Android boot image의 kernel·ramdisk 적재

QUESTION

Android boot image의 kernel·ramdisk 적재 단계에서 실제로 바뀌는 상태는 무엇인가?

STRUCTURE

객체와 주소가 놓이는 구조

CALL PATH

실행 흐름

STATE LEDGER

단계별 입력과 출력

각 단계의 입력과 처리 후 바뀌는 상태를 정리한 표다. 사용 중인 소스 버전에서 다른 필드를 변경한다면 그에 맞춰 표도 수정한다.

분석 범위의 전제와 비교해, 다음 단계에 잘못된 입력을 넘긴 부분부터 조사한다.

VISUAL WALKTHROUGH

주소와 객체의 이동을 그림으로 읽기

아래 그림은 주소, 객체를 사용하는 기간, 제어권을 넘기는 시점을 중심으로 정리했다. 실제 주소와 크기는 사용 중인 보드의 bdinfo, 맵 파일과 링커 심벌로 확인한다.

UPSTREAM SOURCE

원본 코드

아래 코드는 LK / classic AOSP aboot AOSP 9d6e28f의 app/aboot/aboot.c에서 482-570줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

482	enter_critical_section();
483
484	/* do any platform specific cleanup before kernel entry */
485	platform_uninit();
486
487	arch_disable_cache(UCACHE);
488
489#if ARM_WITH_MMU
490	arch_disable_mmu();
491#endif
492	bs_set_timestamp(BS_KERNEL_ENTRY);
493	entry(0, machtype, (unsigned*)tags_phys);
494}
495
496unsigned page_size = 0;
497unsigned page_mask = 0;
498
499#define ROUND_TO_PAGE(x,y) (((x) + (y)) & (~(y)))
500
501static unsigned char buf[4096]; //Equal to max-supported pagesize
502#if DEVICE_TREE
503static unsigned char dt_buf[4096];
504#endif
505
506int boot_linux_from_mmc(void)
507{
508	struct boot_img_hdr *hdr = (void*) buf;
509	struct boot_img_hdr *uhdr;
510	unsigned offset = 0;
511	unsigned long long ptn = 0;
512	int index = INVALID_PTN;
513
514	unsigned char *image_addr = 0;
515	unsigned kernel_actual;
516	unsigned ramdisk_actual;
517	unsigned imagesize_actual;
518	unsigned second_actual = 0;
519
520#if DEVICE_TREE
521	struct dt_table *table;
522	struct dt_entry *dt_entry_ptr;
523	unsigned dt_table_offset;
524	uint32_t dt_actual;
525#endif
526
527	uhdr = (struct boot_img_hdr *)EMMC_BOOT_IMG_HEADER_ADDR;
528	if (!memcmp(uhdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
529		dprintf(INFO, "Unified boot method!\n");
530		hdr = uhdr;
531		goto unified_boot;
532	}
533	if (!boot_into_recovery) {
534		index = partition_get_index("boot");
535		ptn = partition_get_offset(index);
536		if(ptn == 0) {
537			dprintf(CRITICAL, "ERROR: No boot partition found\n");
538                    return -1;
539		}
540	}
541	else {
542		index = partition_get_index("recovery");
543		ptn = partition_get_offset(index);
544		if(ptn == 0) {
545			dprintf(CRITICAL, "ERROR: No recovery partition found\n");
546                    return -1;
547		}
548	}
549
550	if (mmc_read(ptn + offset, (unsigned int *) buf, page_size)) {
551		dprintf(CRITICAL, "ERROR: Cannot read boot image header\n");
552                return -1;
553	}
554
555	if (memcmp(hdr->magic, BOOT_MAGIC, BOOT_MAGIC_SIZE)) {
556		dprintf(CRITICAL, "ERROR: Invalid boot image header\n");
557                return -1;
558	}
559
560	if (hdr->page_size && (hdr->page_size != page_size)) {
561		page_size = hdr->page_size;
562		page_mask = page_size - 1;
563	}
564
565	/*
566	 * Update the kernel/ramdisk/tags address if the boot image header
567	 * has default values, these default values come from mkbootimg when
568	 * the boot image is flashed using fastboot flash:raw
569	 */
570	update_ker_tags_rdisk_addr(hdr);

READING CONTRACT

발췌 범위와 읽기 기준

원문 482-570줄에는 앞뒤 문맥이 포함됩니다. 기준 구문 int boot_linux_from_mmc(void)은 L506에 있습니다. 발췌 첫 줄을 함수 정의의 시작으로 해석하지 않습니다.

header field의 byte size와 storage page alignment를 분리한다. destination address를 header가 직접 제공하는 모델의 신뢰 경계도 확인한다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

148
149char max_download_size[MAX_RSP_SIZE];
150char sn_buf[13];
151
152extern int emmc_recovery_init(void);
153
154#if NO_KEYPAD_DRIVER
155extern int fastboot_trigger(void);
156#endif
157
158static void update_ker_tags_rdisk_addr(struct boot_img_hdr *hdr)
159{
160	/* overwrite the destination of specified for the project */
161	/*
162	 * Update the value to sane values only when the boot image
163	 * header does not have sane values, this is added to make sure
164	 * that we always use values from boot.img header and use the
165	 * force values when boot image header has default values.
166	 */
167#ifdef ABOOT_FORCE_KERNEL_ADDR
168	if (hdr->kernel_addr == ABOOT_DEFAULT_KERNEL_ADDR)
169		hdr->kernel_addr = ABOOT_FORCE_KERNEL_ADDR;
170#endif
171#ifdef ABOOT_FORCE_RAMDISK_ADDR
172	if (hdr->ramdisk_addr == ABOOT_DEFAULT_RAMDISK_ADDR)
173		hdr->ramdisk_addr = ABOOT_FORCE_RAMDISK_ADDR;
174#endif
175#ifdef ABOOT_FORCE_TAGS_ADDR
176	if (hdr->tags_addr == ABOOT_DEFAULT_TAGS_ADDR)
177		hdr->tags_addr = ABOOT_FORCE_TAGS_ADDR;
178#endif
179}
180
181static void ptentry_to_tag(unsigned **ptr, struct ptentry *ptn)
182{
183	struct atag_ptbl_entry atag_ptn;
184
185	memcpy(atag_ptn.name, ptn->name, 16);
186	atag_ptn.name[15] = '\0';
187	atag_ptn.offset = ptn->start;
188	atag_ptn.size = ptn->length;
189	atag_ptn.flags = ptn->flags;
190	memcpy(*ptr, &atag_ptn, sizeof(struct atag_ptbl_entry));
191	*ptr += sizeof(struct atag_ptbl_entry) / sizeof(unsigned);
192}
193
194unsigned char *update_cmdline(const char * cmdline)
195{
196	int cmdline_len = 0;
197	int have_cmdline = 0;
198	unsigned char *cmdline_final = NULL;
199	int pause_at_bootup = 0;
200
201	if (cmdline && cmdline[0]) {
202		cmdline_len = strlen(cmdline);
203		have_cmdline = 1;
204	}
205	if (target_is_emmc_boot()) {
206		cmdline_len += strlen(emmc_cmdline);
207	}
208
209	cmdline_len += strlen(usb_sn_cmdline);
210	cmdline_len += strlen(sn_buf);
211
212	if (target_pause_for_battery_charge()) {
213		pause_at_bootup = 1;
214		cmdline_len += strlen(battchg_pause);
215	}
216
217	if(target_use_signed_kernel() && auth_kernel_img) {
218		cmdline_len += strlen(auth_kernel);
219	}
220
221	/* Determine correct androidboot.baseband to use */
222	switch(target_baseband())
223	{
224		case BASEBAND_APQ:
225			cmdline_len += strlen(baseband_apq);
226			break;
227
228		case BASEBAND_MSM:
229			cmdline_len += strlen(baseband_msm);
230			break;

DETAILS

내부 동작을 더 깊게 읽기

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

OBJECT LIFETIME

객체와 수명

FAILURE PATH

실패 지점과 증상

로그가 끊긴 함수뿐 아니라 그 함수에 주소, 크기, 플래그를 전달한 앞 단계도 조사한다. 오류 처리 후 등록된 객체나 하드웨어 설정이 그대로 남아 있는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스에서 파악한 동작을 실제 빌드 결과와 대상 보드의 로그로 확인한다. 아래 명령의 보드 이름과 툴체인 접두사는 사용 중인 빌드 환경에 맞게 바꾼다.

LAB

직접 확인할 실험

1. 01
   boot.img를 unpack해 계산 offset 대조

   boot_img_hdr 진입 전후에 boot header page의 주소·크기·반환값과 timestamp를 함께 남긴다.

2. 02
   kernel_size 경계값 변조 후 거부 확인

   page rounding 진입 전후에 kernel payload의 주소·크기·반환값과 timestamp를 함께 남긴다.

3. 03
   RAM 영역 겹침 검사를 추가해 실패 로그 확인

   kernel/ramdisk load 진입 전후에 ramdisk payload의 주소·크기·반환값과 timestamp를 함께 남긴다.

PRIMARY REFERENCES

원문과 다음 글