Re Arm

ARM 架构逆向（Cortex-M/A、Thumb、AAPCS）

何时使用 / 何时不用

• 用：非 Android 场景的 ARM——嵌入式裸机/固件（Cortex-M0/M3/M4/M7、Cortex-A）
• 用：Thumb/ARM 指令集切换、AAPCS 调用约定识别、M 系向量表入口定位、位置相关代码重定位
• 用：MMIO 外设寄存器交叉分析（0x4000xxxx 外设区、LDR 立即数池）
• 不用：Android .so（走 [[re-android-native]]）
• 不用：通用 AArch64 Linux 用户态程序（走 [[re-binary-core]] 通用底座，本技能只补 ARM 特有语义）
• 不用：只需解包固件看内容（[[re-fw-extract]]）/ 分析文件系统配置（[[re-fw-rootfs]]）/ 整体启动固件（[[re-fw-emulate]]）
• 不用：RISC-V / x86 等其他架构（走 [[re-binary-core]]）

工具准备

所有工具先验证再使用。静态分析可免沙箱；qemu 动态执行默认沙箱 + 网络隔离（[[re-analyze/platform-tips]] 最高原则）。

反编译器（Ghidra / IDA 任选其一）

• Ghidra（内置 ARM 处理器模块，Cortex-M0/M0+/M3/M4/M7 选 Cortex 变体（v8-m 仅 M23/M33/M55）、Cortex-A 选 v7，均为小端 LE）：
  • Linux: 官方 release 包（需 JDK）；部分发行版仓库有 apt install ghidra / pacman -S ghidra
  • macOS: brew install --cask ghidra；Windows: 官方 zip
  • 验证: analyzeHeadless -help（headless 模式）或 GUI 导入 ARM ELF
  • Ghidra 按 Thumb 函数位 0（TMode）自动切换 Thumb/ARM 反汇编；导入时核对处理器变体与端序
• IDA：商业版含 ARM32/ARM64 + Thumb 模块；Freeware 版架构支持范围以官方页面为准
• 导入时确认架构（ARM vs AArch64）与变体——Cortex-M0/M0+ 实现 Armv6-M：以 16 位 Thumb 编码为主，但含少量合法 32 位编码（BL、DMB/DSB/ISB、MRS/MSR）；必须选 v6-M 变体，只有出现 Armv6-M 之外的编码（MOVW/MOVT、CLZ、硬件除/取模）才说明变体选错

readelf / file —— 架构与字节序确认（binutils）

• Linux: binutils 自带（apt install binutils 等）；macOS: brew install binutils 或 LLVM 系 readelf；Windows: WSL 内
• 验证: readelf --version

binwalk —— 固件与内嵌文件扫描

• 安装渠道与版本分辨（v3 主线 / v2 legacy）见 [[re-fw-extract]] 的 binwalk/unblob 安装矩阵
• 验证: binwalk --version、unblob --version

qemu-arm / qemu-aarch64 —— ARM 用户态仿真（动态验证）

• Linux: apt install qemu-user / dnf install qemu-user / pacman -S qemu-user
• macOS: brew install qemu（含用户态）；Windows/WSL: WSL 内 Linux 版
• 32 位为 qemu-arm、64 位为 qemu-aarch64；-L <rootfs> 指定动态库/链接器来源，-strace 跟踪系统调用
• 验证: qemu-arm --version、qemu-aarch64 --version
• 裸机 Cortex-M（无 OS 引导、向量表 0x0 起）qemu-user 不适用——用 qemu-system-arm -machine mps2-an385（Cortex-M3）等板级模型（-s -S 接 gdb），或 [[re-emulation]] 用 Unicorn 逐指令

gdb-multiarch —— 交叉调试

• Linux: Debian/Ubuntu apt install gdb-multiarch（该包在 Debian/Ubuntu 及其衍生的官方仓库有）；Fedora dnf install gdb（官方 gdb 支持多目标、可调裸机 ARM；arm-none-eabi-gdb 不在 Fedora 官方仓库，如需嵌入式专用工具链用官方预编译 ARM 工具链）；Arch pacman -S gdb（官方 gdb 已内置 multiarch）
• macOS: brew install gdb（需 Developer Tools 授权，见 [[re-analyze/platform-tips]] macOS 分支）或 WSL 内 Linux 版；Windows/WSL: WSL 内 Linux 版
• 验证: Debian/Ubuntu gdb-multiarch --version；Fedora/Arch gdb --version；载入裸机固件后 set architecture armv7-m 再 file 加载，info registers 确认
• 真机 SWD/JTAG 调试走 OpenOCD + gdb（[[re-hardware-io]]）；仿真目标用 qemu-system-arm -s -S 或 qemu-arm -g <port>

操作步骤

按顺序执行，每步结果存档；动态执行默认沙箱。

1. 架构与字节序确认：

   file target.bin                 # "ARM"=32 位（含 Thumb）、"AArch64"=64 位；MSB/LSB 端序提示
   file target.elf
   readelf -h target.elf           # Machine=ARM / AArch64；Data=little-endian / big-endian
   readelf -A target.elf | head    # Tag_ABI_VFP_args: 1=硬浮点(HFABI)、0=软浮点；EABI 版本

   • e_flags 高位直接标识浮点 ABI：EF_ARM_ABI_FLOAT_HARD(0x400) 硬浮点 / EF_ARM_ABI_FLOAT_SOFT(0x200) 软浮点（对应坑 5）
   • 裸机 .bin（无 ELF 头）由步骤 2 的向量表/复位向量判定架构、端序与 Cortex-M 变体

2. 入口定位：

   • Cortex-M 向量表（默认 0x0 起，4 字节/项，地址 = 异常号×4）：
     • 第 1 项（offset 0x0）：初始 MSP 值——指向 RAM 区（0x20000000 附近），可反向佐证加载基址
     • 第 2 项（offset 0x4）：Reset handler（复位后执行的第一条指令）
     • 其后 NMI（0x8）、HardFault（0xC）……每项地址 LSB 必须为 1（Thumb）；LSB=0 触发 INVSTATE 进 HardFault
     • VTOR（0xE000ED08）可重定位向量表，固件可能把表放 RAM 或其他 flash 地址，先按 0x0 试，不成立再搜 MSP/Reset 组合
   • Cortex-A 启动代码——先分清 AArch32 / AArch64，两套异常模型不同：
     • AArch32（Armv7-A 经典模型）：复位向量 0x00000000（或高端向量 0xFFFF0000，取决于架构版本的控制位），异常向量表 8 项（Reset/Undef/SWI/Prefetch Abort/Data Abort/Reserved/IRQ/FIQ）
     • AArch64（Armv8-A）没有这套固定 8 项表：异常向量基址来自各 EL 的 VBAR_EL1/EL2/EL3，每张表 16 个 slot、间隔 0x80（覆盖 +0x000..+0x780），按 当前 EL / 低 EL × SP_EL0 / SP_ELx × AArch64 / AArch32 来源 × Synchronous/IRQ/FIQ/SError 分类；VBAR_ELx 复位后为 undefined，须由启动代码显式配置——不要用 0x00000000 / 0xFFFF0000 这套 low/high vectors 规则去找 AArch64 异常表
     • 逆向裸机 Armv8-A 固件时，定位异常表的可靠线索是 msr vbar_el1/el2/el3, Xt 及其地址构造序列；reset entry 本身由实现/SoC 启动配置决定（平台可提供 core reset vector base 配置），不能假定固定在 0
     • 启动流程一般为 设栈指针 → 拷贝 .data → 清零 .bss → 配置 MMU/时钟 → 跳 main；带引导链的（boot ROM → BL1/BL2 → u-boot/EL3 固件）按链逐级衔接 [[re-fw-rootfs]]
   • 定位复位向量后在反编译器中标注入口，沿调用链展开主逻辑

3. AArch32 Thumb/T32 函数边界（Thumb/ARM 切换）：

   • Thumb 函数地址 LSB=1：ELF 符号（nm / readelf -s 中 Thumb 函数为奇地址）、BL 目标、向量表项、虚表函数指针项都带 Thumb 位
   • bx rN / blx rN：按目标寄存器位 0 切换状态（1=Thumb）；blx 立即数形式直接切到 ARM 态目标
   • BL 立即数距离上限：ARM 态 ±32MB、Thumb 态 ±16MB（BL 为 32 位编码，Armv6-M 虽无完整 Thumb-2 亦支持 BL；实际可达范围按具体编码/重定位如 R_ARM_THM_CALL 判定，超距由链接器插 veneer）；超限时链接器插入 veneer 跳板（形态如 ldr pc, =addr、movw+movt+bx），看到片状跳板序列不要当业务逻辑；veneer 也用于 ARM↔Thumb 状态切换
   • 剥离符号的二进制：binutils 靠映射符号 $a/$t/$d 决定反汇编状态，映射符号丢失后会按错误状态反汇编——用 arm-none-eabi-objdump -d -M force-thumb 强制 Thumb，或交给 Ghidra 按 TMode 启发式切换
   • 用步骤 6 的立即数池与字符串引用交叉验证函数边界

4. 基址 / 重定位（加载地址 vs 链接地址）：

   • 固件链接基址与提取物实际加载位置常不一致（例：链接 0x08000000 的 flash 固件被从外部存储地址提取；向量表第 1 项 MSP 指向的 RAM 范围可佐证）
   • 确定链接基址（复位向量推算 / 立即数池内字符串引用 / 跳转表交叉）→ 计算偏移 → Ghidra "Memory Map → Set Image Base" 或 IDA "Edit → Segments → Rebase program" 整体修正 → 修正后字符串、立即数池、跳转表全部对齐
   • 有 ELF 时对比 LMA/VMA（readelf -l）：VMA 即链接地址；加载地址看 LMA / p_paddr
   • 先修正再反编译，否则大量引用错位、反编译面目全非

5. AAPCS 调用约定识别：

   • 32 位（AAPCS32）：r0-r3 传前 4 参（多余参数栈传）、返回值 r0、64 位参数占 r0:r1 等偶对；r4-r8/r10-r11 被调用者保存、r9 平台相关；r12(IP) 调用内临时、r13(SP)、r14(LR) 返回地址、r15(PC)；公共接口 8 字节栈对齐
   • 函数序言特征：push {r4-r11, lr}，尾部 pop {..., pc}（借 LR 同时恢复 PC）；叶子函数（无嵌套调用）常不 push LR，直接 bx lr
   • HFABI（硬浮点）：浮点参数走 VFP 寄存器 s0-s15 / d0-d7（双精度），结果 s0/d0；软浮点 ABI 浮点参数走 r0-r3；readelf -A 的 Tag_ABI_VFP_args 区分（混用时最易错，见坑 5）
   • 64 位（AAPCS64，AArch64）：x0-x7 传参、x8 间接结果寄存器、x19-x28 被调用者保存、x29 帧指针、x30(LR)、SP 16 字节对齐；序言特征 stp x29, x30, [sp, #-16]!
   • ARM 上 C++ 产物（RTTI/虚表/异常）恢复交叉参考 [[re-cpp-abi]]；AArch32 虚表中指向 Thumb/T32 函数的函数指针项同样带 Thumb 状态位（bit0=1，解析实际地址时清 bit0），AArch64 用 A64、无 Thumb 态，不适用此规则

6. 外设寄存器交叉（MMIO xref）：

   • Cortex-M 外设区 0x40000000-0x5FFFFFFF（具体外设基址如 0x4000xxxx、0x48000000 随器件而异），0xE0000000 起为 PPB（NVIC/SCB/SysTick）；核对 SoC datasheet 的 memory map
   • 典型访问形态：ldr rN, [pc, #imm] 从函数尾部立即数池取地址 → str/ldr 访问外设；手工算池地址时注意 Thumb 态 PC=当前+4、ARM 态 +8，且按 4 字节对齐
   • 反编译器中把外设区标注为寄存器区（不是数据段）——防止误判（见坑 3）；按 UART/GPIO/timer 等寄存器语义反推硬件行为，轮询 status/flag 位的循环就是与外设交互的握手/等待逻辑
   • 交叉验证：外设地址常量 + 初始化序列（时钟使能、GPIO 配置）对照厂商参考代码模式