Hacking into NavFX

Also, folgendes habe ich bislang über den Boot-Prozess des OMAP herausfinden können (und vermutlich läuft das so bei allen OMAP-Varianten ab):

1.) First stage bootloader (ROM)

Nach dem Power-On-Reset (POR) bzw. dem Reset des Chips wird zunächst der "1st stage bootloader" ausgeführt. Dieser befindet sich, ab Werk hardcodiert und unveränderlich im ROM des OMAP-Prozessors. Er ist recht klein und hat folgende Aufgaben:

1. Den Ausführungs-Stack einrichten
2. Den "Watchdog Timer 1" auf 3 Minuten konfigurieren
3. PLL- und System-Clocks konfigurieren
4. Die möglichen Quellen für den nächsten Bootloader (SPL) prüfen
5. Den nächsten Bootloader (Second stage bootloader) ins SRAM des Prozessors kopieren und starten

Die Hauptaufgabe des ersten Bootloaders ist es also den Start des zweiten vorzubereiten. Hierzu werden ab Werk nur einige wenige Bootquellen unterstützt. Welche Quelle verwendet wird, entscheiden die SYSBOOT-Pins des Chips (16 Signalleitungen), welche vom ROM-Code eingelesen werden. Weiterhin wird über die SYSBOOT-Pins auch noch die Quarzgeschwindigkeit, Busbreite externer Speicher (USB, UART, SPIO, Flash, SDRAM, MMC, ...) angezeigt.

Die besagten SYSBOOT-Pins konnte ich auf dem Board noch nicht finden. Die Pin-Angaben anderer OMAP-Chips helfen hierbei nicht, weil sie nicht stimmen und wie ja bekannt ist, gibt es kein Datenblatt vom OMAP5948. Jedoch wird der ermittelte Wert dieses IO-Leitungen vom ROM-Code in ein internes Register geladen und man kann das evtl. via JTAG auslesen. Hier muss ich mal testen.

Wichtig zu wissen wäre natürlich auch, welche Bootquellen von Hause aus unterstützt werden. Dabei ist es nicht einfach nur "Flash", oder NAND, NOR, sondern hier gibt es ganz spezielle Typen, wie halt den Spansion S29GL (Mirror-Bit Flash, eine Art Hybrid aus NAND und NOR Flash). Was sicher auch geht ist booten von USB und UART (Serial), weil sowas für die Entwicklung gebraucht wird. Fände man eine Möglichkeit z.B. das booten von SD-Card zu ermöglichen, könnte man dem Radio somit einen eigenen Bootloader unterjubeln und darin machen was man will, z.B. ein Linux booten (nur so als Idee...)

2.) Second stage bootloader (SPL)

Dieser befindet sich auf einem externen Speichermedium und wird vom Boot-ROM in das interne SRAM des Prozessors geladen und zur Ausführung gebracht. Er dient als Vorbereitung zum laden eines Boot-Managers (wie z.b. Linux U-Boot) oder des Kernels vom Betriebssystem. Die Adresse an die dieser Bootloader, welcher wohl nur ca. 2kb groß sein kann, geladen wird, hängt wohl auch von der Bootquelle ab.

Meine Vermutung ist das der gefundene, nicht überschreibbare erste Sektor im Flash, bzw. auf der Update-CD dieser besagte 2nd Stage Bootloader ist. Hier nochmal zur Erklärung die ersten 0x100 Bytes des Flash:

Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F

00000000  EF 04 00 EA 05 00 00 EA 05 00 00 EA 05 00 00 EA  ï..ê...ê...ê...ê
00000010  05 00 00 EA 05 00 00 EA 05 00 00 EA FE FF FF EA  ...ê...ê...êþÿÿê
00000020  FE FF FF EA FE FF FF EA FE FF FF EA FE FF FF EA  þÿÿêþÿÿêþÿÿêþÿÿê
00000030  FE FF FF EA FE FF FF EA 03 1C 08 1C 10 B5 19 1C  þÿÿêþÿÿê.....µ..
00000040  02 F0 6C E8 10 BD 0A 1C 10 B5 00 21 02 F0 9E E8  .ðlè.½...µ.!.ðžè
00000050  10 BD F7 B5 AE B0 2B 90 00 20 0C 1C 00 21 2C 91  .½÷µ®°+.. ...!,‘
00000060  29 90 9C 21 02 A8 01 F0 22 E9 2B 98 00 F0 1A FA  ).œ!.¨.ð"é+˜.ð.ú
00000070  01 1C 00 20 C0 43 01 29 6F D1 63 1C 6D D0 2B 98  ... ÀC.)oÑc.mÐ+˜
00000080  00 F0 38 FA 2A 90 2B 98 00 F0 32 FA 80 07 06 D5  .ð8ú*.+˜.ð2ú€..Õ
00000090  2B 98 00 F0 2B FA 30 99 08 60 01 20 29 90 00 27  +˜.ð+ú0™.`. )..'
000000A0  F9 E0 39 04 09 0C 2B 98 2D 91 00 F0 62 FA 04 1C  ùà9...+˜-‘.ðbú..
000000B0  26 D0 2B 98 2D 99 00 F0 85 FA 2C 99 46 18 73 1C  &Ð+˜-™.ð…ú,™F.s.
000000C0  F6 D0 00 2E F4 D0 2B 98 2D 99 00 F0 27 FA 00 28  öÐ..ôÐ+˜-™.ð'ú.(
000000D0  EE D0 2B 98 2D 99 00 F0 59 FA 05 1C E8 D0 2B 98  îÐ+˜-™.ðYú..èÐ+˜
000000E0  2D 99 00 F0 0B FA 00 28 01 90 72 D0 01 98 0C 22  -™.ð.ú.(..rÐ.˜."
000000F0  75 A1 01 F0 3D F9 00 28 03 D1 04 94 03 95 02 96  u¡.ð=ù.(.Ñ.”.•.–
....

Der Prozessor arbeitet im "Little Endian Mode", das heißt das man die Bytewerte verdrehen muss um sie zu lessen. Die ersten Bytes könnten dabei entweder Interruptvektoren sein, oder es ist gar ein Sprungbefehl an die eigentliche Stelle der Programmausführung im Block. In jedem Fall muss dies reiner ARM926ES Maschinencode sein der da ausgeführt wird.

In dem 2KB Block des Bootloaders findet man auch interessante Textpassagen wie:

DOE_SDRAM_RO
DOE_SDRAM_RW
DOE_SDRAM_ZI
DSP_IMAGE_RO
TESTCODE_RO
TESTCODE_RW
TESTCODE_ZI
RADIOLIB_RO_V
RADIOLIB_RW_V
RADIOLIB_ZI_V
RADIOLIB_RO_N
RADIOLIB_RW_N
RADIOLIB_ZI_N
RAMDISK_NOINIT
PADDING.SDRAM_STACK.CC_DSP_SHARED
DD_DSP_SHARED
HH_DSP_SHARED

Das klingt alles schon sehr nach einer Art Mapping-Tabelle für bestimmte Teile und Bibliotheken des Bootloaders.

Besondere Aufmerksamkeit erweckt diese, lesbare Textpassage:

01110000001000001110

Das sieht doch nach einem Binärcode aus. Vielleicht das Flash-Passwort oder der Zustand der SYSBOOT-Pins, hmm..

Ganz am Ende findet man noch dies:

DI_ARION_PSW_10.1V13

Das ist die Version des Bootloaders.

Nun würde ich mal versuchen zu ermitteln ob das in diesen 2kb irgendwie Disassemblierbar ist. Weiterhin würde ich testen ob ich mit JTAG den Bootloader schrittweise ausführen kann um zu sehen was dies für Nebeneffekte auf das System hat. 2kb in Assembler sind durchaus noch zu verstehen, auch wenn das schon einige Tage/Wochen in Anspruch nehmen kann.

Diese Infos sind zum disassemblieren wichtig:

Der ARM-Core im OMAP5948 wird mittels JTAG als "ARM926EJ-S" identifiziert (ARM9E Familie). Damit entspricht seine Architektur der "ARMv5TEJ". Der ENDIAN-Mode der ARM-CPU ist "LITTLE ENDIAN" und vermutlich wird kein Thumb-Instructionset benutzt.

Der OMAP5948 ist kein Prozessor der OMAP-5 Serie, sondern der OMAP-1 (siehe auch Wikipedia: https://en.wikipedia.org/wiki/OMAP). Vom ARM-Core her könnte es ein OMAP1710, OMAP1610, OMAP1620, OMAP5912 (was eine Verkaufsbezeichnung für den OMAP1621 war) sein. Auf der Suche nach Grundlagen wären das gute Kandidaten, da deren Datenblätter öffentlich verfügbar sind. Auf sie stützen sich auch meine Informationen hier.

Für den OMAP5912 gibt es sogar ein recht weit verbreitetes Entwicklungsboard, das "OSK5912". Solche Prozessoren wurden auch in den früheren Handys häufig verbaut. Auch das sind gute Informationsquellen.

Ok, das hier ist hart an der Grenze zum allgemeinen Verständnis, zugegeben. Ich denke ich werde damit auch besser in ein Technik-Forum abtauchen. Der ein oder andere mag dem sicher noch folgend können und meine Hoffnung ist ja auch, "schlafende Talente" zu wecken. vielleicht kommt mal jemand "vorbei" aufgrund einer Websuche oder so und kann was zum Thema beitragen. In der Tat konnte ich schon den ein oder anderen Kontakt knüpfen, auch wenn mich das bislang in Summe noch nicht wirklich weiter gebracht hat... aber ich hab ja dabei keinen Termindruck

Danke für den Tipp, ich bin mir aber recht sicher das es sich um ein Nucleus RTOS handelt. Dieses OS hat kein eigenes Filesystem, kann sich aber an allen herkömmlichen FS "bedienen". Momentan hänge ich aber noch am Bootstrap