1. 将它连接到电脑（波特率：115200）
2. 重要：H 是打印帮助功能，请随处使用它
3. 将板子的 GND 连接到 Jtagulator 的 GND，板子的引脚 1,2,3 连接到 Jtagulator 的通道 1,2,3
4. V：设置工作电压
5. U：进入 UART 识别菜单
6. U：开始识别
7. Text string to output：默认
8. Starting channel：我们放置板子引脚 1 的通道
9. Ending channel：我们放置板子引脚 3 的通道
10. Ignore non-printable characters：是
11. 完成！

• $BAUDRATE 可以是 这里 找到的其中一个
• 最常见的 $BAUDRATE
  • 115200
  • 9600
  • 57600
  • 38400
  • 19200
• 重要：如果我们搞砸了 $BAUDRATE，可能会看到乱码，甚至什么也没有
• ctrl + a -> k -> y：关闭 screen

1. 找到 GND 参考点
   • 使用之前找到的组件
   • 通常金属板处于 GND
2. 找到 VCC 参考点
   • 使用之前找到的组件
   • 寻找电容，它们通常在 VCC 处有一个点
3. 测试 JTAG 候选引脚，填写下表（下面的项目符号分别对应表格的各列）
   1. 测试 JTAG 引脚对 GND 的电阻（万用表转到电阻测量档，通常 200k）
   2. 测试 JTAG 引脚对 VCC 的电阻（万用表转到电阻测量档，通常 200kOhm）
   3. 给设备上电，测试 JTAG 引脚对 GND 的电压（万用表转到电压测量档，通常 20V）

   • 表格
4. 将找到的值与最常用的 JTAG 引脚定义进行比较，可在 jtagtest 获取

1. 将其连接到电脑（波特率：115200）
2. 重要：H 是打印帮助功能，随处可用
3. 将板卡 GND 连接到 Jtagulator GND，板卡引脚 1,2,3... 连接到 Jtagulator 通道 1,2,3...
4. V：设置工作电压
5. J：进入 JTAG 识别菜单
6. 这里有两个选项
   • I：使用 IDCODE 扫描识别，找不到 TDI（快），如果要识别的引脚很多，这个更好
   • B：使用 BYPASS 扫描识别，会找到 TDI（慢），如果要识别的引脚较少，这个更好
7. Starting channel：放置板卡引脚 1 的通道
8. Ending channel：放置板卡引脚 n 的通道
9. Already known pins：否，但如果已经知道某些引脚，可以加快识别过程
10. 开始并等待……完成！

• JTAG 可能已被禁用（硬件层面，移除了一个电阻），因此万用表和 Jtagulator 发现的结果可能不一致；我们可以通过在该引脚和 VCC 之间放置一个约 300Ohm 或 1kOhm 的电阻来解决
• JTAG 可能已被禁用（硬件层面，移除了一个电阻）；这个问题可以通过放回该电阻或将电阻焊盘直接短接来解决
• JTAG 可能已被禁用（软件层面，设置了某些值）
• JTAG 可能已被禁用（硬件层面，烧断了保险丝……这种情况下就没有希望了）

• $BINTOWRITE：可以是 bin（二进制）、ihex（Intel hex）、elf（ELF 文件）、s19（Motorola s19）、mem……
• $ADDRTOSTART：开始写入的地址（我认为默认是 0）

• $OUTFILE：保存转储内容的二进制文件
• $ADDRTOSTART：开始读取的地址（我认为默认是 0）
• $SIZETODUMP：要转储的字节数

• OpenOCD PDF
• OpenOCD HTML

• 搜索 bootloader 菜单，这里很可能能找到这个问题的答案

• help 命令是你的朋友
• 尝试找到转储内存内容的方法，python 是你的朋友
• OOB 数据（错误纠正码）转储价值不大

• 使用 binwalk、file 和 hexdump -C 检查转储的文件是否正常，以及是否被压缩或加密
  • 使用 binwalk -E 分析文件的熵
    • 熵接近 1：随机、压缩或加密文件
    • 熵低于 1：正常可执行文件或文件
• 使用 binwalk -e 提取文件中可识别的段

• dd if=$IN_DUMPED_IMAGE of=$OUT_FILE bs=1024 skip=$BYTES_TO_SKIP_FROM_THE_START count=$HOW_MANY_BYTES_TO_WRITE
• sha1sum、md5sum 或 binwalk -W -i 用于比较镜像（例如，如果我们认为它们可能是相同的镜像）

• 示例命令（基于文件系统类型）：fakeroot -s fakeroot.dat usquashfs -d squashfs-root u04-sqfs.dat
  • fakeroot：创建假 root 环境，用于仿真文件权限、设备文件……
    • -s fakeroot.dat：保存假 root 环境，以便之后用命令 fakeroot -i fakeroot.dat bash 恢复
  • usquashfs：提取 squashfs 文件系统（在你的情况下可能不同）
    • -d squashfs-root：目标文件夹
    • u04-sqfs.dat：要提取的文件系统镜像

• 文本编辑器
• grep
• find
• xargs
• strings

• 可接受：X 相同，Y 更高

使用构建系统进行构建（选择功能并自动跟踪依赖）

• 最佳构建系统选择
  • The Yocto project
  • Buildroot（最佳）
  • OpenWRT 构建系统

开始仿真

• QEMU 仿真脚本
  root@kitploit:~

  #!/bin/bash
  # This script will build an environment without password for the user root
  export QEMU_AUDIO_DRV="none" # ignore audio drivers
  
  qemu-system-${PROCESSOR}${ARCHITECTURE} -M $CPUFAMILY \ # See point 2
                                          -m $RAMSIZE \
                                          -kernel $KERNELPATH \
                                          -nographic \ # No GUI
                                          -hda $FILESYSTEM \
                                          -net nic,model=$NETCARDMODEL \ # Model of net card, driver must be included in kernel
                                          -net user, hostfw=tcp::2222-:22, hostfw=tcp::9000-:9000 \ # 2222 as ssh and 9000 for GDB server
                                          -no-reboot \ # Terminate the machine when is halted
                                          -append "root=/dev/hda console=uart0" # Set root filesystem and console
  

  • 如果执行二进制文件时打印出缺少库的错误，则在机器内按如下方式设置 LD_LIBRARY_PATH：export LD_LIBRARY_PATH=/lib:/usr/lib:$PATHTOORIGINALFILESYSTEMLIBFOLDER
• 我们也可以仿真 NAND EEPROM
  root@kitploit:~

  #!/bin/bash
  
  # Part 1: Identify bytes for kernel module
  modprobe nandsim first_id_byte=$FIRSTBYTE \
                      second_id_byte=$SECONDBYTE \
                      third_id_byte=$THIRDBYTE \
                      fourth_id_byte=$FOURTHBYTE \
                      cache_file=/root/nandsim.bin \
                      parts=x,y,z,... # Define partitons size in number of erase blocks; the number of partitions depends on your device, partitions are usually print on boot
  
  # Part 2: Erase partitions created (analyze EEPROM partitions)
  flash_erase /dev/mtd0 0 8 
  flash_erase /dev/mtd1 0 20
  # ...
  
  # Part 3: Load partitions dumped from device in the ones just created
  nandwrite /dev/mtd0 part0.bin
  nandwrite /dev/mtd1 part1.bin
  # ...
  
  # Part 4: Create mountpoint for filesystem and attach (if UBIFS)
  mkdir /mnt/filesystem
  ubiattach -O $N -m $MTDDVENUM -d $UBIDEVNUM
  ```# Part 5: Mount
  mount -tubifs /dev/ubi${UBIDEVNUM}_0 /mnt/filesystem
  

  1. 识别内核模块的字节
     • 启动时通常会打印关于 NAND 的信息，查看这些信息（上述步骤）并搜索 NAND ID，打印的字节按顺序为第一个、第二个和第四个字节
     • 我们也可以通过查找 EEPROM 的数据手册来找到这些信息
     • 我们也可以使用 writesize, oobsize, erasesize, iowidth 在这里找到正确的命令
     • 否则，反复试验
  2. 分析启动时打印的 EEPROM 分区以确定它们的大小和名称，flash_erase 命令中的最后一个数字是与 erasesize 相关的大小（与 parts=x,y,z,... 相同）
  3. 将从设备转储的分区加载到刚创建的分区中
  4. 为文件系统创建挂载点并挂载
     • -O：指定卷 ID 头偏移量，如果错误，系统会告诉你正确的值，你也可以尝试不同的值，如 512, 1024, 2048（反复试验）
     • -m：mtd 设备编号（参见第 3 点）
     • -d：UBI 设备编号（参见第 5 点）
  5. 挂载

• 备注
  • 不太稳定
  • 可能产生奇怪的结果
• 操作方法
  1. 找到 QEMU 可执行格式：qemu-$PROCESSOR$ARCHITECTURE
     • 示例：qemu-mips64
  2. 如果 QEMU 提示缺少解释器，请使用 -L 传递包含该解释器的文件夹的路径（或参见 man）
     • 要了解可执行文件使用哪个解释器，请使用 readelf -l $EXECUTABLE

• 我们构建的内核应该具备（相对于原始内核）
  • 相同的内核版本
  • 相同的 libc 版本（uClibc, uClibc-ng, musl, dietlibc...）
  • 相同的库版本（针对我们感兴趣的可执行文件）

1. 搜索与我们设备版本最接近的 buildroot 版本
   • 有时在启动或检查转储的内存时，我们可能会找到所使用的 buildroot 版本（如果设备是使用 buildroot 构建的）
2. 找到与所找到的 buildroot 版本兼容的 linux 版本，并创建一个 docker 容器，这里有一个示例 dockerfile（软件包对于运行 buildroot 很重要）
3. 从这里下载选定的 buildroot 版本，并将其放入 docker 容器的共享文件夹中
4. 运行并切换到 docker 容器
5. 解压 buildroot 并执行 make manual 以生成 buildroot 的手册
6. 使用 make help，buildroot 会打印所有支持的设备（开发板）；执行 make $YOURBOARDNAME 可为你的开发板创建 buildroot 配置文件
7. 使用 make menuconfig（基于文本）或 make xconfig（GUI）选择要添加到我们构建中的内核模块，我们将使用 make xconfig
   • 这里给出一个示例/指南，但你需要自己发现运行你的应用程序具体需要哪些模块
   • 技巧：使用 Edit->Find 来搜索模块
   • 选项
     • Target options
       • 勾选 Show options and packages that are deprecated or obsolete
       • 勾选 Build packages with debugging symbols，并将 debug level 设为最高
       • 将 Strip command for binaries on target 设置为 None
       • 将 GCC optimization level 设置为 0
     • Toolchain
       • 将 Toolchain type 设置为 Buildroot toolchain
       • 将 Kernel headers 设置为 Manually specified linux version
       • 将 Custom kernel headers series 设置为 $DEVICEKERNELVERSION
       • 将 Linux version 设置为 $DEVICEKERNELVERSION
       • 将 C library 设置为 $DEVICECLIBRARY
       • 将 $DEVICECLIBRARY version 设置为 $DEVICECLIBRARY $DEVICELIBRARYVERSION
       • 勾选 Enable large files
     • System configuration
       • 将 Passwords encoding 设置为 MD5
       • 将 Init system 设置为 $DEVICEINITSYSTEM（或 BusyBox）
       • 将 /dev management 设置为 Dynamic using devtmpfs only
       • 将 /bin/sh 设置为 Busybox default shell
       • 勾选 Install timezone info
     • Kernel
       • 将 Kernel version 设置为 $DEVICEKERNELVERSION
       • 将 Kernel binary format 设置为 vmlinux
     • Target packages
       • Compressors and decompressors
         • bzip2 和 xz-utils
       • Debugging profiling and benchmark
         • 勾选 gdb 和 full debugger
       • Development tools
         • 你需要的工具
       • Filesystem and flash utilities
         • mtd, jffs2 and ubi/ubifs tools（或你需要的任何工具）
       • Libraries
         • 通常是你需要的库（建议如下）
         • Crypto
           • libsha1
     • Networking applications
       • rsync 以及你需要的工具
     • Shell and utilities
       • file
     • Filesystem images
       • ext2
     • Host utilities（这里不是指目标设备，我们谈论的是主机设备）
       • host mtd, jffs2 and ubi/ubifs tools
       • host util-linux
   • 记得保存（SAVE）
8. 要永久保存刚定义的配置，请使用 make savedconfig
9. 使用 make linux-menuconfig（基于文本）或 make linux-xconfig（GUI）配置内核，这里我们将使用 CLI 版本
   • 这里给出一个示例/指南，但你需要自己发现运行你的应用程序具体需要哪些模块
   • 选项
     • Kernel type -> Preemption model (Preemptible Kernel (Low-Latency Desktop)) -> Preemptible Kernel (Low-Latency Desktop)
     • Kernel type -> Device drivers -> Memory technology device (MTD) support -> NAND device support -> Support for NAND flash simulator
     • Kernel type -> Device drivers -> Memory technology device (MTD) support -> ->
10. 使用 uclibc-menuconfig 配置 uClibc（或你的 C 库）（和往常一样）
    • 启用调试：Development/Debugging options -> Enable debugging symbols，如果这不起作用（编译错误），则使用 Development/Debugging options -> (Wall) compiler warnings -> 添加 -Wall -ggdb -g3
      • -ggdb：提供与 GDB 一起使用的调试信息
      • -g3：提供额外的调试信息
    • Save
    • 像我们的设备一样启用功能（反复试验，如果遇到错误，请调查原因，然后使用所需功能重新构建）
11. 执行 make，如果出现问题则返回上一步迭代
    • 可能的编译错误
      • Need to use -fPIC
        • 在内核模块（第 7 点）的 Toolchain -> Additional gcc options 下添加 --enable-shared，或者修补 buildroot

• 使用 git 保存 buildroot 的配置文件
  • 外部树配置（供 buildroot 理解的文件树视图）（br2）
    root@kitploit:~

    +-- board/
    |   +-- <company>/ (not always used)
    |       +-- <boardname>/
    |           +-- linux.config
    |           +-- busybox.config
    |           +-- kernel-defconfig (kernel config file)
    |           +-- <other configuration files>
    |           +-- post_build.sh (executed just before building the image, useful to copy root filesystem into the image)
    |           +-- post_image.sh
    |           +-- rootfs_overlay/ (everythin here will be copied in the final image)
    |           |   +-- etc/
    |           |   +-- <some file>
    |           +-- patches/
    |               +-- foo/
    |               |   +-- <some patch>
    |               +-- libbar/
    |                   +-- <some other patches>
    |
    +-- configs/
    |   +-- <boardname>_defconfig (buildroot config for our board)
    |   +-- uClibc.config (optional)
    +-- patches/
    |   +-- (here patches to be applied)
    |
    +-- Config.in (if using a br2-external tree)
    +-- external.mk (if using a br2-external tree)
    +-- external.desc (if using a br2-external tree)
    

  • 要使用外部树，请像这样调用 buildroot：make BR2_EXTERNAL=$PATHTOEXTTREE $COMMAND
  • 要将 buildroot 配置保存到我们的外部树：make BR2_EXTERNAL=$PATHTOEXTTREE savedefconfig
  • 要将内核配置保存到我们的外部树：make BR2_EXTERNAL=$PATHTOEXTTREE linux-update-defconfig

• expat
• json-c