有没有一种方法可以“猜测”裸机固件二进制文件中未知区域的地址？

#1 楼

我通常要做的事情：


将二进制文件加载到不太小的基地址，例如0x10000000。
标识尽可能多的函数和字符串。 />
您可能会很幸运，仅从字符串开始，这通常工作量较小。位二进制值）。
现在对函数和字符串地址列表进行排序，并计算每个连续地址之间的差。
对常量值列表进行相同操作。

现在，您有两个地址差异列表，如果在两个列表中都找到一系列连续的差异，则您已经找到了基址。这两个列表可能不完整的问题。例如，地址列表将没有每个函数的绝对指针，或者您可能错误地反汇编了一些函数。也许您会更好地专注于字符串地址。

我通常在vim中使用正则表达式搜索手动完成此列表匹配。在某些情况下，我写了一些小脚本来帮助寻找比赛。 ...但是我现在找不到这些，如果再次找到它们，我将更新我的帖子。


聊天摘要


正在讨论的固件文件：dvdo的DVDO Matrix6固件01.01。

我查看了同一站点的其他二进制文件，并找到了基于ARM芯片LPC1758的引用。 >
独立IDA不能立即识别该二进制文件。原因是此二进制文件只有Thumb指令。 IDA期望手臂二进制文件以ARM32代码开头。
通过存在70 47（BX LR），00 bf（NOP），*0 b5（PUSH {...}

因此使用T将段类型1更改为Alt-G后，我可以反汇编该文件。

查找偏移量：

这两个命令将生成文件中出现的dword列表和文件中出现的字符串列表：

od -Ax -t x4 Matrix6_Version_01/M6FW0101.BIN | perl -pe 's/^\w+\s+//' | tr " " "\n" | sort|uniq  > dwordlist.txt
strings -10 -o -t x "Matrix6_Version_01/M6FW0101.BIN" > stringlist.txt

现在来看第字符串列表中的真实文本：

28eaa pGSAC Initiation task finished
28eca SAC Audio Format Discovery task finished
28ef4 SAC volume has changed
28f0c Audio System Logical Address not assigned
28f37 CBUS MUTE received
28f4b CBUS UN-MUTE received
28f62 CBUS VOL UP received
28f78 CBUS VOL DOWN received

您可能会注意到第一个字符串的前2个字符pG实际上是70 47或BX LR指令。

现在我将在Vim中加载两个文件，并在两个文件中都运行以下vim-perl脚本： ：

:perldo s/^\w+/($x,$p)=(hex($&),$x); sprintf("%s(%8x)", $&, $x-$p)/e

现在，由于错误的pG开始，跳过前两个，我在dwordlist.txt中搜索分别使用2a，18和2b的连续行正则表达式搜索：

28eaa(    25dd) pGSAC Initiation task finished
28eca(      20) SAC Audio Format Discovery task finished
28ef4(      2a) SAC volume has changed
28f0c(      18) Audio System Logical Address not assigned
28f37(      2b) CBUS MUTE received
28f4b(      14) CBUS UN-MUTE received
28f62(      17) CBUS VOL UP received
28f78(      16) CBUS VOL DOWN received

这使我在两个文件中都找到了以下匹配的行： 0x2eeac的0x28eaa将我引向0x6000的偏移量。

#2 楼

我将在Recon 2010演示文稿（从第48页开​​始）中介绍其中的一些内容。

总结方法：预期位置
初始化代码，其中包含对预期运行时地址的引用
具有绝对地址的跳转表
与二进制文件中的实际字符串匹配的字符串表（地址表）。
符号桌子（如果幸运的话）