EJTAG: atraksi untuk peretas-2

• sederhana - hanya menggunakan openocd - fungsionalitas dasar untuk melakukan tindakan yang diperlukan sudah ada di openocd. Hanya perlu untuk bisa menggunakannya;
• kompleks - dengan bantuan bundel openocd + GDB - pengguna akan mengontrol proses eksekusi instruksi prosesor melalui GDB, dan openocd akan mengonversi permintaan GDB menjadi perintah EJTAG.

, Black Swift: EJTAG.

1: openocd

 sumber [temukan antarmuka / ftdi / tumpa.cfg]
 
 adapter_khz 6000
 
 sumber [temukan black-swift.cfg]
 
 telnet_port 4455
 
 init
 berhenti

 # openocd -f black-swift-trace.cfg
 Open On-Chip Debugger 0.9.0 (2015-05-28-17: 08)
 Berlisensi di bawah GNU GPL v2
 Untuk laporan bug, baca
         http://openocd.org/doc/doxygen/bugs.html
 tidak ada yang terpisah
 kecepatan adaptor: 6000 kHz
 Info: memilih otomatis transportasi sesi pertama yang tersedia "jtag". Untuk mengganti gunakan 'transport, pilih <transport>'.
 Kesalahan: tidak ada perangkat yang ditemukan
 Kesalahan: tidak dapat membuka perangkat ftdi dengan vid 0403, pid 8a98, deskripsi '*' dan serial '*'
 Info: kecepatan clock 6000 kHz
 Info: JTAG ketuk: ar9331.cpu ketuk / perangkat ditemukan: 0x00000001 (mfg: 0x000, bagian: 0x0000, ver: 0x0)
 negara target: dihentikan
 target dihentikan dalam mode MIPS32 karena permintaan debug, pc: 0xbfc00000
 negara target: dihentikan
 target dihentikan dalam mode MIPS32 karena langkah-tunggal, pc: 0xbfc00404

 $ telnet localhost 4455
 Mencoba :: 1 ...
 Mencoba 127.0.0.1 ...
 Terhubung ke localhost.
 Karakter melarikan diri adalah '^]'.
 Buka debugger on-chip
 >

 langkah [alamat]
       jalankan satu instruksi di alamat yang ditentukan oleh register
       penghitung perintah (PC). Jika parameter alamat ditentukan, maka
       Instruksi akan dieksekusi dimulai dengan alamat alamat.

 > langkah 0xbfc00400
 negara target: dihentikan
 target dihentikan dalam mode MIPS32 karena langkah-tunggal, pc: 0xbfc00404
 > langkah
 negara target: dihentikan
 target dihentikan dalam mode MIPS32 karena langkah-tunggal, pc: 0xbfc00408
 > langkah
 negara target: dihentikan
 target dihentikan dalam mode MIPS32 karena langkah-tunggal, pc: 0xbfc0040c

 reg [(register_number | register_name) [(nilai | 'force')]]
       baca atau tulis nilai register prosesor.
       Memanggil reg tanpa parameter menghasilkan output dari semua register.
       Jika parameter 'force' digunakan, terpaksa
       mengurangi register dari prosesor (bukannya mengeluarkan cache
       nilai).
 
 mwb ['phys'] address value [count]
          address ,     value.
          phys,   address —  ,
          — .
          count    address  
           count,    
         value.
 
 mwh ['phys'] address value [count]
         mwb,     16- .
 
 mww ['phys'] address value [count]
         mwb,     32- .
 
 mdb ['phys'] address [count]
               address.
          phys,   address —  ,
          — .
          count        
       array pada alamat alamat, jumlah byte.
 
 mdh ['phys'] address [count]
       perintahnya mirip dengan mdb, tetapi kata 16-bit dibaca sebagai ganti byte.
 
 alamat mdw ['phys'] [hitung]
       perintahnya mirip dengan mdb, tetapi kata 32-bit dibaca sebagai ganti byte.

Solusi 2: gunakan bundel openocd + GDB

• seperti yang disebutkan di atas, disassembler untuk arsitektur MIPS dibangun ke GDB;
• dimungkinkan untuk menggunakan informasi debug dari sumber; misalnya, jika Anda men-debug program-C Anda sendiri, maka GDB akan dapat menunjukkan baris kode-C mana yang saat ini dieksekusi dan merinci keadaan variabel program secara tepat, dan bukan sel-sel memori dengan alamat misterius;
• openocd GDB GDB Remote Serial Protocol; qemu , , — GDB;
• , GDB TAB.

• sdbbp, , openocd sdbbp , sdbbp , . software breakpoint. , .
• . . , hardware breakpoint, .

 # openocd -f run-u-boot_mod-trace.cfg \
 > -c "gdb_breakpoint_override hard" -c "step 0xbfc00400"

• breakpoint perangkat keras akan digunakan, terlepas dari apa yang dibayangkan GDB di sana (alamat 0xbfc0xxxx sesuai dengan ROM, sehingga breakpoint perangkat lunak tidak akan berfungsi);
• satu instruksi akan dieksekusi dari alamat 0xbfc00400, setelah itu prosesor akan berhenti lagi.

 $ /opt/mips-2015.05/bin/mips-linux-gnu-gdb
 GNU gdb (Sourcery CodeBench Lite 2015.05-18) 7.7.50.20140217-cvs
 Hak Cipta (C) 2014 Free Software Foundation, Inc.
 Lisensi GPLv3 +: GNU GPL versi 3 atau lebih tinggi <http://gnu.org/licenses/gpl.html>
 Ini adalah perangkat lunak gratis: Anda bebas untuk mengubah dan mendistribusikannya kembali.
 TIDAK ADA GARANSI, sejauh diizinkan oleh hukum. Ketik "tampilkan penyalinan"
 dan "tunjukkan garansi" untuk detailnya.
 GDB ini dikonfigurasi sebagai "--host = i686-pc-linux-gnu --target = mips-linux-gnu".
 Ketik "tampilkan konfigurasi" untuk detail konfigurasi.
 Untuk instruksi pelaporan bug, silakan lihat:
 <https://sourcery.mentor.com/GNUToolchain/>.
 Temukan manual GDB dan sumber dokumentasi lainnya secara online di:
 <http://www.gnu.org/software/gdb/documentation/>.
 Untuk bantuan, ketik "bantuan".
 Ketik "kata yang tepat" untuk mencari perintah yang terkait dengan "kata".
 (gdb)

 (gdb) mengatur arsitektur mips: isa32r2
 Arsitektur target diasumsikan sebagai mips: isa32r2
 (gdb) atur endian besar
 Target diasumsikan sebagai big endian
 (gdb) aktifkan disassemble-next-line
 (gdb) target jarak jauh: 3333
 Remote debugging menggunakan: 3333
 0xbfc00404 di ?? ()
 => 0xbfc00404: 40 80 08 00 mtc0 nol, c0_random

 (gdb) stepi
 peringatan: GDB tidak dapat menemukan awal fungsi di 0xbfc00408.
 
     GDB tidak dapat menemukan awal fungsi di 0xbfc00408
 dan dengan demikian tidak dapat menentukan ukuran bingkai tumpukan fungsi itu.
 Ini berarti bahwa GDB mungkin tidak dapat mengakses frame tumpukan itu, atau
 bingkai di bawahnya.
     Masalah ini kemungkinan besar disebabkan oleh penghitung program yang tidak valid atau
 tumpukan penunjuk.
     Namun, jika Anda berpikir GDB harus mencari lebih jauh lagi
 dari 0xbfc00408 untuk kode yang terlihat seperti awal dari a
 fungsi, Anda dapat meningkatkan jangkauan pencarian menggunakan `set
 perintah heuristic-fence-post '.
 0xbfc00408 di ?? ()
 => 0xbfc00408: 40 80 10 00 mtc0 nol, c0_entrylo0
 (gdb) stepi
 peringatan: GDB tidak dapat menemukan awal fungsi di 0xbfc0040c.
 0xbfc0040c pada ?? ()
 => 0xbfc0040c: 40 80 18 00 mtc0 nol, c0_entrylo1
 (gdb) stepi
 peringatan: GDB tidak dapat menemukan awal fungsi di 0xbfc00410.
 0xbfc00410 di ?? ()
 => 0xbfc00410: 40 80 20 00 mtc0 nol, c0_context
 (gdb)

 (gdb) p / x * 0xbfc00408
 $ 1 = 0x40801000

 (gdb) register info
           nol pada v0 v1 a0 a1 a2 a3
  R0 00000000 37c688e2 22b15a00 28252198 0c12d319 4193c014 84e49102 06193640
             t0 t1 t2 t3 t4 t5 t6 t7
  R8 00000002 9f003bc0 92061301 1201c163 31d004a0 92944911 ac031248 b806001c
             s0 s1 s2 s3 s4 s5 s6 s7
  R16 8bc81985 402da011 c94d2454 88d5a554 81808e0d cc445151 4401a826 50020402
             t8 t9 k0 k1 gp sp s8 ra
  R24 01c06b30 01000000 10000004 fffffffe 9f003bc0 54854eab 329d626b bfc004b4
         status lo hi badvaddr menyebabkan pc
       00400004 00244309 b9ca872c ed6a1f00 60808350 bfc00410
           fcsr fir
       00000000 00000000

Menginisialisasi Pengontrol RAM AR9331

 # openocd -f run-u-boot_mod-trace.cfg \
 > -c "gdb_breakpoint_override hard" -c "step 0xbfc00400"

 atur arsitektur mips: isa32r2
 atur endian besar
 aktifkan disassemble-next-line
 
 target jarak jauh: 3333
 
 nonaktifkan pagination
 
 atur file logging bs_gdb.log
 aktifkan logging
 
 sementara $ pc! = (void (*) ()) 0x9f002ab0
         stepi
         register info
 akhir
 
 melepaskan
 
 berhenti

 $ /opt/mips-2015.05/bin/mips-linux-gnu-gdb -x bs-u-boot-trace-gdb.conf

Catatan: skrip bs-u-boot-trace-gdb.confkemungkinan besar tidak akan berfungsi segera setelah daya diterapkan ke board, karena u-boot_mod juga akan mengatur ulang kesalahan anti-misteri AR9331, yang akan menyebabkan skrip berhenti dijalankan. Dalam hal ini, hentikan openocd dan GDB, kemudian jalankan openocd dan GDB lagi.

 => 0xbfc004ec: ad f9 00 00 sw t9,0 (t7)

 #!/usr/bin/perl -w
 
 my %r;
 
 foreach $i (qw(zero at v0 v1 a0 a1 a2 a3 t0 t1 t2 t3 t4 t5 t6 t7
        s0 s1 s2 s3 s4 s5 s6 s7 t8 t9 k0 k1 gp sp s8 ra)) {
    $r{$i} = "none";
 }
 
 sub parse_reg($)
 {
    $_ = $_[0];
    if (/^ R/) {
        my @fields = split m'\s+';
        my $f = 2;
        my @rgs;
 
        @rgs = qw(zero at v0 v1 a0 a1 a2 a3) if (/^ R0/);
        @rgs = qw(t0 t1 t2 t3 t4 t5 t6 t7) if (/^ R8/);
        @rgs = qw(s0 s1 s2 s3 s4 s5 s6 s7) if (/^ R1/);
        @rgs = qw(t8 t9 k0 k1 gp sp s8 ra) if (/^ R2/);
 
        foreach $i (@rgs) {
            $r{$i} = $fields[$f];
            $f = $f + 1;
        }
    }
 }
 
 while (<>) {
    if (/^=>([^s]*)\tsw\t([^,]*),(\d+)\(([^)]*)\)/) {
        my $rs = $2;
        my $offset = $3;
        my $rd = $4;
 
        parse_reg(<>);
        parse_reg(<>);
        parse_reg(<>);
        parse_reg(<>);
 
        print("$1    sw $rs={0x$r{$rs}}, $offset($rd={0x$r{$rd}})\n");
    }
 }

$ grep "^ = \ | ^ R" bs_gdb.log | ./parse_gdb_output.pl

 ...
  0x9f002700: ad cf 00 00 sw t7 = {0x00dbd860}, 0 (t6 = {0xb8116248})
  0x9f00271c: ad f9 00 00 sw t9 = {0x000fffff}, 0 (t7 = {0xb800009c})
  0x9f0027a0: ad f9 00 00 sw t9 = {0x00018004}, 0 (t7 = {0xb8050008}) <<< PLL
  0x9f0027dc:   ad f9 00 00    sw t9={0x00000352}, 0(t7={0xb8050004}) <<<
  0x9f002840:   ad f9 00 00    sw t9={0x40818000}, 0(t7={0xb8050000}) <<<
  0x9f002898:   ad f9 00 00    sw t9={0x001003e8}, 0(t7={0xb8050010}) <<<
  0x9f0028f4:   ad f9 00 00    sw t9={0x00818000}, 0(t7={0xb8050000}) <<<
  0x9f002970:   ad cf 00 00    sw t7={0x00800000}, 0(t6={0xb8116248})
 ...
  0x9f002994:   ad cf 00 00    sw t7={0x40800700}, 0(t6={0xb8116248})
  0x9f002a54:   ad f9 00 00    sw t9={0x00008000}, 0(t7={0xb8050008})
  0x9f00309c:   af 38 00 00    sw t8={0x7fbc8cd0}, 0(t9={0xb8000000}) <<< DDR
  0x9f0030b0:   af 38 00 00    sw t8={0x9dd0e6a8}, 0(t9={0xb8000004}) <<<
  0x9f0030dc:   af 38 00 00    sw t8={0x00000a59}, 0(t9={0xb800008c}) <<<
  0x9f0030ec: af 38 00 00 sw t8 = {0x00000008}, 0 (t9 = {0xb8000010}) <<<
 ...

Ringkasan