 导线了（视导线过锡时锡的均匀度和锡量），如下图：

像此类处理方法对于那些从事小家电 PCB Layout 的朋友并不陌生，因此如果过锡量够均匀也锡量也够多的话，这条 1mm 导线就不止可以看做一条 2mm 的的导线了。而这点在单面大电流板中有为重要。

3、图中焊盘周围处理方法同样是增加导线与焊盘电流承载能力均匀度，这个特别在大电流粗引脚的板中（引脚大于 1.2 以上，焊盘在 3 以上的）这样处理是十分重要的。因为如果焊盘在 3mm 以上管脚又在 1.2 以上，它在过锡后，这一点焊盘的电流就会增加好几十倍，如果在大电流瞬间发生很大波动时，这整条线路电流承载能力就会十分的不均匀（特别焊盘多的时候），仍然很容易造成焊盘与焊盘之间的线路烧断的可能性。图中那样处理可以有效分散单个焊盘与周边线路电流承载值的均匀度。

最后在次说明：电流承载值数据表只是一个绝对参考数值，在不做大电流设计时，按表中所提供的数据再增加 10%量就绝对可以满足设计要求。而在一般单面板设计中，以铜厚 35um，基本可以于 1 比 1 的比例进行设计，也就是 1A 的电流可以以 1mm 的导线来设计，也就能够满足要求了（以温度 105 度计算）。

5、PCB 设计时铜箔厚度,走线宽度和电流的关系

信号的电流强度。当信号的平均电流较大时，应考虑布线宽度所能承载的的电流，线宽可参考以下数据：

PCB 设计时铜箔厚度,走线宽度和电流的关系

不同厚度，不同宽度的铜箔的载流量见下表: 

注：

i. 用铜皮作导线通过大电流时，铜箔宽度的载流量应参考表中的数值降额50%去选择考虑。

ii. 在 PCB 设计加工中，常用 OZ（盎司）作为铜皮厚度的单位，1 OZ 铜厚的定义为 1 平方英尺面积内铜箔的重量为一盎，对应的物理厚度为35um；2OZ 铜厚为 70um。

六、经验公式

I=KT0.44A0.75

(K 为修正系数,一般覆铜线在内层时取 0.024,在外层时取 0.048T 为最大温升,单位为摄氏度(铜的熔点是 1060℃) 

A 为覆铜截面积,单位为平方 MIL(不是毫米 mm,注意是 square mil.) 

I 为容许的最大电流,单位为安培(amp)

一般 10mil=0.010inch=0.254 可为 1A,250MIL=6.35mm, 为 8.3A

7、某网友提供的计算方法如下

先计算 track 的截面积，大部分 pcb 的铜箔厚度为 35um（不确定的话可以问 pcb 厂家）它乘上线宽就是截面积，注意换算成平方毫米。有一个电流密度经验值，为 15~25 安培/平方毫米。把它称上截面积就得到通流容量。

8、 关于线宽与过孔铺铜的一点经验

我们在画 PCB 时一般都有一个常识，即走大电流的地方用粗线（比如 50mil，甚至以上），小电流的信号可以用细线（比如 10mil）。对于某些机电控制系统来说，有时候走线里流过的瞬间电流能够达到 100A 以上，这样的话比较细的线就肯定会出问题。

一个基本的经验值是：10A/平方 mm，即横截面积为 1 平方毫米的走线能安全通过的电流值为 10A。如果线宽太细的话，在大电流通过时走线就会烧毁。当然电流烧毁走线也要遵循能量公式：Q＝I*I*t，比如对于一个有 10A 电流的走线来说，突然出现一个 100A 的电流毛刺，持续时间为 us 级，那么 30mil 的导线是肯定能够承受住的。（这时又会出现另外一个问题??导线的杂散电感，这个毛刺将会在这个电感的作用下产生很强的反向电动势，从而有可能损坏其他器件。越细越长的导线杂散电感越大，所以实际中还要综合导线的长度进行考虑）

一般的 PCB 绘制软件对器件引脚的过孔焊盘铺铜时往往有几种选项：直角辐条，45 度角辐条，直铺。他们有何区别呢？新手往往不太在意，随便选一种，美观就行了。其实不然。主要有两点考虑：一是要考虑不能散热太快，二是要考虑过电流能力。

使用直铺的方式特点是焊盘的过电流能力很强，对于大功率回路上的器件引脚一定要使用这种方式。同时它的导热性能也很强，虽然工作起来对器件散热有好处，但是这对于电路板焊接人员却是个难题，因为焊盘散热太快不容易挂锡，常常需要使用更大瓦数的烙铁和更高的焊接温度，降低了生产效率。使用直角辐条和 45 角辐条会减少引脚与铜箔的接触面积，散热慢，焊起来也就容易多了。所以选择过孔焊盘铺铜的连接方式要根据应用场合，综合过电流能力和散热能力一起考虑，小功率的信号线就不要使用直铺了，而对于通过大电流的焊盘则一定要直铺。至于直角还是 45 度角就看美观了。

为什么提起这个来了呢？因为前一阵一直在研究一款电机驱动器，这个驱动器中 H 桥的器件老是烧毁，四五年了都找不到原因。在一番辛苦之后终于发现：原来是功率回路中一处器件的焊盘在铺铜时使用了直角辐条的铺铜方式（而且由于铺铜画的不好，实际只出现了两个辐条）。这使得整个功率回路的过电流能力大打折扣。虽然产品在正常使用过程没有任何问题，工作在 10A 电流的情况下完全正常。但是，当 H 桥出现短路时，该回路上会出现 100A 左右的电流，这两根辐条瞬时就烧断了（uS 级）。然后呢，功率回路变成了断路，储藏在电机上的能量没有泻放通道就通过一切可能的途径散发出去，这股能量会烧毁测流电阻及相关的运放器件，击毁桥路控制芯片，并窜入数字电路部分的信号与电源中，造成整个设备的严重损毁。整个过程就像用一根头发丝引爆了一个大地雷一样惊心动魄。