逆向固件，廣電HDC2100K進fastboot

z913457894 · 發(fā)表于 2021-6-16 11:28

接上一篇編程器讀固件 http://ktgpgw.cn/tv-1198024-1-1.html端午前逆向固件，就已經(jīng)把找到了進fastboot的方式，一直也沒時間焊接emmc芯片。端午節(jié)放完假，昨天下午開始焊接。焊接不是很順利，芯片來回拆、焊兩三次，一直開不了機，還把焊點弄掉了幾個，搞到一度以為搞壞了。還好是幾個無用的焊點，今天上午終于把emmc芯片焊上去了，順利開機，也順利進入fastboot模式，以后燒寫固件不用拆芯片，來回折騰了，真開心

。

下面詳細介紹，這篇主要以介紹fastboot逆向為主，以后如果fastboot進入不了，可以借鑒。如果熟悉uboot的源碼，逆向起來會輕車熟路。

上一篇已經(jīng)讀出了fastboot.img，然后直接上IDA，構(gòu)架選擇arm little。翻到地址0x8500,就可以看到arm標志的中斷表。
逆向固件，廣電HDC2100K進fastboot

跳到第一個函數(shù)0x8560，繼續(xù)往下到0x8690，發(fā)現(xiàn)跳轉(zhuǎn)到0xC08F80，這里斷了；往回看，發(fā)現(xiàn)這里有兩個copy函數(shù)，第一個copy比較當前運行地址段是否在0xc00000，不是則把0~0xf6000拷貝到0xc00000~0xcf6000；第二個copy拷貝0xc08500處的arm中斷表到高地址位0xffff0000，這里我們不用關心，可以忽略。我們只需再重新按照它的布局構(gòu)造一個內(nèi)存dump文件，重新IDA。
逆向固件，廣電HDC2100K進fastboot

重新制作內(nèi)存dump之后，如下，中斷表已經(jīng)出現(xiàn)了具體函數(shù)。我們直接跳到上面中斷的函數(shù)C08F80處，開始逆向第一個函數(shù)0xC08F80(board_init_f)。
逆向固件，廣電HDC2100K進fastboot

查看我們第一個board_init_f函數(shù)，我們基本可以找到我們所需要的重要函數(shù)，包括串口打印函數(shù)puts，serial_printf，獲取環(huán)境變量函數(shù)getenv，我們直接跟蹤最下面的一個函數(shù)main_loop
逆向固件，廣電HDC2100K進fastboot

我們要找的串口中斷fastboot處理就在main_loop函數(shù)中，函數(shù)開始getenv("bootdelay")其實就是從bootargs分區(qū)中獲取bootdelay的條目參數(shù)，上一篇備份固件文章中提到的記錄分區(qū)表的那個分區(qū)，這個條目參數(shù)值為0，函數(shù)做了判斷，等于0時，賦值為1s，我之前的猜測是錯誤的。往下getenv("bootdelaykey")，getenv("bootstopkey")，bootargs分區(qū)中沒有這兩個條目參數(shù)，getenv返回回來就為0（NULL）,下方判斷如果這兩個為0的話，就是默認初始化為 "hisilicon #" 和 "]"，上電的時候我們只需要輸入這兩個字符串就可以進入fastboot模式，里面根本就沒有檢測ctrl+c的檢測，這也就是我們之前按ctrl+c沒有反應的原因。
逆向固件，廣電HDC2100K進fastboot

為了以防萬一，我還是修改了bootargs分區(qū)中bootdelay的參數(shù)，把時間改為5s，前4個字節(jié)為CRC32的校驗。
逆向固件，廣電HDC2100K進fastboot

bootargs寫回到emmc芯片，芯片焊接回去，接好串口上電，輸入 hisilicon # 或者，串口接線圖論壇中有，我的文章中也有介紹，有需要自己回去看
逆向固件，廣電HDC2100K進fastboot

進入fastboot模式成功..........到此結(jié)束。
寫文章不容易，請留下你們的腳印，看評論熱度，后續(xù)再更新、

intelqian · 發(fā)表于 2021-6-18 18:37

z913457894 發(fā)表于 2021-6-18 14:54
專業(yè)算不上，就是做了很多年的固件逆向工作，対逆向比較熟而已，linux下的驅(qū)動我也不是很懂，一般驅(qū)動模 ...

這個地方我知道，但是不是所有的都在這里

dgdell · 發(fā)表于 2021-6-17 00:08

大神，有個fastboot 拼裝問題請教，可有償，能否加我QQ601954118。謝謝！

橙子的甜 · 發(fā)表于 2021-6-16 13:13

感謝大神帶來的內(nèi)容分享

請叫我?guī)浉绻?/a> · 發(fā)表于 2021-6-16 13:15

學習學習

害羞的菇?jīng)?/a> · 發(fā)表于 2021-6-16 13:15

步驟很詳細，學習了

肖肖喜歡笑 · 發(fā)表于 2021-6-16 13:15

收藏學習一波

電視機頂盒分享 · 發(fā)表于 2021-6-16 13:22

收藏學習學習

sntemwong · 發(fā)表于 2021-6-16 14:12

大神膜拜啊

sntemwong · 發(fā)表于 2021-6-16 14:13

不過，高安cpu我一般都是，制作分區(qū)表，hitool提取全部分區(qū)，修改system后重新刷回去，fastboot下能用什么有用的命令正不知道

creazy2000 · 發(fā)表于 2021-6-16 15:52

高手！

z913457894 · 發(fā)表于 2021-6-16 17:56

sntemwong 發(fā)表于 2021-6-16 14:13
不過，高安cpu我一般都是，制作分區(qū)表，hitool提取全部分區(qū)，修改system后重新刷回去，fastboot下能用什么 ...

hitool備份寫入是全部借助fastboot模式下的指令，所以fastboot下的指令可以完成你在hitool下的所有操作。不管高安還是非高安，如果進不了fastboot模式，hitool是無法連接的，你也做不了任何操作，這就是為什么你使用hitool的時候是需要連接串口的原因。

z913457894 · 發(fā)表于 2021-6-16 18:00

盒子體驗分享發(fā)表于 2021-6-16 13:22
樓主會中興機頂盒刷機么？能分享一些教程么？

沒有折騰過中興的機頂盒，但是步驟基本一樣，只要能進入bootloade（uboot/fastboot）模式，就可以備份出固件，自己修改原始固件來達到root破解的目的。后續(xù)我會繼續(xù)用手上的盒子來做一些使用bootloader模式破解的教程。

黃華威 · 發(fā)表于 2021-6-16 21:39

感謝大神帶來的內(nèi)容分享

D5878658ghh · 發(fā)表于 2021-6-17 14:10

原來是高手，支持一下。

sntemwong · 發(fā)表于 2021-6-17 16:23

z913457894 發(fā)表于 2021-6-16 17:56
hitool備份寫入是全部借助fastboot模式下的指令，所以fastboot下的指令可以完成你在hitool下的所有操作。 ...

我備份過很多高安機器，fastboot都是無法進入的，都可以正常通過hitool備份全部分區(qū)出來

› 運營商IPTV / 有線電視 / 廣電機頂盒 › 廣電機頂盒