中兴 F650A v2.0.3版本 内核分区(mtd9, mtd10) 解析

To.mato

注意: 本文涉及大量嵌入式linux知识, 大家凭自己的能力食用
. w4 B& }% U5 C- D4 y7 Y
% l& n/ z' n7 E. }( z" }3 X中兴的F650A在新版固件(天翼网关3.0)中, 更改了内核分区, 虽然它实际是jffs2分区并且默认挂载成ro只读, 但我们可以remount成rw模式.
0 e9 c+ i3 N! m' W" `+ d但是, 往这个jffs2分区写入数据后, 会造成无法启动的问题, 原因在于uboot会校验jffs2分区的crc, 我们可以修改这个crc, 实现误改rootfs后的救砖操作.
以下是解析:
8 q8 ]! F3 c2 H9 W  h# r/ H2 ]8 q
kernel分区文件结构
这段是跳过坏块, 这个区块是可能有 也可能没有的, 不必在意
00000000  ff ff ff ff ff ff ff ff  ff ff ff ff ff ff ff ff  |................|
2 ?* t! U! n# \( @1 |$ T  N*
' b9 t+ ?1 k2 i1 ^这段是分区的头结构体, 其中 前16字节的 99 44 55 aa 是magic head, 用来标识数据的开始, 只有识别到这个魔术码, 才会作为数据的开始
/ W; ^3 x" }" X$ z4 s( n' \00020000  99 99 99 99 44 44 44 44  55 55 55 55 aa aa aa aa  |....DDDDUUUU....|
00020010  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
从24字节开始的这一串是版本号字符串 再后面的数据暂时不明
00020020  00 00 00 00 56 32 2e 30  2e 33 50 31 54 37 00 00  |....V2.0.3P1T7..|
00020030  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
0 y5 \. j' ?8 {% V' Z00020040  01 00 00 00 00 00 1e 01  c0 fe 1d 01 40 01 00 00  |............@...|
" ^& |; V) N' P0 ]  r, p- Q/ w, d- H
# i4 K0 k0 C; f8 S# t1 }9 ^
这个3d 2d 17 cd是后面jffs2分区的crc, 修改jffs2分区要改此crc, uboot会给出计算出来的crc值, 按小端替换上去即可
& a! v9 R9 M7 D1 B  i00020050  3d 2d 17 cd 00 00 00 00  00 00 1e 01 00 00 00 00  |=-..............|
6 N. L0 p4 M7 x" Q' |' S0 c00020060  00 00 d0 01 00 00 28 01  00 00 00 00 00 00 00 00  |......(.........|
00020070  00 00 f8 02 00 00 28 01  00 00 00 00 00 00 00 00  |......(.........|
00020080  5a 58 48 4e 20 46 36 35  30 41 20 55 4e 49 20 56  |ZXHN F650A UNI V|
00020090  32 2e 30 2e 33 50 31 54  37 00 00 00 00 00 00 00  |2.0.3P1T7.......|
- e  N8 n3 E& q; \1 K000200a0  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
8 _8 a- S' u8 [4 d8 c如以下这段错误提示, 表示 jffs2 分区的真实crc是 0x9b9647af, 我们按小端序(af 47 96 9b)填入上述的位置即可
vmlinuz crc error 0x9b9647af
no version available, pls downver!
% S$ U  y* W# x7 P5 ?
" Y" |4 N% [: _& d; L/ y/ r1 m0 ?
*
9 h. q% E+ |5 i# S% i4 S+ C

0 |$ f* }% Z' U# c$ Y6 s- x这段的6e 8d 53 f2是这个头结构体的crc, 后面会跟这个分区的生成时间(估计是), uboot会给出计算出来的crc值, 按小端替换上去即可
) O+ R6 g% h3 m* G7 @1 V1 W- |  E000200d0  00 00 00 00 00 00 00 00  00 00 00 00 01 00 00 00  |................|
5 K* y; A2 ~9 y- q3 U9 ~000200e0  6e 8d 53 f2 32 30 31 39  30 31 30 32 31 34 34 38  |n.S.201901021448|
$ @1 n# h3 e( s000200f0  35 31 00 00 00 00 00 00  ff ff ff ff ff ff ff ff  |51..............|
00020100  00 00 00 08 ff ff 01 00  00 00 00 00 00 00 00 00  |................|
! s5 f$ }% b3 f00020110  08 01 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
8 n' `+ P2 i8 \; h4 V! N; f0 R: q' x00020120  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
1 Q5 C) Q) g, B7 \$ ^; P- p4 t: X  X如下错误提示, 代表这个头结构体的实际计算crc是0x55cf6dbd, 而实际读取到的是0x040e018a, 这里同样我们按小端序(bd 6d cf 55)填上即可
- E) x- ?3 U) Z( f' d; uheader crc error 0x55cf6dbd,add=0x02f80000
( x0 r$ e$ u1 m,binheadercrc=0x040e018a


*

! }3 E4 Y( j5 E8 U% n2 v2 S
这段是jffs2分区, 小端序, uboot检查crc后, 会读取下面的0uImage内核文件, 载入内存并启动
00040000  85 19 01 e0 2f 00 00 00  b1 f9 44 f2 01 00 00 00  |..../.....D.....|
, `3 w. V5 M- G( ]# C00040010  00 00 00 00 02 00 00 00  c9 5e 2c 5c 07 08 00 00  |.........^,\....|
00040020  a9 e5 16 81 66 e5 52 31  30 75 49 6d 61 67 65 ff  |....f.R10uImage.|
( U7 m! _5 K1 y# o8 X3 M+ D00040030  85 19 02 e0 b8 0a 00 00  d4 d7 d0 59 02 00 00 00  |...........Y....|
00040040  01 00 00 00 a4 81 00 00  00 00 00 00 94 08 3f 00  |..............?.|
7 b7 o4 n* v  y2 s6 o! d& b! A00040050  c9 5e 2c 5c c9 5e 2c 5c  c9 5e 2c 5c 00 00 00 00  |.^,\.^,\.^,\....|
0 C2 E# J- B: x+ d00040060  74 0a 00 00 00 10 00 00  06 00 00 00 c5 a4 53 c6  |t.............S.|
) C- ~" A# v9 J7 [" L$ U% f% J; B00040070  e8 6a 61 20 78 5e 74 57  0d 6c 1c d5 11 9e dd fb  |.ja x^tW.l......|
; s2 s7 n0 J9 ~2 o00040080  b3 0f db fb fc 93 38 b9  b8 f6 9a 80 ea 24 0e 2c  |......8......$.,|
00040090  38 4d 43 1b e2 0b 46 50  28 90 4b 6c 0c 04 0b 8e  |8MC...FP(.Kl....|
000400a0  92 d0 44 a5 b1 cb 4f 85  5a 54 ce b1 9d c6 89 2f  |..D...O.ZT...../|
- x8 U. q( D, F( ~7 E, o8 _# I000400b0  be 24 0e b8 6e 5c 2f 50  d4 82 5a 61 5c 15 21 da  |.$..n\/P..Za\.!.|

) h% j' y; F( l* s2 a( H; }......
  M; E/ i3 N6 V$ U) B7 l8 c
如果大家只是想跳过uboot的crc检查, 立刻进入系统救砖, 有办法吗? 答案是肯定的
/ G+ |6 S  L( b8 V9 O  b7 I我们等待uboot提示crc错误之后, 可以输入命令:
fsload 0uImage
' ]! p2 J8 b9 m8 A' |意思是载入jffs2分区的内核文件, uboot会加载到内存0x42000000上
2 o2 j5 r- _' i; m( O3 F- L然后, 我们可以输入
bootm 0x42000000
即可应急启动到系统了
# z1 P, \: ]* W: U4 \( U这个方法的缺点是, 光猫的内核分区有两个, 即mtd9和mtd10, 我们并不能选择实际要启动到的内核分区
# B9 d9 t1 r  X# B  p/ \) l楼主暂时也没找到载入特定分区的办法, 以上.
) e. J- p" s5 e9 h
8 n2 j, K$ B4 d% U6 ]& _% d扩展:
) K5 Q" E# M% E那么, 我们能不能自己做内核分区呢? 楼主还没尝试, 理论上是可行的, 希望本文能给大家带来帮助
+ u% v* s! t# W- E

songee

mtd9和mtd10属于A/B分区，用binwalk可以看到它的结构，header+squashfs分区，如果要修改的话，可以把squashfs分区dd出来，unsquashfs解压，改完mksquashfs打包，与原header拼接，mtd写入相应分区，uboot会提示vmlinuz crc error，先根据error后的提示值修改header的vmlinuz crc，再次刷入，uboot再次提示header crc error，然后再改header crc，之后就可以正常启动了。
) s' Y$ I; ~0 w) S) q" W关于crc，小端在前，也就是说如果uboot提示的crc error是0x12345678，那么在位置0x40050或0x400E0处，应该填入78563412.

haoboss

知道uboot是怎么计算出来的crc值的吗？
这些CRC值分别是计算哪一段数据呢？

To.mato

+ n: S* O1 V( g$ [. B4 Q

haoboss 发表于 2020-11-26 11:46
知道uboot是怎么计算出来的crc值的吗？
- `$ }3 I- y' @' s' X这些CRC值分别是计算哪一段数据呢？

很抱歉, 并没有分析使用的是哪种crc计算方式, 可以直接把kernel这个mtd分区写入flash,直接在uboot上看它计算好的结果, flash是slc的, 不用担心写坏 :)
# c$ d, {3 n& V7 ]& F
: `5 S2 E& |* E2 O计算的数据区已经说明了, 分别是jffs2分区和header结构体

bg3nit

高手，看不懂

709508002

楼主微信是多少？？交流一下

q30445518

你能破解吗？

qq519948746

分析的很好 顶一个

磊石头

这技术贴，支持

tao8886999

难得技术贴，支持楼主

tao8886999

分析的很透彻，高手！还不计较报酬，什么猫粮要多少，大洋要多少，这种共享精神值得大家学习！
  i3 o/ q( j2 e: {1 i" ^+ b