一种对无符号VxWorks固件系统的符号恢复方法研究

首先要知道，VxWorks使用的是一种外部符号文件，它不像我们通常的ELF文件中的符号和ELF共存，VxWorks的符号文件在固件中能找到的话最好不过了，找不到也是没有办法的事情，本来VxWorks也不开源。

如何知道固件系统中VxWorks是否有符号文件？

通过Google我们搜索到了VxWorks的一些开发者手册，在其中找到了一段话：

这里我们得知usrInit()函数用于初始化栈，可以在binwalk解包出来的文件夹中，查找含有usrInit字符串的文件，如果文件存在，则表示包含外部符号文件，反之则不包含。其他还可以尝试比如bzero、bfill字符串。如果没有符号也不要紧，这正是本篇所要介绍的内容。

非常幸运的是，我们在之前28个不同路由器固件中，发现了ARM和MIPS架构的带符号信息的VxWorks固件，接下来介绍如何利用外部符号文件和IDAPython来恢复符号信息。

符号文件内容如下面两张图，其中包含了一些条目信息，以及函数名称字符串：

接下来探索符号文件的格式。每个外部符号文件的开头4字节表示当前符号文件大小，比如这个符号文件大小为181551字节，用十六进制表示刚好是0x2c52f：

紧邻的4字节表示符号条目数，然后每8字节为一个条目信息：

这里说一下条目数是怎么观察来的，每8字节为一个条目信息，我们可以把条目数量乘8，得到条目结束位置，条目结束位置肯定是会有一些与条目信息不同的特征，以此来猜测这个数值就是表示条目数量。首先0x1b5c * 8 = 0xdae0位置：

我们跳转到文件中0xdae0位置，观察到明显从之前的条目特征变为字符串特征，这里加上8字节是因为要加上文件开头的8个字节的文件信息，刚好就是函数名称字符串开始的位置：

接下来对每个条目信息进行解读。每8个字节被分为3部分，如下图，单字节的0x54，ASCII字符“T”，表示符号类型；紧邻3个字节表示从函数字符串开始位置的偏移；最后四字节表示在VxWorks中的地址，很明显是加上了加载基址后的地址：

用结构体表示如下：

struct sym_info{
 char type;
 char offset[3];
 unsigned int address;
};

符号类型和ELF文件中所表示的符号类型相同，也就是我们使用`readelf -s`也会输出符号类型，所有符号类型表示如下：

值得注意的是“T”类型、“B”类型和“D”类型在符号文件中是最多的，那么我们只要按照不同的类型进行命名即可。

上一步得知了符号文件中信息所表示的意义之后，只需要查阅IDAPython API手册，然后解析出符号，编写脚本即可完成符号解析工作。完整脚本如下：

# coding=utf-8
# IDA Pro 7.6 
# IDA Python3 API

import ida_ua
import ida_funcs
import idc
import struct
import os

sym_file = "/path/to/symbol/file"
vxworks_file_name = "/path/to/vxworks/file"
load_addr = 0x40205000

file_size = os.path.getsize(vxworks_file_name)
ROM_end_addr = file_size + load_addr

def find_sym_str(offset):
    index = 0
    while True:
        if str_table[offset+index] != 0:
            index += 1
        else:
            break
    return str_table[offset: offset+index]

def u32(data):
    '''Big endian'''
    return struct.unpack(">I",data)[0]


with open(sym_file, 'rb') as f:
    sym_file_contents = f.read()


sym_file_size = u32(sym_file_contents[:4])
sym_count = u32(sym_file_contents[4:8])

sym_table_start = 8
str_table_start = sym_count * 8 + 8

sym_table = sym_file_contents[sym_table_start: str_table_start]
str_table = sym_file_contents[str_table_start: ]


sym_results = []

for i in range(0, sym_count * 8, 8):
    single = sym_table[i: i+8]
    sym_type = single[0]
    sym_str_offset = u32(b'x00'+single[1: 4])
    sym_func_addr = u32(single[4: ])
    sym_name = find_sym_str(sym_str_offset)

    sym_results.append((sym_type, sym_str_offset, sym_func_addr, sym_name.decode('utf-8')))


def makecode(addr, name, flag):
    ida_ua.create_insn(addr)
    ida_funcs.add_func(addr)
    idc.set_name(addr, name, flag)


def my_parser():
    for sym_type, b, sym_func_addr, sym_name in sym_results:
        if sym_type == ord('T'):
            # global function name
            makecode(sym_func_addr, sym_name, idc.SN_CHECK)
            # pass

        elif sym_type == ord('t'): 
            # local function name
            makecode(sym_func_addr, sym_name, idc.SN_LOCAL)
            # idc.set_name(sym_func_addr, sym_name, idc.SN_LOCAL)
            # pass

        elif sym_type == ord('A'):
            pass

        elif sym_type == ord('B'):
            idc.set_name(sym_func_addr, sym_name)
            # pass

        elif sym_type == ord('D'):
            idc.set_name(sym_func_addr, sym_name)
            # pass

        else:
            print(chr(sym_type))

def check_segment():
    address_list = []
    for sym_type, b, address, d in sym_results:
        if sym_type == ord('B'):
            address_list.append(address)
  
    address_list.sort()

    # check the address
    value = u32(idc.get_bytes(address_list[-1], 4))
    if value != 0xffffffff:
        return

    # calc bss end address
    bss_start = (ROM_end_addr + 0x1000) & 0xfffff000
    bss_end = (address_list[-1] + 0x1000) & 0xfffff000
      
    # create bss segment
    idc.AddSeg(bss_start, bss_end, 0, 1, idaapi.saRelPara, idaapi.scPub)

if __name__ == "__main__":
    check_segment()
    my_parser()

恢复效果如下：

我们在研究过程中，在没有发现带符号的VxWorks之前，花费了大量时间，尝试了多种可能有用的方法，并得到一些结论：

* IDA flair插件无法使用于此场景，原因为：无法找到VxWorks源码然后通过FLIRT生成sig文件来进行恢复。此插件只适用于标准的windows或Linux系统库函数的识别。

* 经过测试，aliyun IDA Finger插件无法完成此功能，无法对函数进行识别，甚至无法识别ARM架构下已有的符号信息，只适用于标准库函数的识别。

* 这里尝试了一种方法，通过buildroot编译不同的交叉编译工具，然后利用泄露的VxWorks 5.5.1代码对某些函数进行编译，来和固件中的汇编代码进行比对查看差异，试图通过这张方式来恢复函数名称。这里尝试了gcc 4.5.x 到 gcc 10.x 版本的工具，结果不尽人意，高低版本的gcc只存在栈的差异，汇编指令都是相同的，和固件中的汇编指令差异太大，无法通过这种方式来达到目标。并且这种方式就算是可行，但也过于依赖源码，对于没有泄露的VxWorks版本没有任何办法。

其他可能有用的识别方法：

* 初步研究过程中，只需要对一些如memset、memcpy、strcpy、printf等基础函数的识别，可以通过其参数特征和返回值特征对其进行判断。这里举个两个例子，比如strcpy会将参数二位置的内容拷贝到参数一所在的内存，并且以0作为循环结束标识，返回一个字符串指针，通过这三个条件总结出约束条件，再通过泄露的源码对约束条件进行修饰，比如变量个数的准确性，参数的准确性等等，再通过模拟执行等方式，将整个函数块通过unicorn模拟，执行结束后判断参数一是否等于参数二的内容，那么就可以断定此函数是strcpy。printf函数作为可变参数的函数，其内部实现比较复杂，并且模拟执行可能不会像正常函数那样输出一些字符串到终端，但可以肯定的是，printf必须带有一个字符串参数，即参数一，在printf内部判断字符串结尾必定以0结束，并且字符串可能是格式化字符串带有“%”等特征，因此只需要判断函数是否符合printf可变参数长度特征，并且包含字符串特征，但不排除一些其他特征来进行识别。

* 通过VxWorks错误代码编号来确定报错位置，确定报错函数，然后通过报错函数的上下文进行分析，找到打印输出函数，以此方法进行识别。错误代码参考此链接：https://ppiazi.tistory.com/entry/Vxworks-Error-Codes ，识别效果还需要试验考量。

https://www.uio.no/studier/emner/matnat/fys/FYS4220/h11/undervisningsmateriale/laboppgaver-rt/vxworks_architecture_supplement_6.2.pdf

https://www.hex-rays.com/products/ida/support/idapython_docs/

https://github.com/fireundubh/IDA7-Rizzo