fastboot boot의 임시 image 실행 | LK / classic AOSP aboot

QUESTION

fastboot boot의 임시 image 실행 단계에서 실제로 바뀌는 상태는 무엇인가?

in-place buffer에서 payload를 옮길 때 source와 destination overlap을 확인한다. flash 경로와 달리 reboot 뒤에는 사라지는 임시 상태다.

검증된 download size 안에 모든 header와 payload가 포함되고 copy 순서가 overlap에 안전해야 한다. 이 문장을 기준으로 코드를 위에서 아래로 읽으면, 함수 이름을 외우는 대신 어느 시점에 어떤 상태를 신뢰할 수 있는지 판단할 수 있다.

범위 주의

이 페이지는 현재 upstream LK가 아니라 classic AOSP aboot 고정 커밋을 다룬다. 현대 Android의 A/B, AVB, GKI 부트 경로와 동일하다고 간주하지 않는다.

STRUCTURE

객체와 주소가 놓이는 구조

그림 1. fastboot boot의 임시 image 실행에서 입력, 내부 상태, 출력의 경계

입력과 전제내부 상태외부로 공개되는 결과

01download buffer

02boot header

03relocated payloads

04kernel entry

CONTRACT

이 흐름의 전제와 실패 조건

fastboot download buffer / boot_img_hdr를 중심에 놓고 왼쪽의 입력이 어떤 검사를 거쳐 오른쪽 결과로 공개되는지 표시했다. 실제 디버깅에서는 각 블록의 주소와 크기를 로그에 대입한다.

CALL PATH

실행 흐름

그림 2. 정상 경로의 주요 호출과 상태 전달

fastboot download

cmd_boot

header check

payload placement

boot_linux

화살표는 단순 호출 순서만 뜻하지 않는다. 각 단계가 성공을 반환할 때 다음 단계가 읽을 수 있는 상태가 무엇인지 함께 확인한다. 오류 반환이 발생하면 바로 다음 화살표로 진행하지 않고 해당 단계의 정리 경로를 따라간다.

STATE LEDGER

단계별 입력과 출력

각 단계의 입력과 처리 후 바뀌는 상태를 정리한 표다. 사용 중인 소스 버전에서 다른 필드를 변경한다면 그에 맞춰 표도 수정한다.

#	단계	진입 시 신뢰할 상태	성공 뒤 남아야 할 상태	다음 소비자
01	`fastboot download`	부트 CPU의 동기 실행 문맥	download buffer	cmd_boot
02	`cmd_boot`	fastboot download 완료 상태	boot header	header check
03	`header check`	cmd_boot 완료 상태	relocated payloads	payload placement
04	`payload placement`	header check 완료 상태	kernel entry	boot_linux
05	`boot_linux`	payload placement 완료 상태	kernel entry	이 단계의 처리 결과를 사용하는 코드

분석 범위의 전제와 비교해, 다음 단계에 잘못된 입력을 넘긴 부분부터 조사한다.

VISUAL WALKTHROUGH

주소와 객체의 이동을 그림으로 읽기

아래 그림은 주소, 객체를 사용하는 기간, 제어권을 넘기는 시점을 중심으로 정리했다. 실제 주소와 크기는 사용 중인 보드의 bdinfo, 맵 파일과 링커 심벌로 확인한다.

그림 3. download buffer에서 kernel·ramdisk·DTB를 꺼내는 배치

크기는 개념 비율이다. 실제 분석에서는 map, symbol과 runtime 출력의 시작·끝 주소를 대입한다.

높은 주소↓ 주소 감소

fastboot download bufferboot.img 전체 입력

parsed headerpage_size와 component size

kernel destinationcopy/decompress 대상

ramdisk destinationinitrd payload

DTB/tags최종 handoff data

aboot stackcopy 중 비중첩

낮은 주소예약 cursor 진행 방향

그림 4. fastboot boot 명령의 비영속 실행 경로

호출 이름만 나열하지 않고, 각 단계가 다음 단계에 넘기는 상태를 기준으로 실행 순서를 표시한다.

01download 완료 확인

02boot header 검증

03component range 계산

04kernel·ramdisk 배치

05DTB·cmdline update

06USB 정리

07boot_linux

UPSTREAM SOURCE

원본 코드

아래 코드는 LK / classic AOSP aboot AOSP 9d6e28f의 app/aboot/aboot.c에서 1211-1299줄을 그대로 가져온 것이다. 설명을 위해 실제 코드를 가짜 의사 코드로 바꾸지 않았다.

commit9d6e28f24ba01e563d0b3801c6c6c95d756db623anchor · L1235void cmd_boot(const char *arg

1211		/* Validate the device tree table header */
1212		if((table->magic != DEV_TREE_MAGIC) && (table->version != DEV_TREE_VERSION)) {
1213			dprintf(CRITICAL, "ERROR: Cannot validate Device Tree Table \n");
1214			return -1;
1215		}
1216
1217		/* Calculate the offset of device tree within device tree table */
1218		if((dt_entry_ptr = dev_tree_get_entry_ptr(table)) == NULL){
1219			dprintf(CRITICAL, "ERROR: Getting device tree address failed\n");
1220			return -1;
1221		}
1222
1223		/* Read device device tree in the "tags_add */
1224		memmove((void*) hdr->tags_addr,
1225				boot_image_start + dt_image_offset +  dt_entry_ptr->offset,
1226				dt_entry_ptr->size);
1227	} else
1228		return -1;
1229
1230	/* Everything looks fine. Return success. */
1231	return 0;
1232}
1233#endif
1234
1235void cmd_boot(const char *arg, void *data, unsigned sz)
1236{
1237	unsigned kernel_actual;
1238	unsigned ramdisk_actual;
1239	struct boot_img_hdr *hdr;
1240	char *ptr = ((char*) data);
1241	int ret = 0;
1242	uint8_t dtb_copied = 0;
1243
1244	if (sz < sizeof(hdr)) {
1245		fastboot_fail("invalid bootimage header");
1246		return;
1247	}
1248
1249	hdr = (struct boot_img_hdr *)data;
1250
1251	/* ensure commandline is terminated */
1252	hdr->cmdline[BOOT_ARGS_SIZE-1] = 0;
1253
1254	if(target_is_emmc_boot() && hdr->page_size) {
1255		page_size = hdr->page_size;
1256		page_mask = page_size - 1;
1257	}
1258
1259	kernel_actual = ROUND_TO_PAGE(hdr->kernel_size, page_mask);
1260	ramdisk_actual = ROUND_TO_PAGE(hdr->ramdisk_size, page_mask);
1261
1262	/*
1263	 * Update the kernel/ramdisk/tags address if the boot image header
1264	 * has default values, these default values come from mkbootimg when
1265	 * the boot image is flashed using fastboot flash:raw
1266	 */
1267	update_ker_tags_rdisk_addr(hdr);
1268
1269	/* Get virtual addresses since the hdr saves physical addresses. */
1270	hdr->kernel_addr = VA(hdr->kernel_addr);
1271	hdr->ramdisk_addr = VA(hdr->ramdisk_addr);
1272	hdr->tags_addr = VA(hdr->tags_addr);
1273
1274	/* sz should have atleast raw boot image */
1275	if (page_size + kernel_actual + ramdisk_actual > sz) {
1276		fastboot_fail("incomplete bootimage");
1277		return;
1278	}
1279
1280#if DEVICE_TREE
1281	/* find correct dtb and copy it to right location */
1282	ret = copy_dtb(data);
1283
1284	dtb_copied = !ret ? 1 : 0;
1285#endif
1286
1287	/* Load ramdisk & kernel */
1288	memmove((void*) hdr->ramdisk_addr, ptr + page_size + kernel_actual, hdr->ramdisk_size);
1289	memmove((void*) hdr->kernel_addr, ptr + page_size, hdr->kernel_size);
1290
1291#if DEVICE_TREE
1292	/*
1293	 * If dtb is not found look for appended DTB in the kernel.
1294	 * If appended dev tree is found, update the atags with
1295	 * memory address to the DTB appended location on RAM.
1296	 * Else update with the atags address in the kernel header
1297	 */
1298	if (!dtb_copied) {
1299		void *dtb;

READING CONTRACT

발췌 범위와 읽기 기준

원문 1211-1299줄에는 앞뒤 문맥이 포함됩니다. 기준 구문 void cmd_boot(const char *arg은 L1235에 있습니다. 발췌 첫 줄을 함수 정의의 시작으로 해석하지 않습니다.

in-place buffer에서 payload를 옮길 때 source와 destination overlap을 확인한다. flash 경로와 달리 reboot 뒤에는 사라지는 임시 상태다.

RELATED SOURCE

함께 읽어야 하는 원본 코드

첫 코드 조각만으로 동작이 완성되지 않는 경우 호출 매크로, 객체 정의와 실제 실행 목록을 같은 페이지에 묶었다. 각 조각은 같은 기준 commit에서 가져왔다.

01. download image 안의 DTB를 골라 handoff 위치로 복사

app/aboot/aboot.c 1169-1251줄이다.

fileapp/aboot/aboot.canchor · L1179int copy_dtb

1169}
1170
1171void set_device_root()
1172{
1173	dprintf(ALWAYS, "set_device_root called.");
1174	device.is_tampered = 1;
1175	write_device_info(&device);
1176}
1177
1178#if DEVICE_TREE
1179int copy_dtb(uint8_t *boot_image_start)
1180{
1181	uint32 dt_image_offset = 0;
1182	uint32_t n;
1183	struct dt_table *table;
1184	struct dt_entry *dt_entry_ptr;
1185
1186	struct boot_img_hdr *hdr = (struct boot_img_hdr *) (boot_image_start);
1187
1188	if(hdr->dt_size != 0) {
1189
1190		/* add kernel offset */
1191		dt_image_offset += page_size;
1192		n = ROUND_TO_PAGE(hdr->kernel_size, page_mask);
1193		dt_image_offset += n;
1194
1195		/* add ramdisk offset */
1196		n = ROUND_TO_PAGE(hdr->ramdisk_size, page_mask);
1197		dt_image_offset += n;
1198
1199		/* add second offset */
1200		if(hdr->second_size != 0) {
1201			n = ROUND_TO_PAGE(hdr->second_size, page_mask);
1202			dt_image_offset += n;
1203		}
1204
1205		/* offset now point to start of dt.img */
1206		table = (struct dt_table*)(boot_image_start + dt_image_offset);
1207
1208		/* Restriction that the device tree entry table should be less than a page*/
1209		ASSERT(((table->num_entries * sizeof(struct dt_entry))+ DEV_TREE_HEADER_SIZE) < hdr->page_size);
1210
1211		/* Validate the device tree table header */
1212		if((table->magic != DEV_TREE_MAGIC) && (table->version != DEV_TREE_VERSION)) {
1213			dprintf(CRITICAL, "ERROR: Cannot validate Device Tree Table \n");
1214			return -1;
1215		}
1216
1217		/* Calculate the offset of device tree within device tree table */
1218		if((dt_entry_ptr = dev_tree_get_entry_ptr(table)) == NULL){
1219			dprintf(CRITICAL, "ERROR: Getting device tree address failed\n");
1220			return -1;
1221		}
1222
1223		/* Read device device tree in the "tags_add */
1224		memmove((void*) hdr->tags_addr,
1225				boot_image_start + dt_image_offset +  dt_entry_ptr->offset,
1226				dt_entry_ptr->size);
1227	} else
1228		return -1;
1229
1230	/* Everything looks fine. Return success. */
1231	return 0;
1232}
1233#endif
1234
1235void cmd_boot(const char *arg, void *data, unsigned sz)
1236{
1237	unsigned kernel_actual;
1238	unsigned ramdisk_actual;
1239	struct boot_img_hdr *hdr;
1240	char *ptr = ((char*) data);
1241	int ret = 0;
1242	uint8_t dtb_copied = 0;
1243
1244	if (sz < sizeof(hdr)) {
1245		fastboot_fail("invalid bootimage header");
1246		return;
1247	}
1248
1249	hdr = (struct boot_img_hdr *)data;
1250
1251	/* ensure commandline is terminated */

DETAILS

내부 동작을 더 깊게 읽기

진입 조건을 먼저 고정한다

fastboot download에서 들어온 실행은 부트 CPU의 동기 실행 문맥에 놓여 있다. 이때 interrupt, MMU/cache, stack, heap 중 무엇이 이미 준비되었는지 소스의 호출자까지 올라가 확인한다. 같은 함수라도 SPL, relocation 전후, app thread처럼 호출 문맥이 달라지면 허용되는 API와 지연 시간이 달라진다.

in-place buffer에서 payload를 옮길 때 source와 destination overlap을 확인한다. flash 경로와 달리 reboot 뒤에는 사라지는 임시 상태다.

중심 객체의 생성과 공개를 나눈다

이 글의 중심 객체는 fastboot download buffer / boot_img_hdr다. 메모리를 확보한 시점, 필드를 채운 시점, 전역 list나 다른 subsystem에 공개한 시점을 구분한다. 공개 뒤 오류가 발생한다면 목록에서 제거하고 child, buffer, reference를 역순으로 정리하는지 확인한다.

빌드 산출물 관점에서는 최종 부트로더 이미지 안에 해당 symbol과 section이 실제로 포함되었는지도 map과 objdump로 검증한다.

주소, 크기와 정렬을 계산한다

부트 코드에서는 주소 계산 오류를 주의해야 한다. 원본과 목적지의 주소 범위, 헤더에 기록된 데이터 크기, 블록·페이지 단위를 표로 정리하고 각 구간의 끝 주소를 계산한다. 끝 주소가 start + size - 1처럼 마지막 바이트를 가리키는지, 구간 바로 다음 주소를 가리키는지는 API 규약에서 확인한다.

성공 flag와 실제 완료 시점을 맞춘다

cmd_boot → header check → payload placement 구간에서는 부분 초기화 상태가 생길 수 있다. flag, list insertion, callback 등록, storage write 완료 중 무엇이 성공의 기준인지 찾는다. hardware write나 DMA가 포함되면 함수 반환과 장치 완료가 같은 시점인지도 확인한다.

다른 CPU, 인터럽트 처리기, USB 완료 콜백, 셸 명령에서도 이 상태를 읽는다면 메모리 접근 순서와 잠금 범위를 함께 확인한다.

제어권을 넘기기 전에 확인할 조건을 정리한다

정상 경로는 boot_linux에서 끝난다. 이 단계가 함수 반환인지, scheduler 전환인지, 다른 image로의 비복귀 분기인지 구분한다. 비복귀 handoff라면 cache clean/invalidate, interrupt disable, 장치 quiesce, argument register와 FDT 또는 image address가 최종 점검 항목이다.

호출한 함수로 돌아오는 경로라면 오류와 일부 처리만 완료된 상태를 구분하는지 확인한다. 이어서 다음 후보를 시도할지, 복구 절차를 실행할지 살펴본다.

IMPLEMENTATION NOTES

구현을 읽을 때 놓치기 쉬운 부분

download 완료와 boot image 검증 사이에 경계를 둔다

DATA phase에서 받은 byte 수가 선언 size와 정확히 일치한 뒤에만 boot header를 읽는다. magic만 확인하지 말고 header page size, component offset과 전체 end가 download buffer 안인지 검증한다.

short transfer 뒤 이전 download tail이 남아 새 image 일부로 해석되지 않게 received length를 기준으로 검사한다.

임시 boot도 persistent boot와 같은 memory 안전 조건을 가진다

flash partition에서 읽지 않을 뿐 kernel, ramdisk, DT destination과 aboot 영역의 overlap 조건은 같다. download source와 destination이 겹치면 copy 순서를 고려한다.

unlock 상태와 verification policy가 boot command에 어떻게 적용되는지 제품 요구와 대조한다.

host response와 실제 handoff 시점을 정의한다

OKAY를 보낸 뒤 즉시 분기할지 전송 completion을 기다릴지 확인한다. USB controller가 response를 내보내기 전에 clock을 끄면 host는 timeout으로 보지만 target은 이미 kernel을 실행할 수 있다.

실패 반환 경로에서는 command loop가 재개되고 download buffer ownership이 명확히 돌아와야 한다.

OBJECT LIFETIME

객체와 수명

대상	만들어지는 시점	유효 범위	확인할 조건
`fastboot download buffer / boot_img_hdr`	cmd_boot	boot_linux 또는 오류 정리 완료까지	진입 전제와 상태 계약
입력 buffer / metadata	fastboot download	parse와 검증이 끝날 때까지	길이, 정렬, 소유권, 변조 가능성
등록된 list / descriptor	header check	하위 시스템을 종료하거나 다음 이미지에 제어권을 넘길 때까지	중복 등록, 해제된 객체를 가리키는 포인터, 오류 후 자원 정리
hardware 또는 persistent state	실제 write/probe가 완료된 뒤	reset 또는 명시적 해제·갱신까지	쓰기 완료, 시간 초과, 전원 차단, 이전 상태 복원
`최종 부트로더 이미지`	link/image 생성 시점	다음 stage가 새 image로 교체할 때까지	적재 주소, 진입점, 섹션, 헤더의 일치 여부

FAILURE PATH

실패 지점과 증상

#	조건	관찰되는 증상	먼저 볼 단계
01	download size보다 header가 큼	out-of-bounds read	cmd_boot
02	memcpy overlap	payload 손상	header check
03	실행 주소 검증 누락	LK overwrite	payload placement

로그가 끊긴 함수뿐 아니라 그 함수에 주소, 크기, 플래그를 전달한 앞 단계도 조사한다. 오류 처리 후 등록된 객체나 하드웨어 설정이 그대로 남아 있는지도 확인한다.

EVIDENCE

소스 밖에서 확인할 증거

소스에서 파악한 동작을 실제 빌드 결과와 대상 보드의 로그로 확인한다. 아래 명령의 보드 이름과 툴체인 접두사는 사용 중인 빌드 환경에 맞게 바꾼다.

#	목적	명령 또는 계측	판정 기준
01	ELF symbol	`nm -n build-*/lk.elf \| grep 'void cmd_boot'`	aboot app과 storage/USB callback의 link 주소를 확인한다.
02	boot image	`unpack_bootimg --boot_img boot.img --out out`	header version, page size, kernel·ramdisk·DT 영역을 분리해 계산한다.
03	partition 정보	`fastboot getvar all`	bootloader가 보는 slot, partition size, unlocked 상태를 기록한다.
04	USB protocol	`fastboot -v <command>`	host request와 target response가 끊기는 packet을 찾는다.
05	flash 경계	`partition base + offset + length 직접 계산`	block 단위와 byte 단위를 섞지 않았는지 검증한다.

LAB

직접 확인할 실험

01
작은 truncated image 전송
cmd_boot 진입 전후에 download buffer의 주소·크기·반환값과 timestamp를 함께 남긴다.
02
source/destination overlap을 강제해 memmove 필요성 확인
header check 진입 전후에 boot header의 주소·크기·반환값과 timestamp를 함께 남긴다.
03
boot와 flash 후 boot의 memory map 비교
payload placement 진입 전후에 relocated payloads의 주소·크기·반환값과 timestamp를 함께 남긴다.

PRIMARY REFERENCES

원문과 다음 글

app/aboot/aboot.cAOSP 9d6e28f 원본 파일 LK / classic AOSP aboot source tree기준 commit 9d6e28f24ba0