एक चमकती "राइनो" के उदाहरण का उपयोग करके डिवाइस फ़र्मवेयर का रिवर्स इंजीनियरिंग। भाग २

हम आपके ध्यान में SMARTRHINO-2018 सम्मेलन में एक कार्यशाला के आधार पर चमकती राइनो डिवाइस फर्मवेयर के रिवर्स इंजीनियरिंग पर लेख का दूसरा भाग प्रस्तुत करते हैं।

लेख के पहले भाग में , डिवाइस फर्मवेयर को आईडीए डिस्समेंबलर में लोड किया गया था और डिवाइस प्रोटोकॉल कमांड का प्रारंभिक विश्लेषण किया गया था। अलग-अलग कमांड को एक काम करने वाले उपकरण पर परीक्षण किया गया था।

दूसरे भाग में, शेष फर्मवेयर कार्यों का विश्लेषण किया जाएगा।

मुझे आपको याद दिलाना है, एल ई डी को नियंत्रित करने के संदर्भ में ब्लूटूथ कार्य का विश्लेषण करने के बाद, एलईडी कार्य पर स्विच करने का निर्णय लिया गया था, क्योंकि प्रारंभिक कार्य एल ई डी को नियंत्रित करने के लिए एक एप्लिकेशन बनाना था, और इसके लिए फर्मवेयर ऑपरेशन की विस्तृत समझ आवश्यक है।

फर्मवेयर फाइल स्वतंत्र अध्ययन के लिए उपलब्ध है।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है।

बिल्ली के नीचे बहुत सारे चमकते हुए राइनो होते हैं।

एलईडी कार्य

संक्षेप में: एल ई डी स्विच करने के लिए जिम्मेदार कार्य का एक पूर्ण विश्लेषण। डेटा प्रकारों और वैश्विक चर का विश्लेषण।

LED कार्य x_leds_task फ़ंक्शन द्वारा दर्शाया गया है, जो 0x08005A08 पर स्थित है।

एलईडी कार्य के मुख्य कार्य में "मुझे एक सुपर पावर मिली है ..." अजीब लाइनों के अलावा, आप लाइन "ह्यू> अधिकतम: परिवर्तन चमक \ r \ n" पर ध्यान दे सकते हैं ।



उसी समय, हम एक परिचित स्थिति देखते हैं - (WORD *) (v26 + 4)। चर v26 के संदर्भ मेनू में, आइटम "संरचना में बदलें *" का चयन करें, फिर पहले बनाई गई संरचना को इंगित करें:



उस v5 = v26 को देखते हुए, हम चर v5 के लिए "संरचना में बदलें *" ऑपरेशन दोहराते हैं।

हम कोड और डेटा की संरचना जारी रखते हैं। हर जगह हेक्स प्रतिनिधित्व सेट करें। नाम बदलने:

• वी 5 - एलईडी ;
• v6 - आईडीएक्स ;
• v8 - hue_1 ;
• v9 - hue_2 ;
• v26 - _led ;

कोड में सुधार हो रहा है। लेकिन कुछ चर अभी भी आंख को चोट पहुंचाते हैं, उदाहरण के लिए, चर v23:






हम char v23[4] टाइप करते हैं char v23[4] और इसका नाम बदलकर leds_smth कर दिया जाता है , कोड प्रीटियर हो जाता है:



आप यह भी नोट कर सकते हैं कि x_queue_recv फ़ंक्शन का परिणाम v25 चर पर वापस आ गया है:

 x_queue_recv(&v25, leds_queue, 1000); 

लेकिन यह स्पष्ट नहीं हो सकता है कि आपके लिए आवश्यक डेटा _led संरचना में कैसे है। तथ्य यह है कि चर v25 और _led स्टैक पर पास में स्थित हैं - यह इस तथ्य से समझा जा सकता है कि डिकम्पाइल में वे आसन्न लाइनों पर लिखे गए हैं। यदि आप चर पर डबल-क्लिक करते हैं, तो स्टैक पर चर का स्थान एक अलग विंडो में देखा जा सकता है:



वे शायद एक संरचना हैं, या संकलक ने कुछ अनुकूलन किया है। इस प्रकार, यह तर्क दिया जा सकता है कि ब्लूटूथ कार्य से डेटा एलईडी कार्य को प्रेषित किया जाता है। अधिक सटीक पता लगाने के लिए, मैं डिवाइस पर जांच करूंगा - ब्लूटूथ के माध्यम से शून्य एलईडी के लिए मैं 0x208 , 0x2D0 , 0x398 , 0x3E9 मानों को भेजूंगा , जिन्हें कोड में देखा जा सकता है:



डिवाइस पर ह्यू मूल्य की जाँच के परिणाम:

• 0x208 - एल ई डी ने सुचारू रूप से स्विच करना बंद कर दिया और रंगों में सेट किया गया: लाल, हरा, नीला, बैंगनी;
• 0x2D0 - एल ई डी फिर से स्विच करना शुरू कर दिया;
• 0x398 - कुछ भी नहीं बदला है;
• 0x3E9 - कुछ भी नहीं बदला है।

यदि आप फिर से कोड को देखते हैं, तो आप देख सकते हैं कि मान 0x398 को 0x167 से कम मान के साथ तार्किक रूप से जोड़ा जा सकता है (सरणी तत्व leds_smth के लिए अलग-अलग मान सेट किए गए हैं )। इसलिए, मैं इस चेक का प्रदर्शन करूंगा: पहला, मैं पहले एलईडी को हरा (hue = 0x78, LED 010078FF20 ) LED 010078FF20 , जबकि अन्य तीन एलईडी अपने रंग स्विच करना जारी रखेंगे।


अब मैं ब्लूटूथ प्रोटोकॉल LED 010398FFFF - इसके बाद पहली एलईडी सामान्य रंग स्विचिंग मोड में आ गई है।

इस प्रकार, 0x398 का ​​ह्यू मान स्थिर रंग मान को रीसेट करता है, जिसका अर्थ है कि एल ई डी पर कब्जा करने के लिए एलईड्स के लिए सीड्स_स्मिथ एरे में झंडे (0 या 1) हैं:

• 0 - एलईडी व्यस्त नहीं है, चिकनी रंग स्विचिंग में भाग लेता है ( ह्यू = 0x398 );
• 1 - एलईडी व्यस्त है, उपयोगकर्ता एक स्थिर रंग सेट करता है ( ह्यू <= 0x167 )।

Leds_smth को leds_busy का नाम दें।

अब निम्नलिखित कोड ब्लॉक का उद्देश्य स्पष्ट हो जाना चाहिए:



83-101 की पंक्तियों में चक्र 5: v12 += 5 रंग स्विचिंग चरण के साथ एक चिकनी रंग मोज़ेक करता है। यदि एलईडी पर स्थिर रंग है, तो यह एलईडी मोज़ेक में भाग नहीं लेता है। चक्र के बाद सभी एलईडी के अल्पकालिक समावेश की रेखाएं हैं।

नाम बदलने:

• sub_800678A - x_led_set_hsv ;
• v12 - hue_step ;
• v13, v17, v18, v19 - led0_busy , led1_busy , led2_busy , led3_busy ;
• v11, v20, v21, v22 - hue0 , hue1 , hue2 , hue3 ;
• dword_200004C4 - led_control

उप_80039FE फ़ंक्शन संभवतः एक टाइमआउट करता है (अन्यथा एल ई डी आसानी से स्विच नहीं किया था, लेकिन तुरंत), चलो इसे x_sleep कहते हैं, और चर v16 led_timeout है ।

सब_8006934 फ़ंक्शन का उद्देश्य अभी तक स्पष्ट नहीं है, लेकिन इसका उपयोग एल ई डी पर रंग सेट करने के बाद हर जगह किया जाता है - आप इसे x_led_fix_color कह सकते हैं।

इन नाम बदलने के बाद, फ़ंक्शन sub_8006944 को समझना आसान है (ह्यू में कहा जाता है <= 0x167 शाखा):



यह बस एलईडी के रंग को निर्धारित करने के लिए एक अतिरिक्त जांच करता है। फ़ंक्शन का नाम बदलें sub_8006944 से x_led_set_hsv_wrap (प्रत्यय _wrap - एक स्पष्टीकरण है कि यह एक अन्य फ़ंक्शन पर "आवरण" है) और इसके लिए निम्न प्रोटोटाइप सेट करें:

 signed int __fastcall x_led_set_hsv_wrap(int led_control, signed int idx, int hue, char sat, char val) 

चलो x_leds_task फ़ंक्शन पर एक स्तर पर वापस जाते हैं। एक बार फिर से कोड को देखते हुए, आप पा सकते हैं कि शाखा "hue> 0x3E8" इस तरह दिखना शुरू हुई:



यही है, 0x3E8 से अधिक एक ह्यू मूल्य रंगीन मोज़ेक के समय को बदलना चाहिए। मैं डिवाइस पर कुछ मान भेजकर जांच करूंगा:

• ह्यू = 0x3E9 - एल ई डी जल्दी से स्विच करना शुरू किया:
  
  
  
• ह्यू = 0xFFFF - एल ई डी बहुत धीरे-धीरे स्विच करना शुरू किया:
  
  
  

जब एलईडी कार्य के मुख्य चक्र से बाहर निकलते हैं, तो sub_8003C44 फ़ंक्शन का उपयोग किया जाता है , जिसका उपयोग sub_8005070 फ़ंक्शन में भी किया जाता है:



नाम बदलने:

• sub_8005070 - x_freeMsg ;
• sub_8003C44 - x_free_queue ।

एलईडी कार्य में आगे निम्नलिखित शाखा ध्यान आकर्षित नहीं कर सकती है:



आप LED B816D8D90000FFFF कमांड LED B816D8D90000FFFF को निष्पादित करने का प्रयास कर सकते हैं। लेकिन अगर आपको याद है कि केवल 2 वर्णों को ही एलईडी इंडेक्स के रूप में लिया जाता है, तो इस कोड तक पहुंचने का प्रयास स्पष्ट रूप से असफल होगा। इस धागे को बाद के लिए छोड़ दें। फ़ंक्शन का नाम बदलें sub_8004AE8 से x_mad_blinking तक , और यह x_printf फ़ंक्शन के हस्ताक्षर को ठीक करने का समय है (पिछली बार जब मैंने गलत हस्ताक्षर लिखा था):

 void x_printf(const char *format, ...) 

एलईडी कार्य के मुख्य चक्र को डिसाइड किया गया है, लेकिन कार्य की शुरुआत में अभी भी एक कोड है।

आइए कोड देखें:



लाइन 49 में, यह सबसे अधिक संभावना है कि एल ई डी उपलब्धता के लिए जाँच की जाती है और, एक त्रुटि की स्थिति में, सब_8004BBC फ़ंक्शन पर कॉल किया जाता है, जो व्यवधान को बंद कर देता है और एक अनंत लूप शुरू करता है जिसमें लाइन "/Drivers/STM32F0xx_HAL_Driver/Src/stm32f0xx.xxx "। सबसे अधिक संभावना है, यह एक मुखर या समान कार्य है।

नाम बदलने:

• sub_8004BBC - x_gpio_assert ;
• sub_800698C - x_check_gpio ।

सब -8006968 फ़ंक्शन का उद्देश्य स्पष्ट हो जाएगा यदि आप डिवाइस को ध्यान से देखते हैं जब इसे चालू किया जाता है:


सभी चार एल ई डी एक साथ पहले लाल, फिर हरे, फिर नीले रंग में बदल जाते हैं। उसके बाद, उन्हें रंग द्वारा निर्धारित किया जाता है: 0-लाल, 1-हरा, 2-नीला, 3-वायलेट। और उसके बाद ही वे मोज़ेक को बदलना शुरू करते हैं।

चूंकि मोज़ेक मुख्य कार्य चक्र में शुरू होता है, इसलिए यह तर्कसंगत है कि मुख्य चक्र से पहले 58-61 लाइनें एलइडी पर अलग-अलग रंगों के अल्पकालिक समावेशन के लिए जिम्मेदार हैं, और 52-56 लाइनें एक ही बार में एलईडी पर लाल-हरा-नीला सेट करने के लिए जिम्मेदार हैं। फ़ंक्शन का नाम बदलें sub_8006968 से x_led_all_set_rgb (RGB - विशुद्ध रूप से एक कूबड़ पर, पारित तर्कों के अनुसार)।

एलईडी कार्य में विषमताएं

संक्षेप में: अजीब लाइनों वाले कोड की कार्यक्षमता को परिभाषित करना। डिवाइस के लिए पासवर्ड जनरेट करना।

अब x_leds_task फ़ंक्शन की शुरुआत की ओर चलते हैं:



"एराज़" , "जीन" , "फ्लैश" , "रीसेट" - यह सब क्यों है ???

आइए इसे जानने की कोशिश करते हैं।

सब_80066BC x_leds_task_init होने दें ।

आइए सब_8006B38 को देखें:



शुद्ध पानी याद है, सहमत हैं?



वापस x_leds_task पर जाएं। V24 चर प्रकार के साथ कुछ गलत है:



आईडीए ने प्रकार के साथ थोड़ी गलती की, लेकिन स्टैक मार्क के साथ एक टिप्पणी हमें मदद करती है। चर v24 और v25 के बीच 12 बाइट्स (0x44 - 0x38) के रूप में। इसलिए, हम unsigned __int8 buf[12] नाम बदलकर buf और unsigned __int8 buf[12] टाइप करते हैं (Ida चेतावनी देगा कि नया डेटा प्रकार पुराने से बड़ा है - हम सहमत हैं)।

अगला। उप_8004CE4



A1 को buf , v1 से _buf नाम दें ।

फ़ंक्शन उप_8006B26:



क्या तुमने उसे पहचान लिया?


फिर सब_8004CE4 फ़ंक्शन का उद्देश्य 0x08007C00 पते पर कुछ डेटा प्राप्त करना है । वैसे, यह पता माइक्रोकंट्रोलर (और फर्मवेयर, विशेष रूप से) की फ्लैश मेमोरी के पते की सीमा में है। Sub_8004CE4 को x_read_data_0x08007C00 पर पुनर्नामित करें ।

X_leds_task फ़ंक्शन लाइन 36:

 if ( (unsigned int)buf[0] - 65 > 0x19 ) 

डेटा डिस्प्ले बदलें (नंबर 65 पर R कुंजी, नंबर 0x19 पर H कुंजी):

 if ( (unsigned int)buf[0] - 'A' > 25 ) 

थोड़ा प्रतिबिंब के बाद, आप समझ सकते हैं कि यह लैटिन वर्णमाला AZ की श्रेणी का ऐसा परीक्षण है।

अगला, स्वरूप स्ट्रिंग के रूप में संकेतों का उपयोग करके, नाम बदलें:

• sub_8004C10 - x_erase ;
• sub_80059C8 - x_gen ;
• sub_8004C84 - x_flash ।

सब_8003C66 फ़ंक्शन उल्लेखनीय कुछ भी नहीं करता है - यह केवल कुछ वैश्विक चर को बढ़ाता है - sub_8003C66 का नाम बदलकर x_smth_inc ।

X_erase फ़ंक्शन वास्तव में किसी भी तर्क को स्वीकार नहीं करता है - इसे डिस्सेम्बलर में सत्यापित किया जा सकता है:



X_erase के अंदर, परिचित पता 0x08007C00 का उपयोग किया जाता है और तीन अज्ञात फ़ंक्शन एक्सेस किए जाते हैं:



इन तीन कार्यों पर एक त्वरित नज़र , हम देखते हैं कि वे 0x40022000 - 0x400223FF रेंज में पते तक पहुंच रहे हैं। माइक्रोकंट्रोलर के लिए प्रलेखन स्पष्ट रूप से बताता है कि यह "फ्लैश इंटरफ़ेस" रेंज है। यही है, x_erase फ़ंक्शन फ्लैश मेमोरी के एक टुकड़े को मिटा देता है - महान!

जाहिर है, x_flash फ़ंक्शन मेमोरी को फ्लैश करने के लिए लिखता है, लिखने के लिए लाइन की लंबाई की जांच करने के बाद (वैसे, a2 और a3 के तर्क यहां बहुत अधिक हैं - हम आइडिया की मदद करेंगे):



और यह सब "लाइटिंग डिवाइस" में होता है ???

खैर, x_gen फ़ंक्शन के बारे में क्या? त्वरित रूप और नाम बदलने के बाद, यह इस तरह दिखेगा:



Sub_8006CB4 फ़ंक्शन इस तरह दिखता है:



और उप_8006D10 - इस तरह:



इन अशिष्ट सुंदर स्थिरांक के लिए इंटरनेट पर खोज करने की इच्छा को वापस न रखें: 0xABCD , 0x1234 , 0xE66D , 0xDEEC , 0x4C957F2D और 0x5851F42D । यदि इंटरनेट अभी तक पूरी तरह से प्रतिबंधित नहीं है, तो आप शायद यादृच्छिक कार्यों के लिए स्रोत में इन स्थिरांक पाएंगे। कोई आश्चर्य नहीं कि मूल कार्य को x_gen कहा जाता है।

यह भी एक बहुत ही विशिष्ट स्थिति है: लूप से पहले श्रीखंड () कॉल करें, और लूप में यादृच्छिक () कॉल करें, इसलिए इसका नाम बदलें:

• sub_8006D10 - x_rand;
• sub_8006CB4 - x_srand

एक जिज्ञासु पाठक, sub_8005098 फ़ंक्शन को देखकर , यह पता लगा सकता है कि सरंड फ़ंक्शन के लिए बीज कहाँ से आता है ।

इस प्रकार, x_gen फ़ंक्शन निर्दिष्ट आकार का एक यादृच्छिक स्ट्रिंग उत्पन्न करता है ।

मेमोरी को फ्लैश करने के लिए जनरेट लाइन को लिखे जाने के बाद, डिवाइस रिबूट होता है:



यह किसी तरह का अजीब रिबूट जैसा लगता है। लेकिन अगर हम इस उपकरण के कार्यों की सूची देखें, तो हम उनमें से "वॉचडॉगटस्क" पाएंगे। जाहिर है, अगर कोई "अटका हुआ कार्य" है, तो वॉचडॉग रिबूट करता है।

MadBlinking मोड को छोड़कर एलईडी कार्य का विश्लेषण किया जा सकता है।

आइए लाइनों के माध्यम से देखें कि सिस्टम में अन्य कार्य क्या हैं:



कोड में तार के लिंक को पुनर्स्थापित करने के बाद, आप इस तस्वीर को देख सकते हैं:



सबसे पहले, नाम कार्य के साथ एक स्ट्रिंग का लिंक है, फिर मुख्य कार्य फ़ंक्शन के लिए एक लिंक है। और इनका उपयोग मुख्य कार्य में किया जाता है, जहां ये कार्य लॉन्च किए जाते हैं:



आइए गुमशुदा नामकरण को निष्पादित करें:

• sub_80050FC - x_sensor_task ;
• sub_8004AAC - x_watchdogTask ;
• sub_8005440 - x_uartRxTask ।

प्रहरी का कार्य

कार्य प्रहरी विशेष रूप से दिलचस्प कुछ भी नहीं करता है:



नाम बदलने:

• dword_200003F8 - wd_variable ;
• sub_8001050 - x_update_wd_var

UART टास्क

संक्षेप में: डेटा और फ़ंक्शंस की खोज करें जिनके विभिन्न फ़ंक्शंस से लिंक हैं। उनके उद्देश्य का निर्धारण।

UART कार्य पर एक त्वरित नज़र आपको चर unk_200003EC द्वारा परिभाषित एक अज्ञात कतार में डेटा भेजने का पता लगाने की अनुमति देता है:



द्विआधारी खोज के माध्यम से इस चर के लिंक को पुनर्स्थापित करने के बाद, हम देखेंगे कि x_uartRxTask के अलावा इसका उपयोग मुख्य (वहाँ, कतार बनाई जाती है, जाहिरा तौर पर) में किया जाता है और फ़ंक्शन में अज्ञात अब तक sub_80051EC :



नाम बदलने:

• sub_80051EC - x_recvMsg_uart_queue ;
• unk_200003EC - uart_queue ।

X_recvMsg_uart_queue के संदर्भ देखें:

• sub_8005250;
• x_bluetooth_task।

सबसे पहले, सब_8005250 फ़ंक्शन देखें:



सोचने के बाद, नाम बदलें:

• unk_2000034C - cmd_count ;
• ए 1 - सेमी ;
• v4 - _cmd ;
• v6 आरपीएस है ;
• sub_8005250 - x_bluaxy_cmd ।

आइए अब देखें कि अभी भी x_bluaxy_cmd का उपयोग कहां किया जाता है। केवल ब्लूटूथ कार्य से सभी अतिरिक्त लिंक, इसे वापस करने का समय है।

वापस ब्लूटूथ कार्य के लिए

संक्षेप में: ब्लूटूथ कार्य का अंतिम विश्लेषण। पासवर्ड के बिना प्राधिकरण के लिए खोजें।



यदि आप उन स्थानों को देखते हैं जहां फ़ंक्शन sub_8006A84 का उपयोग किया जाता है , और आप बहुत आलसी नहीं हैं और इसके आंत्र में देखें , तो इसमें कोई संदेह नहीं होगा - यह कॉलोक है । यह तार्किक है - बफर में डेटा प्राप्त करने के लिए, आपको पहले इस बफर को बनाना होगा।

अब सब_8006DBC । आइए इसे देखें (चर पहले ही बदला गया है):



स्ट्रिंग्स के साथ काम करने के लिए मानक सी लाइब्रेरी के कार्यों को याद करते हुए, हम यहां स्ट्रैस (एक विकल्प के लिए खोज) देखेंगे और साहसपूर्वक इसका नाम बदल देंगे।

फ़ंक्शन x_bluaxy_task के कोड के माध्यम से चलते हैं - शायद पिछली यात्रा के बाद से यहां कुछ बदल गया है । इस प्रक्रिया में, हम चर नाम देते हैं:

• v2 - _state ;
• v3 - डेटा_लेन ।

इसके ठीक बगल में एक सब_80052E2 फ़ंक्शन है। ब्लूटूथ कमांड से संख्याओं को खींचने वाले कार्यों के अनुरूप, यह एक निर्दिष्ट लंबाई की एक स्ट्रिंग को बाहर निकालता है - चलो इसे x_get_str कहते हैं।

हम जारी रखते हैं:

• v26 - इको ;
• v6 - meow_str ;
• v10 - uart_cmd_byte ;
• v11 - uart_cmd_str ;
• v12 - str_0 ;
• v13 - str_1 ;
• v14 - format_str ;
• sub_8000F5C - x_blink_small_led ।

एक त्वरित नाम बदलें:

• v19 - पासवर्ड ; (जैसा कि इसके आगे प्राधिकरण और पासवर्ड के बारे में लाइनें हैं)
• sub_8004CC0 - x_check_password ;
• sub_8006AF4 - x_free (पासवर्ड के बाद से, cmd और bt_args डायनेमिक के लिए पॉइंटर्स हैं (इसे चेक करें!), मेमोरी को उपयोग करने के बाद मुक्त किया जाना चाहिए);
• sub_8006DAC - x_strcpy (इसे देखें!)।

अब READ , WRIT , AUTP , SETP शाखाओं का अन्वेषण करें।

चल रहे डिवाइस पर परीक्षण के रूप में, READ, WRIT, SETP कमांड के लिए प्राधिकरण आवश्यक है। AUTP कमांड के साथ एक प्राधिकरण प्रयास हमें पासवर्ड सत्यापित करने के लिए x_check_password फ़ंक्शन में लाता है:



यह पता चला है कि पासवर्ड की लंबाई 8 वर्णों की होनी चाहिए और पासवर्ड 0x08007C00 पते पर बाइट्स के साथ (उप_8006B08 फ़ंक्शन में) की तुलना की जाती है - जहां यादृच्छिक वर्णों के उत्पन्न स्ट्रिंग को संग्रहीत किया जाता है।

यह पता चला है, पासवर्ड जानने के बिना, हम डिवाइस में लॉग इन नहीं कर सकते। खैर, या लगभग नहीं हो सकता ...

उस जगह पर ध्यान दें जहां परटक_फ्लैग चर का उपयोग किया जाता है :



यह पता चला है कि इसका उपयोग न केवल ब्लूटूथ कार्य में किया जाता है। और यहाँ हम अभी तक सेंसर के काम में नहीं दिखे। हम वहां जाते हैं।

सेंसर का काम

संक्षेप में: टच बटन क्या करता है?

सर्वोत्तम प्रोग्रामिंग प्रथाओं के अनुसार, पूरा सेंसर कार्य एक आईडीए स्क्रीन में फिट बैठता है। और यह आनन्दित नहीं कर सकता है:



लाइन से लाइन ...

• "TSC% d \ r \ n" - यह रेखा आपको STM32 माइक्रोकंट्रोलर्स के लिए टच सेंसिंग कंट्रोलर के बारे में सोचना चाहिए;
• "AUTH BTN \ r \ n" - प्राधिकरण बटन ???
• "AUTH% d \ r \ n" सेट करें - प्राधिकरण ध्वज सेट करें?

आइए देखें कि अगर आप टच बटन दबाते हैं तो डिवाइस कैसे व्यवहार करेगा (क्या आपको पता था कि पैर के राइनो में टच है?):



जब थोड़ी देर दबाया जाता है, तो लाल छोटी एलईडी रोशनी ऊपर आती है। एक लंबे प्रेस के साथ, यह एलईडी लंबे समय तक चालू रहता है।

यदि हम इसे कोड के साथ सहसंबंधित करते हैं, तो हम मान सकते हैं कि sub_8000708 फ़ंक्शन वर्तमान समय को प्राप्त करने के लिए एक फ़ंक्शन है। फिर, यदि वर्तमान समय और सेंसर को छूने की शुरुआत के बीच का अंतर 1000 (1 सेकंड) से अधिक है, तो एलईडी 0xEA60 मिलीसेकंड (1 मिनट) के लिए चालू होता है । लेकिन ऑरिजनल_फ्लैग वैरिएबल काफी दिलचस्पी का है, जो टच बटन पर एक लंबे प्रेस के साथ 1 पर सेट है, हमलावर को विशेषाधिकार प्राप्त कार्यों के लिए "प्रकाश स्थिरता" एक्सेस के व्यवस्थापक तक पहुंच प्रदान करता है।

इस प्रकार, "बटन द्वारा" प्राधिकरण के बाद, आप डिवाइस में संग्रहीत पासवर्ड (आरईएडी कमांड) पढ़ सकते हैं, रैम (डब्ल्यूआरआईटी फ़ंक्शन) को लिख सकते हैं या एक नया पासवर्ड सेट कर सकते हैं (एसईटीपी)।

पागल पलक

संक्षेप में: क्या एक अजीब मैड ब्लिंकिंग कोड शाखा को निष्पादित किया जा सकता है?

आइए ब्लूटूथ कार्य पर वापस जाएं और कुछ और नाम बदलें।

• v21 - vip_smth (यह अभी तक स्पष्ट नहीं है कि क्या है);
• v22 - vip_str (तर्कों से निकाले गए अज्ञात आकार की स्ट्रिंग);
• v23 - mad_led - "स्ट्रक्चर में कनवर्ट करें" असाइन करें और स्ट्रक्चर_ईडी निर्दिष्ट करें।

और यहां हम संख्या 0xB816D8D9 (यह ब्लूटूथ कार्य में लेख के पहले भाग में पाया गया था) को एलईडी के सूचकांक के रूप में देखते हैं। सत्यापन किए जाने पर यह कोड निष्पादित किया जाएगा:

 if ( sub_8005520(vip_str, vip_smth) == 0x46F70674 ) 

Sub_8005520 को x_vip_check में बदलें और उस पर एक नज़र डालें:



यह देखते हुए कि पहला तर्क एक स्ट्रिंग है (कम से कम स्ट्रिंग को इस फ़ंक्शन में पास किया गया है), यह कोड दिखाता है कि दूसरा तर्क इस स्ट्रिंग की लंबाई है (या जिस लंबाई को संसाधित किया जाना चाहिए)। नाम बदलने:

• ए 1 - str ;
• a2 - लेन ।

आइए उप_8000254 फ़ंक्शन को देखें:



अब सब_8000148 को देखें । यहाँ इसकी शुरुआत है:



यह समारोह का केवल एक तिहाई है ... मम्म ... यम्मी! एक अनुभवी खुदाई करने वाला आसानी से यहाँ देखेगा ...



एक वैध सवाल उठ सकता है - ऐसा क्यों? तथ्य यह है कि किसी विशेष माइक्रोकंट्रोलर में कोई डीआईवी, एमओडी संचालन नहीं हो सकता है, इसलिए, कंपाइलर इन ऑपरेटरों के बजाय व्यक्तिगत कार्यों के कॉल को प्रतिस्थापित करता है। वैसे, यहां कुछ अन्य गणितीय कार्य हैं ।

खुदाई करते समय नाम बदलना न भूलें।

इस प्रकार, फ़ंक्शन x_vip_check , गणना करता है ... और यह आपका होमवर्क होगा ।

वैसे, यदि आप सही VIP कमांड को निष्पादित करते हैं, तो हमें "डिस्को में राइनो" मिलता है:

फर्मवेयर पर संक्षिप्त रिपोर्ट

डिवाइस का फर्मवेयर फ्रीआरटीओएस रीयल-टाइम ऑपरेटिंग सिस्टम पर आधारित है। सिस्टम में निम्नलिखित कार्य हैं:

1. ब्लूटूथ कार्य । ऐसी प्रक्रियाएँ जो ब्लूटूथ के माध्यम से पाठ के रूप में आती हैं।
2. एलईडी कार्य । ब्लूटूथ कमांड के अनुसार कलर एलईडी को नियंत्रित करता है।
3. सेंसर का काम । लाल एलईडी पर मुड़ता है, डिवाइस पर पासवर्ड के बिना अल्पकालिक प्राधिकरण की अनुमति देता है।
4. UART का कार्य । आपको आंतरिक UART पोर्ट के माध्यम से ब्लूटूथ मॉड्यूल के साथ बातचीत करने की अनुमति देता है (ब्लूटूथ को इनिशियलाइज़ करने के लिए)।
5. पहरेदार टास्क । फ्रीज का ट्रैक रखता है।

अध्ययन में UART पोर्ट (Tx / GND संपर्कों) से डेटा पढ़ने की क्षमता को ध्यान में नहीं रखा गया था।

परिणाम

सम्मेलन में मास्टर क्लास के दौरान, केवल मुख्य एलईडी नियंत्रण कार्यक्षमता को भंग कर दिया गया था। सबसे सक्रिय प्रतिभागियों को उनके प्रयोगात्मक "गैंडों" के साथ प्रस्तुत किया गया था।

मेरी राय में, "गैंडे" ने रिवर्स इंजीनियरिंग और भेद्यता खोज पर एक प्रशिक्षण पाठ्यक्रम के लिए एक सभ्य लेआउट का उत्पादन किया। लेआउट की एक विशेषता फर्मवेयर को जितनी बार चाहें बदलने की क्षमता हो सकती है, प्रत्येक पाठ्यक्रम का अपना फर्मवेयर है। एक निष्पादन योग्य फ़ाइल को पार्स करने के विपरीत, रिवर्स फर्मवेयर आपको बेहतर समझने की अनुमति देता है:

• आईडीए के साथ कैसे काम करें;
• फर्मवेयर और डिवाइस के बीच बातचीत के सिद्धांत;
• RTOS ऑपरेटिंग सिद्धांत।

अंत तक पढ़ने वाले सभी को बहुत-बहुत धन्यवाद!