BL602 RISC-V微控制器逆向工程与WiFi协议栈分析-平芜编程栈

1. BL602 RISC-V微控制器逆向工程实战

去年拿到Pinecone开发板时，我就被BL602这颗RISC-V架构的WiFi+BLE双模芯片吸引了。作为ESP32的竞品，它最大的特点就是采用了完全开源的RISC-V指令集，但配套SDK却充满了闭源二进制文件。这让我想起了早些年逆向路由器固件的经历，于是决定深入SDK内部一探究竟。

BL602的SDK结构非常典型：核心无线协议栈以预编译库形式提供（libbl602_wifi.a），外围驱动和RTOS相关代码则开放了源码。这种"半开源"模式在物联网芯片中很常见，但对我们开发者来说，要真正掌握芯片能力，就必须破解这些黑盒子。下面我就分享下逆向过程中的关键发现和技术细节。

提示：逆向工程可能涉及法律风险，建议仅针对自己拥有合法使用权的设备进行操作。本文所有分析均基于BL602官方SDK的合法副本。

1.1 工具链准备

逆向BL602需要一套特殊的工具组合：

RISC-V工具链：使用官方提供的riscv64-unknown-elf-gcc（版本8.3.0）
反汇编工具：Ghidra + RISC-V插件，用于分析二进制固件
调试器：J-Link配合OpenOCD，通过SWD接口调试
协议分析：Wireshark + ESP32作为嗅探器（BL602使用与ESP32相同的802.11b/g/n协议）

# 安装基础工具 sudo apt install build-essential git gcc-multilib # 编译OpenOCD git clone https://github.com/riscv/riscv-openocd cd riscv-openocd && ./bootstrap && ./configure --enable-ftdi make -j$(nproc)

1.2 SDK结构解析

解压官方SDK（bl602_sdk_v1.0.0）后，关键目录如下：

sdk/ ├── bsp/ # 板级支持包 ├── components/ # 核心组件 │ ├── bl602/ # 射频驱动(闭源) │ ├── freertos/ # FreeRTOS修改版 │ └── lwip/ # 轻量级TCP/IP协议栈 ├── driver/ # 外设驱动 └── prebuild/ # 预编译库 └── libbl602_wifi.a # WiFi协议栈

特别值得注意的是，虽然标榜使用FreeRTOS，但实际SDK中混入了AliOS的线程调度器。这种混合RTOS架构在资源受限设备上很常见，但也增加了逆向复杂度。

2. WiFi协议栈逆向分析

2.1 二进制库反编译

使用Ghidra分析libbl602_wifi.a时，首先要注意RISC-V的调用约定：

a0-a7寄存器用于参数传递
ra寄存器保存返回地址
栈帧布局与x86有显著差异

通过字符串交叉引用，我发现几个关键函数：

// WiFi初始化函数 void rf_phy_init(uint8_t *mac_addr); // 802.11帧发送 int wlan_send_raw_frame(uint8_t *frame, uint16_t len); // 连接AP的核心函数 int wlan_connect(const char *ssid, const char *pass, uint8_t auth_mode, uint8_t wifi_mode);

这些函数名是通过调试符号残留和上下文分析还原的。实际二进制中函数名都是像sub_3A28C这样的随机标识。

2.2 协议栈来源推断

通过比对字符串常量和代码模式，发现与CEVA RivieraWaves WiFi IP的参考实现高度相似。例如：

相同的调试信息格式[RW] %s:%d
一致的WPA2-Enterprise实现结构
特有的省电模式状态机设计

这提示BL602可能使用了CEVA的WiFi IP授权。有趣的是，在Rockchip RK3399的WiFi驱动中也发现了类似代码，说明这是业界常见做法。

2.3 关键数据结构还原

通过动态调试（在wlan_connect设置断点），可以dump出连接过程中的关键数据结构：

struct wlan_connection_params { char ssid[32]; char pass[64]; uint8_t bssid[6]; uint8_t channel; uint32_t timeout_ms; // ... }; struct wlan_scan_result { uint8_t bssid[6]; char ssid[32]; uint8_t channel; int8_t rssi; // ... };

这些结构体定义对后续开发替代固件至关重要。我通过反复触发不同WiFi操作（扫描、连接、断开），观察内存变化来验证字段含义。

3. FreeRTOS与AliOS的共生关系

3.1 双调度器架构

BL602的SDK中有一个有趣的设计：同时包含FreeRTOS和AliOS的调度器。通过分析源码发现：

底层仍为FreeRTOS：处理硬件中断、内存管理等基础功能
AliOS作为中间层：提供更丰富的线程API（如优先级继承）
应用层可见AliOS接口：开发者主要使用aos_task_create等接口

这种架构的优缺点很明显：

✅ 兼容现有AliOS生态
✅ 保留FreeRTOS的实时性
❌ 增加内存开销（两个调度器）
❌ 调试复杂度提高

3.2 关键修改点追踪

对比原生FreeRTOS v10.2.1，BL602的修改包括：

移除了任务删除安全检测（节省ROM空间）
添加了动态优先级调整API
修改了tick中断处理流程

这些改动可以通过git diff对比官方FreeRTOS代码库快速定位。例如，在tasks.c中发现了以下关键修改：

// 原生FreeRTOS vTaskDelete( TaskHandle_t xTaskToDelete ); // BL602修改版 void aos_task_delete( aos_task_t task, int *exit_code ) { vPortFree( task->stack_base ); // 显式释放栈内存 vTaskDelete( task->handle ); }

这种修改暴露了AliOS的内存管理策略，对理解整个系统很有帮助。

4. 实战：替换WiFi协议栈

基于逆向成果，我尝试用开源方案替换闭源WiFi协议栈。以下是关键步骤：

4.1 移植lwIP+WPA Supplicant

配置lwIP：修改lwipopts.h适配BL602内存限制

#define MEM_SIZE (40*1024) // 40KB内存池 #define PBUF_POOL_SIZE 16 // 减少pbuf数量

交叉编译WPA：针对RISC-V调整配置

cd wpa_supplicant make CC=riscv64-unknown-elf-gcc CONFIG_DRIVER_NL80211=n

实现驱动层适配：

// 实现Linux无线扩展ioctl int ioctl(int sock, unsigned long request, void *argp) { switch(request) { case SIOCSIWFREQ: return bl602_set_channel(*(int*)argp); // ... } }

4.2 性能对比测试

使用iperf进行吞吐量测试（单位：Mbps）：

测试项	原生协议栈	lwIP+WPA
TCP单连接上传	12.4	8.7
TCP单连接下载	14.2	9.1
UDP包丢失率(@1Mpps)	0.3%	1.2%

虽然性能有差距，但开源方案已经能满足基本需求。后续可以通过优化驱动中断处理来提升性能。

5. 常见问题与调试技巧

5.1 固件崩溃排查

当遇到HardFault时，按以下步骤分析：

检查mtvec（异常向量表）是否正确设置
通过mepc寄存器定位崩溃位置
分析mcause确定异常类型（例如0x2=非法指令）

# 在OpenOCD中查看寄存器 (gdb) info register mepc mcause mtval

5.2 WiFi连接不稳定

可能原因及解决方案：

射频参数不匹配：校准rf_phy_init中的PA表
电源噪声：在VBAT引脚添加100μF电容
天线匹配问题：用矢量网络分析仪调谐π型匹配电路

5.3 内存泄漏检测

由于FreeRTOS修改了内存管理，建议：

定期调用xPortGetFreeHeapSize()监控内存
重载pvPortMalloc/vPortFree添加调试信息
使用GDB的watchpoint功能监控关键内存区域

void *pvPortMalloc(size_t xSize) { void *ptr = _malloc_r(_REENT, xSize); printf("[MEM] Alloc %p (%d bytes)\n", ptr, xSize); return ptr; }

6. 逆向工程经验总结

经过三个月的深入分析，我总结出几点RISC-V平台逆向的特点：

关注标准扩展指令：BL602支持M（乘除法）和C（压缩指令）扩展，反汇编时需正确配置
利用调试寄存器：RISC-V的CSR寄存器包含丰富调试信息，如mcycle计数器可用于性能分析
注意ABI差异：与ARM相比，RISC-V的浮点参数传递规则不同，影响函数调用分析

这个项目最让我惊喜的是发现了CEVA协议栈的痕迹。通过比对其他芯片的驱动代码，可以快速理解BL602的工作机制。虽然完全开源的WiFi协议栈还有很长的路要走，但逆向工程为我们打开了一扇窗。

BL602 RISC-V微控制器逆向工程与WiFi协议栈分析