Dotaz: Neznámá binárka, zjištění info

[r23]

Mám tu takový zajímavý problém. Mám tu chip, říkejme mu blackbox. Vně něj je připojená paměť, která podle obsahu očividně obsahuje nějaký spustitelný kód. Potřeboval bych tu binárku analyzovat a zjistit, jaké mcu jádro obsahuje ten chip. Vím, že většina procesorů se dá identifikovat podle struktury vektorů na začátku kódu, dotaz tedy je, zda neexistuje nějaký nástroj, který by tohle uměl. Můj odhad je, že by to mohlo být buď něco typu 8030 nebo ARC 32.

Díky za typ

Odpovědi

[Jendа]

Tý jo. Já viděl postup:

• Rozpustit čip, vrazit pod mikroskop, podívat se na signaturu výrobce a datum výroby.
• Zjistit, že je to ASIC a datasheet samozřejmě nedají.
• Najít procesor podobného určení stejného výrobce z podobné doby, který veřejně prodávají; stáhnout k němu datasheet.
• Napsat podle toho disassembler. Fungovalo to!

Já jsem si z jedné přednášky na CCC odnesl následující poznámku v sešitě:

FW pro neznámý uC: na konci asi bude return a pak nop nop nop; může mít třeba 22b instrukce

Myslím, že nástroj pro to existovat nebude, mimo naprosto běžných architektur (x86, x64, ARM, Thumb), ale to poznáš pohledem bez nástroje.

Pro začátek: pokud ten čip umíš spustit, koukej, v jakém pořadí, jak velké bloky a jak rychle si z paměti vyčítá. Podle toho zjistíš délku instrukcí (snad) a můžeš zkusit hledat opkódy.

[r23]

To nepůjde, je to SPI flash, která se při bootu asi celá překlopí do ram. V celém kódu není jediný textový řetězec.

[Radovan]

Napadl mě jeden malý háček k té binárce. Adresní vodiče z čipu můžou být k paměti připojené "napřeskáčku", takže pokud nebudeš vědět v jakém pořadí jsou, tak tu binárku stejně stáhneš namixovanou a nic z ní nepoznáš, i ty vektory budeš mít rozházené třeba po celé délce. Musel bys nejdřív vysledovat v jakém pořadí jí ten čip čte, ale některé procesory nemusí po resetu začít od nuly...

[Jendа]

Píše, že je to SPI. Leda, že by čip používal nějaký „scrambling“ - a že by četl sekvenčně, ale do paměti to kopíroval napřeskáčku a až pak to spustil? To mi nepřijde moc pravděpodobné.

[Radovan]

Tak to jsem neviděl, když jsem začínal psát, tak to tam ještě nebylo

Holt když člověk "stíhá" víc věcí najednou...

[Radek Isa]

nebylo by lepsi ten cip vyfotit a dat to sem. Treba ho někdo pozna, nebo ho ma doma?? Jako věštit z křišťálové koule je docela na nic.

Neni tam nahodou napsany nejaky vyrobce?? Nekteří výrobci mohou mít speciální instrukcí která vací typ procesoru atd. (jako pro intelovsky CPU je cpuid).

[Jendа]

nebylo by lepsi ten cip vyfotit a dat to sem. Treba ho někdo pozna, nebo ho ma doma??

Na obalu se většinou píše prd a z wafferu to podle mě jen tak nepoznáš…

Neni tam nahodou napsany nejaky vyrobce??

+1

Nekteří výrobci mohou mít speciální instrukcí která vací typ procesoru atd. (jako pro intelovsky CPU je cpuid).

To by musel umět nějak vyčíst…