vlad/reverse-skills-max
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
main
reverse-skills-max/vendor-new/rev-skills/.claude/skills/re-riscv/SKILL.md

14 KiB
Raw Permalink Blame History

name, description, capabilities
name description capabilities
re-riscv RISC-V 架构逆向：RV32/RV64、压缩指令（RVC）、gp 相对寻址、ABI 与 ecall 系统调用约定、工具链指纹。 触发词：RISC-V、riscv、RV32、RV64、RVC、压缩指令、ecall、ESP32-C3、GD32V。
arch-analysis

RISC-V 架构逆向（RV32/RV64、RVC、gp 相对寻址）

何时使用 / 何时不用

  • 用：RV32/RV64 架构二进制——Linux 用户态程序、裸机固件、RISC-V MCU 固件（ESP32-C3 类 RV32IMC）
  • 用：压缩指令（RVC）混编代码流、gp 相对寻址恢复、RISC-V ABI 识别、ecall 系统调用/环境调用边界
  • 用：工具链与库函数指纹（glibc/musl/newlib 系、指令扩展特征）
  • 不用：ARM / x86 / MIPS 等其他架构（走 re-binary-core 通用底座，本技能只补 RISC-V 特有语义）
  • 不用：工具链极端定制且无头绪时，先走 re-fw-emulate 仿真兜底（能跑就先看行为，再回静态）
  • 不用：只需解包固件看内容（re-fw-extract）/ 分析文件系统与配置（re-fw-rootfs）/ 整体启动固件（re-fw-emulate）

工具准备

所有工具先验证再使用。静态分析可免沙箱；qemu 动态执行默认沙箱 + 网络隔离（re-analyze/platform-tips 最高原则）。

反编译器（Ghidra / IDA 任选其一）

  • Ghidra（内置 RISC-V 处理器模块，RV32/RV64 + I/M/A/F/D/C 扩展，自动处理 RVC 压缩指令）：
    • Linux: 官方 release 包（需 JDK）；部分发行版仓库有 apt install ghidra / pacman -S ghidra
    • macOS: brew install --cask ghidra；Windows: 官方 zip
    • 验证: analyzeHeadless -help（headless 模式）或 GUI 导入 RISC-V ELF
  • IDA：商业版含 RISC-V 模块；Freeware 版架构支持范围以官方页面为准
  • 导入时确认 RV32/RV64 与端序——标准 RISC-V 小端、大端变体罕见，选错全部错位

readelf / file —— 架构与字节序确认（binutils）

  • Linux: binutils 自带（apt install binutils 等）；macOS: brew install binutils 或 LLVM 系 readelf；Windows: WSL 内
  • 验证: readelf --version

binutils 交叉工具链 —— RISC-V 反汇编/符号表（objdump）

  • Debian/Ubuntu: apt install binutils-riscv64-linux-gnu（提供 riscv64-linux-gnu-objdump；编译链加 gcc-riscv64-linux-gnu，gcc 依赖带入 binutils 包）
  • Fedora: dnf install binutils-riscv64-linux-gnu gcc-riscv64-linux-gnu（cross-binutils / cross-gcc 源包，提供 riscv64-linux-gnu-objdump；官方仓库无 riscv64-unknown-elf 裸机工具链，裸机反汇编用 riscv64-linux-gnu-objdump，RVC 支持一致）
  • Arch: pacman -S riscv64-elf-binutils riscv64-elf-gcc（裸机，提供 riscv64-unknown-elf-objdump）或 pacman -S riscv64-linux-gnu-binutils riscv64-linux-gnu-gcc（用户态）
  • macOS: brew install riscv64-elf-binutils riscv64-elf-gcc（homebrew-core，提供 riscv64-unknown-elf-objdump）；Windows/WSL: WSL 内 Linux 版
  • 验证: 按所装包一一对应——binutils-riscv64-linux-gnu → riscv64-linux-gnu-objdump --version（Debian/Ubuntu/Fedora）；binutils-riscv64-unknown-elf → riscv64-unknown-elf-objdump --version（Arch/brew，Debian/Ubuntu 需裸机 triplet 时单列该包）；objdump 对 RVC 混编流自动识别（2/4 字节）

qemu-riscv64 / qemu-riscv32 —— RISC-V 用户态仿真（动态验证）

  • Linux: apt install qemu-user / dnf install qemu-user / pacman -S qemu-user
  • macOS: brew install qemu（含用户态）；Windows/WSL: WSL 内 Linux 版
  • 64 位为 qemu-riscv64、32 位为 qemu-riscv32；-L <rootfs> 指定动态库/链接器来源，-strace 跟踪系统调用
  • 验证: qemu-riscv64 --version、qemu-riscv32 --version
  • 裸机 RISC-V（无 OS）qemu-user 不适用——用 qemu-system-riscv64/32（Debian trixie 起 / Ubuntu 25.10 起独立包 apt install qemu-system-riscv，Ubuntu 24.04 及更早、Debian bookworm 在 qemu-system-misc 内；Fedora / Arch dnf install qemu-system-riscv / pacman -S qemu-system-riscv）-machine virt 或板级模型（-s -S 接 gdb），或 re-emulation 用 Unicorn 逐指令

gdb-multiarch —— 交叉调试

  • Linux: Debian/Ubuntu apt install gdb-multiarch（riscv32/riscv64 目标内置）；Fedora dnf install gdb（官方 gdb 支持多目标）；Arch pacman -S gdb（内置 multiarch）
  • macOS: brew install gdb（需 Developer Tools 授权，见 re-analyze/platform-tips macOS 分支）或 WSL 内 Linux 版；Windows/WSL: WSL 内 Linux 版
  • 验证: Debian/Ubuntu gdb-multiarch --version；Fedora/Arch gdb --version；载入固件后 set architecture riscv:rv64（或 riscv:rv32）再 info registers 确认

操作步骤

按顺序执行，每步结果存档；动态执行默认沙箱。

  1. 架构确认（RV32/RV64 + 字节序）：

    file target.bin                 # "RISC-V" + 32-bit/64-bit + little-endian 提示
file target.elf
readelf -h target.elf           # Machine=RISC-V (243)；Data=little-endian；Flags 含 RVC/浮点 ABI 位
readelf -A target.elf | head    # Tag_RISCV_arch 属性，如 rv64imafdc
    • e_flags（readelf -h 的 Flags 字段）：EF_RISCV_RVC(0x1)=含压缩指令；浮点 ABI 位掩码 0x6（0=软浮点、2=单精度 F、4=双精度 D、6=四精度 Q）；EF_RISCV_RVE(0x8)=RV32E 精简寄存器
    • 标准 RISC-V 为小端；大端变体罕见，以 file/readelf 实际输出为准
    • 裸机 .bin（无 ELF 头）由步骤 2 的复位向量上下文与指令形态判定（RV32 定宽 4 字节 vs RVC 混编 2/4 字节）

  2. 入口定位（reset / 启动代码）：

    • Linux 用户态：入口即 ELF e_entry（readelf -h 的 Entry point）= _start；动态链接程序先经 ld.so（PT_INTERP），断点/分析从 _start 起
    • 裸机：RISC-V 无固定向量表（对比 ARM Cortex-M），入口 = SoC datasheet 的 reset 向量；QEMU virt 机器 reset 向量在 MROM 0x1000（reset stub 再跳 start_addr，默认 DRAM 0x80000000，pflash 固件场景为 0x20000000）——别把 DRAM 基址当 reset 入口；部分 MCU flash 基址形如 0x08000000；异常/中断向量基址在 mtvec（M 态）/ stvec（S 态）CSR，trap 处理代码按 CSR 值定位
    • 启动流程一般为：设栈（la sp, ...）→ 拷贝 .data / 清零 .bss → 跳 main（裸机）或 __libc_start_main（Linux）
    • 定位入口后在反编译器中标注，沿调用链展开主逻辑

  3. RVC 压缩指令识别（2/4 字节混合，勿固定宽度切割）：

    • RVC 让代码 2 字节对齐（半字），地址全为偶数；32 位指令可落在 2 mod 4 的奇半字位置——不能按固定 4 字节步长切割
    • 起点错 → 整条指令流错位成乱码；正确做法：用支持 RVC 的反汇编器（Ghidra / riscv64-*-objdump 自动识别），从入口/跳转目标对齐，出现合法压缩指令（c.addi/c.li/c.j/c.lw 等）即对齐正确
    • 识别信号：e_flags RVC 位（0x1）、objdump 输出含 2 字节指令、-Os 编译的裸机固件
    • 同一函数内 16/32 位指令交错是常态，无固定步长

  4. gp 相对寻址恢复（lui+addi 对、.sdata/.sbss）：

    • gp（x3）= __global_pointer$，一般落在 .sdata 段内，12 位有符号偏移（±2048）覆盖 .sdata/.sbss 小数据区
    • 访问形态：启动时 lui gp, %hi(...) + addi gp, gp, %lo(...) 一次设置 → 后续 lw/ld aN, off(gp) 小偏移数据访问（-msmall-data-limit 默认 8 字节以内的全局变量走 gp）
    • 符号剥离后：从 _start/crt0 序言的 lui+addi 序列计算 gp 实际值 → 反编译器中标注 → 数据引用恢复；有 ELF 时 readelf -s 查 __global_pointer$ 符号值
    • gp 缺失时这些访问解析为「未知全局」、数据流散乱——先定 gp 再分析（见坑 2）

  5. ABI 识别（整数/浮点 ABI、a0-a7 约定）：

    • 整数约定：参数 a0-a7（x10-x17，第 9 个起栈传）、返回值 a0、被调用者保存 s0-s11（x8-x9、x18-x27）；ra=x1、sp=x2、gp=x3、tp=x4、fp=s0(x8)；调用边界 sp 16 字节对齐
    • ABI 名：RV32 为 ilp32/ilp32f/ilp32d，RV64 为 lp64/lp64f/lp64d——f/d 后缀表示浮点参数走浮点寄存器（F/D 扩展）
    • 浮点约定：参数 fa0-fa7（f10-f17）、返回值 fa0、被调用者保存 fs0-fs11（f8-f9、f18-f27）；硬浮点 ABI 浮点参数进 fa0-fa7，软浮点进 a0-a7
    • 判定：以 ELF e_flags & EF_RISCV_FLOAT_ABI（掩码 0x6） 为准——它是整个 object 的 Float ABI 字段。不能靠浮点指令出现与否反推 soft/hard-float：-march=rv64ifd -mabi=lp64 是合法组合，产物照用 fld/fmul 等硬件浮点指令，但函数参数仍走整数寄存器（实测：lp64 产物用 fmv.d.x fa5, a1 把 a0/a1 搬进浮点寄存器，lp64d 产物直接用 fsd fa0 收浮点寄存器）。浮点指令密度只能佐证 ISA 含 F/D/Q 扩展，不能佐证参数 ABI
    • 不同 Float ABI 的 object 不能混合链接：linker 直接报 cannot link object files with different floating-point ABI，标准流程下不存在"按单元确认"的软硬混编产物。逆向中若观察到局部调用约定不同，先考虑手写汇编、非标准 ABI、STO_RISCV_VARIANT_CC、FFI/thunk、或被错误识别的函数边界

  6. 系统调用边界（ecall + a7 号）：

    • Linux 用户态：ecall 触发系统调用，号在 a7（x17）、参数 a0-a5、返回 a0；RISC-V 用 asm-generic 编号（read=63、write=64、openat=56、exit=93、mmap=222）——与 x86/ARM 编号不同，别拿其他架构的号套
    • 定位：objdump 搜 ecall（0x73），往回找 li a7, imm 立即数；Ghidra 反编译中识别系统调用点
    • 裸机（无 OS）：ecall 是自定义语义——M 态固件/SBI 调用（a7=扩展号、a6=功能号）或厂商 monitor，不能按 Linux 号解读；按运行环境查 SBI/厂商 SDK 文档对照
    • 行为验证：qemu-riscv64 -strace 直接打印系统调用序列（联动 re-tracing）

  7. 生态指纹（工具链/库函数特征）：

    • 用户态：glibc（动态、PT_INTERP、__libc_start_main）/ musl（静态常见、入口小）/ 目标板发行版特征（busybox 等）
    • 裸机：newlib/picolibc（crt0：_start → __libc_init_array → main）；厂商 SDK 启动链（ROM → bootloader → app）与分区表结构
    • 指令扩展：向量指令（RVV，v0-v31 寄存器组）提示较新工具链；压缩指令密度高多为 -Os 编译
    • 特征串定位库函数版本（思路同 re-imports），交叉库指纹辅助还原

跨域联合

常见坑与陷阱

  • 压缩指令流按 4 字节切割全错：现象——按固定 4 字节步长反汇编，指令全乱、引用全错位；原因——RVC 混编流 2/4 字节混合、2 字节对齐，固定宽度切割会从指令中间起拆；对策——用支持 RVC 的反汇编器（Ghidra/objdump 自动识别），从入口/跳转目标对齐起点，出现合法压缩指令（c.addi/c.j/c.lw）即对齐正确；补丁时指令长度可能 2↔4 字节变化
  • gp 全局指针缺失致数据访问散乱：现象——大量 lw/ld off(gp) 数据访问解不出地址，全局变量互不关联、逻辑碎片化；原因——符号剥离后 __global_pointer$ 丢失，或反编译器未推导 gp；对策——从 _start/crt0 的 lui gp+addi gp 序列计算实际 gp 值并在反编译器中标注；有 ELF 时 readelf -s 查 __global_pointer$
  • la/li 伪指令展开形态多变：现象——同一逻辑不同函数里指令序列不同（单条 addi / lui+addi / auipc+addi），被误判为不同逻辑；原因——汇编器按立即数大小与重定位类型选展开形态，链接器 relax 后还可能缩短成单条；对策——以机器码语义为准（目标地址一致即同一引用），跨工具对照，关键逻辑回指令级核实
  • ecall 系统调用号绑定运行环境、无 OS 时为自定义语义：现象——裸机固件里 ecall 被当 Linux 系统调用解读，语义全错；原因——ecall 只是「环境调用」指令，号语义由运行环境定义（Linux：a7=系统调用号；裸机：SBI 扩展/厂商 monitor）；对策——先确认运行环境（有无 OS、动态库、_start 形态），无 OS 时查 SBI 扩展号或厂商 SDK 文档对照 a7/a6
  • 链接器 relax（R_RISCV_RELAX）影响反汇编边界：现象——反汇编 .o 中间产物与最终二进制指令流对不上，或按未 relax 的布局找地址错位；原因——链接器 relax 把 auipc+addi 收缩为 addi、jal 缩短为 c.j 等，R_RISCV_RELAX 标记的序列尺寸在链接后变小；对策——分析最终链接产物（不是 .o），地址引用以最终二进制为准；改动字节前先确认是否受 relax 影响（重新链接或比对反汇编）