← Bootloader DUJINLABS.COM

LK / classic AOSP aboot · source analysis

Android boot image의 kernel·ramdisk 적재

boot partition header를 읽고 page 단위 offset으로 kernel, ramdisk, second stage를 배치하는 고전 경로를 읽습니다.

Series
16 / 20
Baseline
AOSP 9d6e28f
Commit
9d6e28f24ba0
Source
app/aboot/aboot.c:482

Android boot image의 kernel·ramdisk 적재 단계에서 실제로 바뀌는 상태는 무엇인가?

header field의 byte size와 storage page alignment를 분리한다. destination address를 header가 직접 제공하는 모델의 신뢰 경계도 확인한다.

각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 이 문장을 기준으로 코드를 위에서 아래로 읽으면, 함수 이름을 외우는 대신 어느 시점에 어떤 상태를 신뢰할 수 있는지 판단할 수 있다.

범위 주의

이 페이지는 현재 upstream LK가 아니라 classic AOSP aboot 고정 커밋을 다룬다. 현대 Android의 A/B, AVB, GKI 부트 경로와 동일하다고 간주하지 않는다.

객체와 주소가 놓이는 구조

그림 1. Android boot image의 kernel·ramdisk 적재에서 입력, 내부 상태, 출력의 경계
입력과 전제내부 상태외부로 공개되는 결과
01boot header page
02kernel payload
03ramdisk payload
04tags/DT area
INVARIANT

각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다.

boot_img_hdr / image buffers를 중심에 놓고 왼쪽의 입력이 어떤 검사를 거쳐 오른쪽 결과로 공개되는지 표시했다. 실제 디버깅에서는 각 블록의 주소와 크기를 로그에 대입한다.

실행 흐름

그림 2. 정상 경로의 주요 호출과 상태 전달
boot partition
boot_img_hdr
page rounding
kernel/ramdisk load
boot_linux

화살표는 단순 호출 순서만 뜻하지 않는다. 각 단계가 성공을 반환할 때 다음 단계가 읽을 수 있는 상태가 무엇인지 함께 확인한다. 오류 반환이 발생하면 바로 다음 화살표로 진행하지 않고 해당 단계의 정리 경로를 따라간다.

단계별 입력과 출력

호출 순서를 함수 이름으로만 외우지 않고, 각 단계가 무엇을 받아 무엇을 공개하는지 적은 표다. 실제 소스에서 생산 필드가 다르면 표를 고치는 방식으로 사용한다.

#단계진입 시 신뢰할 상태성공 뒤 남아야 할 상태다음 소비자
01boot partitionclassic aboot storage boot pathboot header pageboot_img_hdr
02boot_img_hdrboot partition 완료 상태kernel payloadpage rounding
03page roundingboot_img_hdr 완료 상태ramdisk payloadkernel/ramdisk load
04kernel/ramdisk loadpage rounding 완료 상태tags/DT areaboot_linux
05boot_linuxkernel/ramdisk load 완료 상태tags/DT area최종 최종 부트로더 이미지 또는 다음 stage

공통 불변 조건: 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 한 단계의 출력이 다음 단계의 입력 조건을 만족하지 않으면 오류가 실제로 드러난 위치보다 앞의 생산 단계부터 조사한다.

원본 코드

아래 코드는 LK / classic AOSP aboot AOSP 9d6e28f의 app/aboot/aboot.c에서 482-570줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

commit9d6e28f24ba01e563d0b3801c6c6c95d756db623symbolint boot_linux_from_mmc(void)
482	enter_critical_section();
483
484	/* do any platform specific cleanup before kernel entry */
485	platform_uninit();
486
487	arch_disable_cache(UCACHE);
488
489#if ARM_WITH_MMU
490	arch_disable_mmu();
491#endif
492	bs_set_timestamp(BS_KERNEL_ENTRY);
493	entry(0, machtype, (unsigned*)tags_phys);
494}
495
496unsigned page_size = 0;
497unsigned page_mask = 0;
498
499#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))
500
501static unsigned char buf[4096]; //Equal to max-supported pagesize
502#if DEVICE_TREE
503static unsigned char dt_buf[4096];
504#endif
505
506int boot_linux_from_mmc(void)
507{
508	struct boot_img_hdr *hdr = (void*) buf;
509	struct boot_img_hdr *uhdr;
510	unsigned offset = 0;
511	unsigned long long ptn = 0;
512	int index = INVALID_PTN;
513
514	unsigned char *image_addr = 0;
515	unsigned kernel_actual;
516	unsigned ramdisk_actual;
517	unsigned imagesize_actual;
518	unsigned second_actual = 0;
519
520#if DEVICE_TREE
521	struct dt_table *table;
522	struct dt_entry *dt_entry_ptr;
523	unsigned dt_table_offset;
524	uint32_t dt_actual;
525#endif
526
527	uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;
528	if (!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
529		dprintf(INFO, "Unified boot method!\n");
530		hdr = uhdr;
531		goto unified_boot;
532	}
533	if (!boot_into_recovery) {
534		index = partition_get_index("boot");
535		ptn = partition_get_offset(index);
536		if(ptn == 0) {
537			dprintf(CRITICAL, "ERROR: No boot partition found\n");
538                    return -1;
539		}
540	}
541	else {
542		index = partition_get_index("recovery");
543		ptn = partition_get_offset(index);
544		if(ptn == 0) {
545			dprintf(CRITICAL, "ERROR: No recovery partition found\n");
546                    return -1;
547		}
548	}
549
550	if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {
551		dprintf(CRITICAL, "ERROR: Cannot read boot image header\n");
552                return -1;
553	}
554
555	if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
556		dprintf(CRITICAL, "ERROR: Invalid boot image header\n");
557                return -1;
558	}
559
560	if (hdr->page_size && (hdr->page_size != page_size)) {
561		page_size = hdr->page_size;
562		page_mask = page_size - 1;
563	}
564
565	/*
566	 * Update the kernel/ramdisk/tags address if the boot image header
567	 * has default values, these default values come from mkbootimg when
568	 * the boot image is flashed using fastboot flash:raw
569	 */
570	update_ker_tags_rdisk_addr(hdr);

482-570줄 해설

원본에 보이는 모든 줄을 순서대로 설명한다. 빈 줄도 block 경계로 남겨, 코드와 설명의 위치가 어긋나지 않게 했다.

482enter_critical_section();

enter_critical_section(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 boot header page 항목과 대조한다.

483(빈 줄)

enter_critical_section();까지의 동작과 /* do any platform specific cleanup before kernel entry */에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 kernel payload 상태가 아래 블록의 입력으로 사용되는 경계다.

484/* do any platform specific cleanup before kernel entry */

원본 주석이 'do any platform specific cleanup before kernel entry'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

485platform_uninit();

platform_uninit(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

486(빈 줄)

platform_uninit();까지의 동작과 arch_disable_cache(UCACHE);에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

487arch_disable_cache(UCACHE);

arch_disable_cache(UCACHE)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

488(빈 줄)

arch_disable_cache(UCACHE);까지의 동작과 #if ARM_WITH_MMU에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

489#if ARM_WITH_MMU

#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

490arch_disable_mmu();

arch_disable_mmu(인자 없음)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

491#endif

#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

492bs_set_timestamp(BS_KERNEL_ENTRY);

bs_set_timestamp(BS_KERNEL_ENTRY)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

493entry(0, machtype, (unsigned*)tags_phys);

entry(0, machtype, (unsigned*)tags_phys)를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

494}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

495(빈 줄)

}까지의 동작과 unsigned page_size = 0;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

496unsigned page_size = 0;

unsigned page_size = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

497unsigned page_mask = 0;

unsigned page_mask = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

498(빈 줄)

unsigned page_mask = 0;까지의 동작과 #define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

499#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))

#define 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

500(빈 줄)

#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))까지의 동작과 static unsigned char buf[4096]; //Equal to max-supported pagesize에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

501static unsigned char buf[4096]; //Equal to max-supported pagesize

원본 501번 줄의 static unsigned char buf[4096]; //Equal to max-supported pagesize는 앞의 이전 block 경계 결과를 받아 다음 #if DEVICE_TREE로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.

502#if DEVICE_TREE

#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

503static unsigned char dt_buf[4096];

static unsigned char dt_buf[4096]를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

504#endif

#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

505(빈 줄)

#endif까지의 동작과 int boot_linux_from_mmc(void)에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

506int boot_linux_from_mmc(void)

boot_linux_from_mmc 함수 정의가 시작된다. 입력은 void이며, classic aboot storage boot path에서 호출된다는 전제로 반환 전까지의 상태 변화를 읽는다.

507{

바로 위 함수·조건·초기화의 block이 열린다. 이 scope 안에서 만들어지는 지역 객체와 오류 이동 지점을 boot_img_hdr / image buffers의 수명에 맞춰 묶어 읽는다.

508struct boot_img_hdr *hdr = (void*) buf;

struct boot_img_hdr *hdr = (void*) buf를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

509struct boot_img_hdr *uhdr;

struct boot_img_hdr *uhdr를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

510unsigned offset = 0;

unsigned offset = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

511unsigned long long ptn = 0;

unsigned long long ptn = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

512int index = INVALID_PTN;

int index = INVALID_PTN를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

513(빈 줄)

int index = INVALID_PTN;까지의 동작과 unsigned char *image_addr = 0;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

514unsigned char *image_addr = 0;

unsigned char *image_addr = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

515unsigned kernel_actual;

unsigned kernel_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

516unsigned ramdisk_actual;

unsigned ramdisk_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

517unsigned imagesize_actual;

unsigned imagesize_actual를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

518unsigned second_actual = 0;

unsigned second_actual = 0를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

519(빈 줄)

unsigned second_actual = 0;까지의 동작과 #if DEVICE_TREE에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

520#if DEVICE_TREE

#if 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

521struct dt_table *table;

struct dt_table *table를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

522struct dt_entry *dt_entry_ptr;

struct dt_entry *dt_entry_ptr를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

523unsigned dt_table_offset;

unsigned dt_table_offset를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

524uint32_t dt_actual;

원본 524번 줄의 uint32_t dt_actual;는 앞의 unsigned dt_table_offset; 결과를 받아 다음 #endif로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.

525#endif

#endif 전처리 지시문으로 이 줄 아래의 code가 binary에 존재할지를 결정한다. architecture 또는 build stage 조건을 여닫는다. 현재 .config와 compiler의 -dD -E 출력에서 실제로 남은 branch를 확인한 뒤 line-by-line 흐름에 포함한다.

526(빈 줄)

#endif까지의 동작과 uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

527uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;

uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR를 선언한다. 함수 안 선언이면 현재 stack frame, file scope와 static이면 image의 data/BSS에 놓인다. 이 값이 boot_img_hdr / image buffers를 직접 소유하는지 pointer만 빌리는지, classic aboot storage boot path를 벗어난 뒤에도 참조되는지 다음 대입과 callback 등록까지 따라간다.

528if (!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {

!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

529dprintf(INFO, "Unified boot method!\n");

dprintf(INFO, "Unified boot method!\n")를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

530hdr = uhdr;

hdruhdr를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 boot_linux 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

531goto unified_boot;

'goto unified_boot;'로 직선 경로를 벗어난다. 이동 대상에서 boot_img_hdr / image buffers에 걸린 lock, allocation, list 등록을 어디까지 되돌리는지 이어서 확인한다.

532}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

533if (!boot_into_recovery) {

!boot_into_recovery를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

534index = partition_get_index("boot");

indexpartition_get_index("boot")를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 ptn = partition_get_offset(index);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

535ptn = partition_get_offset(index);

ptnpartition_get_offset(index)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if(ptn == 0) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

536if(ptn == 0) {

ptn == 0를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

537dprintf(CRITICAL, "ERROR: No boot partition found\n");

dprintf(CRITICAL, "ERROR: No boot partition found\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

538return -1;

-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.

539}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

540}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

541else {

원본 541번 줄의 else {는 앞의 } 결과를 받아 다음 index = partition_get_index("recovery");로 넘기는 중간 연산이다. 이 줄이 바꾸는 register·field·list link를 찾고, 변경 뒤에도 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건이 유지되는지 확인한다.

542index = partition_get_index("recovery");

indexpartition_get_index("recovery")를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 ptn = partition_get_offset(index);가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

543ptn = partition_get_offset(index);

ptnpartition_get_offset(index)를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 바로 다음 if(ptn == 0) {가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

544if(ptn == 0) {

ptn == 0를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

545dprintf(CRITICAL, "ERROR: No recovery partition found\n");

dprintf(CRITICAL, "ERROR: No recovery partition found\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

546return -1;

-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.

547}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

548}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

549(빈 줄)

}까지의 동작과 if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

550if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {

mmc_read(ptn + offset, (unsigned int *) buf, page_size)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

551dprintf(CRITICAL, "ERROR: Cannot read boot image header\n");

dprintf(CRITICAL, "ERROR: Cannot read boot image header\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

552return -1;

-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.

553}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

554(빈 줄)

}까지의 동작과 if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

555if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {

memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

556dprintf(CRITICAL, "ERROR: Invalid boot image header\n");

dprintf(CRITICAL, "ERROR: Invalid boot image header\n")를 호출한다. 반환 결과는 현재 줄 또는 다음 return -1;에서 검사되는 흐름이다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

557return -1;

-1를 호출자에게 반환한다. caller가 이 값을 검사한 뒤 부분 초기화된 boot_img_hdr / image buffers를 정리하거나 다음 단계로 진행하는지 확인한다.

558}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

559(빈 줄)

}까지의 동작과 if (hdr->page_size && (hdr->page_size != page_size)) {에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

560if (hdr->page_size && (hdr->page_size != page_size)) {

hdr->page_size && (hdr->page_size != page_size)를 검사해 진행 여부를 가른다. 거짓 경로와 참 경로 중 어느 쪽이 '각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다' 조건을 보존하는지 다음 return 또는 goto까지 따라간다.

561page_size = hdr->page_size;

page_sizehdr->page_size를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 주소·크기 값이면 단위와 정렬, 덧셈 overflow를 함께 검산한다. 바로 다음 page_mask = page_size - 1;가 이 값을 다시 읽으므로 그 전까지 완성된 값이어야 한다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

562page_mask = page_size - 1;

page_maskpage_size - 1를 = 연산으로 반영해 현재 scope의 계산 결과를 저장한다. 이후 boot_linux 단계가 이 값을 처음 소비하는 지점을 찾는다. 실패 경로가 이 field를 이전 값으로 되돌리거나 객체 전체를 폐기하는지도 확인한다.

563}

현재 block, initializer 또는 호출의 경계를 닫는다. 이 지점까지 획득한 resource가 성공 경로와 실패 경로에서 대칭인지 점검한다.

564(빈 줄)

}까지의 동작과 /*에서 시작하는 동작을 나누는 빈 줄이다. 앞 블록이 만든 tags/DT area 상태가 아래 블록의 입력으로 사용되는 경계다.

565/*

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

566* Update the kernel/ramdisk/tags address if the boot image header

원본 주석이 'Update the kernel/ramdisk/tags address if the boot image header'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

567* has default values, these default values come from mkbootimg when

원본 주석이 'has default values, these default values come from mkbootimg when'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

568* the boot image is flashed using fastboot flash:raw

원본 주석이 'the boot image is flashed using fastboot flash:raw'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

569*/

원본 주석이 'block boundary'라고 기록한 줄이다. 바로 아래 구현이 이 전제와 같은 순서·단위를 사용하는지 대조한다.

570update_ker_tags_rdisk_addr(hdr);

update_ker_tags_rdisk_addr(hdr)를 호출한다. 반환값을 직접 사용하지 않으므로 이 함수가 실패를 내부 처리하는지 확인해야 한다. pointer 인자는 boot_img_hdr / image buffers의 소유권을 넘기는지 호출 동안만 빌리는지 구분하고, 호출 뒤 공개되는 상태를 tags/DT area 항목과 대조한다.

내부 동작을 더 깊게 읽기

01

진입 조건을 먼저 고정한다

boot partition에서 들어온 실행은 classic aboot storage boot path에 놓여 있다. 이때 interrupt, MMU/cache, stack, heap 중 무엇이 이미 준비되었는지 소스의 호출자까지 올라가 확인한다. 같은 함수라도 SPL, relocation 전후, app thread처럼 호출 문맥이 달라지면 허용되는 API와 지연 시간이 달라진다.

header field의 byte size와 storage page alignment를 분리한다. destination address를 header가 직접 제공하는 모델의 신뢰 경계도 확인한다.

02

중심 객체의 생성과 공개를 나눈다

이 글의 중심 객체는 boot_img_hdr / image buffers다. 메모리를 확보한 시점, 필드를 채운 시점, 전역 list나 다른 subsystem에 공개한 시점을 구분한다. 공개 뒤 오류가 발생한다면 목록에서 제거하고 child, buffer, reference를 역순으로 정리하는지 확인한다.

빌드 산출물 관점에서는 최종 부트로더 이미지 안에 해당 symbol과 section이 실제로 포함되었는지도 map과 objdump로 검증한다.

03

주소, 크기와 정렬을 계산한다

부트 코드의 오류는 논리보다 주소 계산에서 먼저 드러나는 경우가 많다. source range, destination range, header가 말하는 payload size, block 또는 page 단위를 표로 적고 각 구간의 끝 주소를 직접 계산한다. 끝 주소는 start + size - 1인지 exclusive end인지 API 계약을 확인한다.

각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다.

04

성공 flag와 실제 완료 시점을 맞춘다

boot_img_hdr → page rounding → kernel/ramdisk load 구간에서는 부분 초기화 상태가 생길 수 있다. flag, list insertion, callback 등록, storage write 완료 중 무엇이 성공의 기준인지 찾는다. hardware write나 DMA가 포함되면 함수 반환과 장치 완료가 같은 시점인지도 확인한다.

다른 CPU, interrupt handler, USB completion 또는 shell command가 상태를 관찰할 수 있다면 memory ordering과 lock 범위도 함께 읽는다.

05

마지막 handoff의 계약을 적는다

정상 경로는 boot_linux에서 끝난다. 이 단계가 함수 반환인지, scheduler 전환인지, 다른 image로의 비복귀 분기인지 구분한다. 비복귀 handoff라면 cache clean/invalidate, interrupt disable, 장치 quiesce, argument register와 FDT 또는 image address가 최종 점검 항목이다.

반환하는 경로라면 caller가 오류와 부분 성공을 구분하고 다음 후보 또는 복구 경로를 선택하는지 확인한다.

구현을 읽을 때 놓치기 쉬운 부분

01

page 정렬이 모든 component offset을 결정한다

classic header 뒤 kernel, ramdisk, second stage와 DT 영역은 page size에 맞춰 이어진다. 각 offset은 이전 component의 실제 size를 page up한 값으로 계산해야 하며 header field를 byte pointer에 바로 더하면 안 된다.

64-bit 덧셈으로 end를 계산하고 download buffer 범위 안인지 component별로 검증한다.

02

header load address와 target memory map을 대조한다

kernel_addr, ramdisk_addr, tags_addr가 LK/aboot image, heap, framebuffer, secure carveout과 겹치지 않아야 한다. header 값을 강제 override하는 board code가 있다면 최종 destination을 로그에 남긴다.

copy 순서 중 source와 destination이 겹치는 경우를 별도로 처리한다.

03

cmdline과 device tree 선택은 image copy 뒤에도 바뀐다

header cmdline, target 추가 인자, serial number와 boot mode가 최종 kernel command line으로 합쳐진다. 길이 제한과 NUL 종료, 중복 보안 flag의 우선순위를 확인한다.

DT table을 쓰는 경로에서는 platform id와 revision match가 실패할 때 fallback entry가 무엇인지 기록한다.

객체와 수명

대상만들어지는 시점유효 범위확인할 조건
boot_img_hdr / image buffersboot_img_hdrboot_linux 또는 오류 정리 완료까지각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다.
입력 buffer / metadataboot partitionparse와 검증이 끝날 때까지길이, 정렬, 소유권, 변조 가능성
등록된 list / descriptorpage roundingsubsystem 종료 또는 image handoff까지이중 등록, dangling pointer, 오류 unwind
hardware 또는 persistent state실제 write/probe가 완료된 뒤reset 또는 명시적 해제·갱신까지flush, timeout, 전원 차단, rollback
최종 부트로더 이미지link/image 생성 시점다음 stage가 새 image로 교체할 때까지load address, entry, section과 header 일치

실패 지점과 증상

#조건관찰되는 증상먼저 볼 단계
01header size overflowread 길이 wrapboot_img_hdr
02destination overlapkernel이 ramdisk 덮음page rounding
03page size 오판다음 payload offset 오류kernel/ramdisk load

로그가 끊긴 마지막 함수만 고치지 않는다. 그 함수가 받은 주소, size, flag가 만들어진 앞 단계까지 올라가고, 오류 뒤 등록 객체와 hardware 상태가 남았는지도 확인한다.

소스 밖에서 확인할 증거

소스 해석은 실제 빌드 산출물과 target 로그로 닫아야 한다. 아래 명령의 보드 이름과 toolchain prefix는 사용 중인 빌드 환경에 맞게 바꾼다.

#목적명령 또는 계측판정 기준
01ELF symbolnm -n build-*/lk.elf | grep 'int boot_linux_from_mmc'aboot app과 storage/USB callback의 link 주소를 확인한다.
02boot imageunpack_bootimg --boot_img boot.img --out outheader version, page size, kernel·ramdisk·DT 영역을 분리해 계산한다.
03partition 정보fastboot getvar allbootloader가 보는 slot, partition size, unlocked 상태를 기록한다.
04USB protocolfastboot -v <command>host request와 target response가 끊기는 packet을 찾는다.
05flash 경계partition base + offset + length 직접 계산block 단위와 byte 단위를 섞지 않았는지 검증한다.

직접 확인할 실험

  1. 01
    boot.img를 unpack해 계산 offset 대조

    boot_img_hdr 진입 전후에 boot header page의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다.

  2. 02
    kernel_size 경계값 변조 후 거부 확인

    page rounding 진입 전후에 kernel payload의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다.

  3. 03
    RAM 영역 겹침 검사를 추가해 실패 로그 확인

    kernel/ramdisk load 진입 전후에 ramdisk payload의 주소·크기·반환값과 timestamp를 함께 남긴다. 결과는 정상 부팅 여부로 끝내지 말고 각 payload의 rounded read range와 destination range가 storage와 RAM의 허용 범위 안에 있어야 한다. 조건이 처음 깨지는 줄을 기록한다.

원문과 다음 글