ラジコンマシンの例を使用したUSBデバイスドライバーのリバースエンジニアリング

自分でドライブ：USB CAR







Linuxの愛好家に対するWindowsの愛好家の主張の1つは、このOSのハードウェアのドライバーがないことです。 時間が経つにつれて、状況は改善されています。 今ではすでに10年前よりもはるかに優れています。 しかし、お気に入りのディストリビューションで認識されないデバイスに出会うこともあります。 通常、それは何らかの種類のUSB周辺機器です。



フリーソフトウェアの利点は、この問題を自分で解決できることです（プログラマーの場合）。 もちろん、それはすべて機器の複雑さに依存します。 3次元ウェブカメラでは成功しないかもしれませんが、多くのUSBデバイスは非常にシンプルであり、コアの深部に飛び込んだり、Cで掘ったりする必要はありません。 。



プロセスは本質的にリバースエンジニアリングになります。 まず、デバイスを詳細に調査し、次にWindowsでドライバーと交換するデータを保存し、それらの意味を理解しようとします。 自明でないプロトコルの場合、経験と運の両方が必要になる場合があります。

USBの紹介

USB-ホスト制御を備えたバス。 ホスト（PC）は、どのデバイスがデータをいつワイヤ経由で送信するかを決定します。 非同期イベント（キーボードのボタンを押す）の場合でも、ホストにすぐには送信されません。 各バスには最大127個のデバイス（ハブ経由の場合はさらに多く）が存在する可能性があるため、この操作スキームは制御を容易にします。



USBには、インターネットによく似た多層プロトコルシステムもあります。 通常、最低レベルはシリコンに実装されます。 トランスポート層は、トンネル（パイプ）を介して機能します。 ストリームトンネルは、さまざまなデータ、メッセージトンネル-デバイスを管理するためのメッセージを送信します。 各デバイスは、少なくとも1つのメッセージトンネルをサポートします。 アプリケーション（またはクラス）の最高レベルには、USB大容量記憶装置（フラッシュドライブ）やヒューマンインターフェイスデバイス（HID）などのプロトコルがあります。

ワイヤーで

USBデバイスは、エンドポイントのセット、またはI / Oバッファーと考えることができます。 それぞれにデータの方向（入力または出力）と送信のタイプがあります。 バッファのタイプは次のとおりです。割り込み、アイソクロナス、制御、およびパケット。



割り込みは、リアルタイムで少しデータを送信します。 ユーザーがキーを押すと、デバイスはホストが「そこでボタンを押しましたか？」と尋ねるまで待機します。 ホストの速度が低下することはなく、これらのイベントは失われません。 アイソクロナスはほぼ同じ方法で動作しますが、それほど難しくはありません-より多くのデータを転送できますが、重要ではない場合（ウェブカメラなど）は失われます。



大容量用に設計されたバッチ。 チャネルを詰まらせないように、現在他のデータによって占有されていないすべてのスペースが与えられます。 コントローラはデバイスの制御に使用され、要求と応答の形式が厳密に定義されているのはコントローラのみです。 関連付けられたメタデータを持つバッファのセットは、インターフェイスと呼ばれます。



USBデバイスのバッファ番号はゼロです。これは、制御データに使用されるトンネルのデフォルトのエンドポイントです。 しかし、デバイスが持っているバッファーの数とそのタイプをホストはどのようにして知るのでしょうか？ このために、特別な要求によってデフォルトトンネルを介して送信されるさまざまな記述子が使用されます。 それらはすべての標準、特定のクラスのデバイスに特化したもの、または独自のものです。



記述子は、lsusbなどのユーティリティで表示できる階層を構成します。 最上部にはデバイス記述子があり、ベンダーID（VID）と製品ID（PID）が含まれています。 このペアはデバイスごとに固有であり、システム上で適切なドライバーが検出されます。 デバイスにはいくつかの構成があり、それぞれに独自のインターフェイス（MFPのプリンター、スキャナー、FAXなど）があります。 ただし、通常は、1つのインターフェースを持つ1つの構成が定義されます。 それらは、対応する記述子によって記述されます。 各エンドポイントには、アドレス（番号）、方向（入力または出力）、および伝送タイプを含む記述子があります。



クラス仕様には独自の記述子タイプがあります。 USB HID仕様では、制御バッファまたは割り込みを介して送受信される「レポート」の形式でのデータ転送が想定されています。 これらの記述子は、レポートの形式（たとえば、「1フィールド8ビット長」）とその使用方法（「X方向のオフセット」）を決定します。 したがって、HIDデバイスはそれ自体を記述し、ユニバーサルドライバー（Linuxではusbhid）でサポートできます。 それ以外の場合は、マウスごとに独自のドライバーを作成する必要があります。



数百ページの仕様を数段落で説明しようとはしません。 www.beyondlogic.org/usbnutshellから無料でO'Reillyの本「USB in a Nutshell」に送信することに興味があります。 もっと良くしましょう。

許可について

デフォルトでは、USBデバイスはルート内からのみアクセスできます。 この方法でテストプログラムを実行しないようにするには、udevルールを追加します。

SUBSYSTEM=="usb", ATTRS{idVendor}=="0a81", ATTRS{idProduct}=="0702", GROUP="INSERT_HERE", MODE="0660"
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ユーザーが属するグループの名前を挿入し、これを/lib/udev/rules.d/99-usbcar.rulesに追加します。

ボンネットの下

USB経由でマシンがどのように見えるか見てみましょう。 lsusbは、デバイスをカウントし、記述子をデコードするためのツールです。 usbutilsに含まれています。

 [val@y550p ~]$ lsusb Bus 002 Device 036: ID 0a81:0702 Chesen Electronics Corp. Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub ...
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

マシンはデバイス036です（確かに、切断してlsusbを再度実行できます）。 IDフィールドは、VIDとPIDのペアです。 記述子を読み取るには、lsusb -vを実行します。

 [val@y550p ~]$ lsusb -vd 0a81:0702 Bus 002 Device 036: ID 0a81:0702 Chesen Electronics Corp. Device Descriptor: idVendor 0x0a81 Chesen Electronics Corp. idProduct 0x0702 ... bNumConfigurations 1 Configuration Descriptor: ... Interface Descriptor: ... bInterfaceClass 3 Human Interface Device ... iInterface 0 HID Device Descriptor: ... Report Descriptors: ** UNAVAILABLE ** Endpoint Descriptor: ... bEndpointAddress 0x81 EP 1 IN bmAttributes 3 Transfer Type Interrupt ...
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

標準階層。 ほとんどのデバイスと同様に、構成とインターフェースは1つだけです。 1つのエンドポイント割り込みが発生する場合があります（デフォルトポイント0は例外です。デフォルトポイント0は常に存在するため、リストに表示されません）。 bInterfaceClassフィールドは、これがHIDデバイスであることを報告します。 これは良いことです-HIDと通信するためのプロトコルは開いています。 レポートの形式と使用法を理解するためにレポートの記述子を読むように思えますが、それは問題です。 ただし、** UNAVAILABLE **とマークされています。 FAQ？ マシンはHIDデバイスであるため、usbhidドライバーはそれを自分自身に割り当てましたが、それをどうするかはわかりません。 彼がそれを管理するのを解く必要があります。



まず、バスのアドレスを見つける必要があります。 再接続して、dmesgを実行します| grep usb、およびusb XY.Zで始まる最後の行を見てください。 X、Y、およびZは、ホスト上のポートを一意に識別する整数です。 次に実行する

 [root@y550p ~]# echo -n XY.Z:1.0 > /sys/bus/usb/drivers/usbhid/unbind
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

1.0は、usbhidドライバーがリリースする構成とインターフェイスです。 すべてを結びつけるには、/ sys / bus / usb / drivers / usbhid / bindに同じことを書きます。



これで、レポート記述子フィールドから情報が得られます。

 Report Descriptor: (length is 52) Item(Global): Usage Page, data= [ 0xa0 0xff ] 65440 (null) Item(Local ): Usage, data= [ 0x01 ] 1 (null) ... Item(Global): Report Size, data= [ 0x08 ] 8 Item(Global): Report Count, data= [ 0x01 ] 1 Item(Main ): Input, data= [ 0x02 ] 2 ... Item(Global): Report Size, data= [ 0x08 ] 8 Item(Global): Report Count, data= [ 0x01 ] 1 Item(Main ): Output, data= [ 0x02 ] 2 ...
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

2つのレポートが提供されます。 1つはデバイスから読み取り（入力）、2つ目は書き込み（出力）です。 両方ともバイトサイズです。 ただし、それらの使用は明らかではありません。 比較のために、マウスのレポート記述子は次のようになります（すべてではなく、主要な行）。

 Report Descriptor: (length is 75) Item(Global): Usage Page, data= [ 0x01 ] 1 Generic Desktop Controls Item(Local ): Usage, data= [ 0x02 ] 2 Mouse Item(Local ): Usage, data= [ 0x01 ] 1 Pointer Item(Global): Usage Page, data= [ 0x09 ] 9 Buttons Item(Local ): Usage Minimum, data= [ 0x01 ] 1 Button 1 (Primary) Item(Local ): Usage Maximum, data= [ 0x05 ] 5 Button 5 Item(Global): Report Count, data= [ 0x05 ] 5 Item(Global): Report Size, data= [ 0x01 ] 1 Item(Main ): Input, data= [ 0x02 ] 2
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

ここではすべてが明確です。 タイプライターでは-それは明確ではなく、私たち自身でビットを使用することを推測する必要があります。

小ボーナス

ほとんどのラジコン玩具はシンプルで、同じ周波数で動作する標準的な受信機を使用しています。 したがって、このプログラムを使用して、このマシン以外の他のおもちゃを制御できます。

探偵の仕事

ネットワークトラフィックを分析する場合、スニファーが使用されます。 そして、私たちの場合、そのようなことが便利になります。 商用利用のための特別なUSBモニターがありますが、Wiresharkも私たちのタスクに適しています。



WiresharkでUSBインターセプトを設定します。 まず、カーネルでUSB監視を有効にします。 usbmonモジュールをダウンロードします。

 [root@y550p ~]# modprobe usbmon
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

特別なdebugfsファイルシステムをマウントします。

 [root@y550p ~]# mount -t debugfs none /sys/kernel/debug
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

/ sys / kernel / debug / usb / usbmonディレクトリが表示されます。これは、単純なシェルツールを使用してトラフィックを記録するために使用できます。

 [root@y550p ~]# ls /sys/kernel/debug/usb/usbmon 0s 0u 1s 1t 1u 2s 2t 2u
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

暗号化された名前のファイルがあります。 整数-バス番号（USBバスアドレスの最初の部分）; 0は、ホスト上のすべてのバスを意味します。 s-統計、t-転送、u-URB（進行中のトランザクションを表すUSB要求ブロック論理エンティティ）。 バス2のすべての転送を保存するには、次のように入力します。

 [root@y550p ~]# cat /sys/kernel/debug/usb/usbmon/2t ffff88007d57cb40 296194404 S Ii:036:01 -115 1 < ffff88007d57cb40 296195649 C Ii:036:01 0 1 = 05 ffff8800446d4840 298081925 S Co:036:00 s 21 09 0200 0000 0001 1 = 01 ffff8800446d4840 298082240 C Co:036:00 0 1 > ffff880114fd1780 298214432 S Co:036:00 s 21 09 0200 0000 0001 1 = 00
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

訓練されていない目では、ここでは何も明確ではありません。 Wiresharkがデータをデコードするのは良いことです。



次に、元のドライバーで動作するWindowsが必要です。 VirtualBoxにすべてをインストールするのが最適です（USBサポートが必要なため、Oracle Extension Packを使用）。 VirtualBoxがデバイスを使用できることを確認し、Windowsでマシンを制御するKeUsbCarを実行します。 Wiresharkを起動して、ドライバーがデバイスに送信するコマンドを確認します。 最初の画面で、usbmonXインターフェースを選択します。Xはマシンが接続されているバスです。 ルートの外部からWiresharkを実行する場合は、ノード/ dev / usbmon *に適切な権限があることを確認してください。







KeUsbCarの[進む]ボタンをクリックします。 Wiresharkは、いくつかの発信制御パケットを傍受します。 スクリーンショットは必要なものを示しています。 パラメーターから判断すると、これはSET_REPORT要求（bmRequestType = 0x21、bRequest = 0x09）であり、通常はキーボードの電球などのデバイスのステータスを変更するために使用されます。 確認したレポート記述子によると、データ長は1バイトで、レポート自体には0x01が含まれています（これも強調表示されています）。



右ボタンを押すと、同様のクエリが実行されます。 ただし、レポートにはすでに0x02が含まれています。 これは移動の方向を意味すると推測できます。 同様に、0x04が右逆、0x08が逆などであることがわかります。 ルールは単純です。方向コードは、KeUsbCarインターフェースのボタンの位置で左にシフトしたバイナリ単位です（時計回りにカウントした場合）。



エンドポイント1からの定期的な割り込み要求に注意することもできます（0x81、0x80はこれがエントリポイントであることを意味し、0x01はそのアドレスです）。 これは何ですか ボタンに加えて、KeUsbCarには充電インジケータがあるため、これはバッテリー情報である可能性があります。 車がガレージを離れない場合、それらの値は変化しません（0x05）。 それ以外の場合、割り込み要求は発生しませんが、元に戻すと再開されます。 そして、どうやら、0x05は「充電」を意味します（おもちゃは簡単なので、充電レベルは送信されません）。 バッテリーが充電されると、割り込みは0x85（7ビットが設定された0x05）を返し始めます。 どうやら、7ビットは「充電済み」を意味します。 0x05を構成するビット0と2の動作はまだ明確ではありません。

ほとんど本物のドライバーを書く

以前はサポートされていなかったデバイスでプログラムを動作させることは良いことですが、場合によってはシステムの残りの部分を動作させる必要があります。 つまり、ドライバーを作成する必要があり、これにはカーネルレベル（http://www.linuxvoice.com/be-a-kernel-hacker/）でのプログラミングが必要であり、今ではほとんど必要ありません。 しかし、USBについて話している場合は、おそらくそれなしでも実行できます。



USBネットワークカードがある場合、TUN / TAPを使用してPyUSBプログラムをLinuxネットワークスタックに接続できます。 TUN / TAPインターフェースは、tun0やtap1のような名前を持つ通常のネットワークインターフェースのように機能しますが、それらを通して、すべてのパッケージが/ dev / net / tunノードで利用可能になります。 pytunモジュールを使用すると、TUN / TAPを簡単に操作できます。 パフォーマンスは低下しますが、libusbを使用してCプログラムを書き換えることができます。



別の候補はUSBディスプレイです。 Linuxには、/ dev / fbXなどのフレームバッファーにアクセスできるvfbモジュールがあります。 ioctlを使用してコンソールをコンソールにリダイレクトし、/ dev / fbXのコンテンツをUSBデバイスにアップロードできます。 これも高速ではありませんが、USB経由で3Dシューティングゲームをプレイする予定はありません。

コードを書く

Windows用と同じプログラムを作りましょう。 6本の矢印と、マシンの充電中に点滅する充電レベル。 コードはgithubにありますgithub.com/vsinitsyn/usbcar.py



LinuxでUSBを使用するにはどうすればよいですか？ これは、libusbライブラリを使用してユーザー空間から実行できます。 Cで書かれており、USBの十分な知識が必要です。 簡単な代替手段はPyUSBです。 ユーザーインターフェイスには、PyGameを使用しました。



github.com/walac/pyusbからPyUSBソースをダウンロードし、setup.pyでインストールします。 libusbライブラリもインストールする必要があります。 マシンを制御する機能を、USBCarという元の名前のクラスに入れました。

 import usb.core import usb.util class USBCar(object): VID = 0x0a81 PID = 0x0702 FORWARD = 1 RIGHT = 2 REVERSE_RIGHT = 4 REVERSE = 8 REVERSE_LEFT = 16 LEFT = 32 STOP = 0
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

2つのメインPyUSBモジュールをインポートし、トラフィックを表示するときに計算したマシンを制御するための値を挿入します。 VIDおよびPIDは、lsusb出力から取得したマシンIDです。

 def __init__(self): self._had_driver = False self._dev = usb.core.find(idVendor=USBCar.VID, idProduct=USBCar.PID) if self._dev is None: raise ValueError("Device not found")
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

usb.core.find（）関数は、IDでデバイスを検索します。 詳細については、 github.com / walac / pyusb / blob / master / docs / tutorial.rstをご覧ください

  if self._dev.is_kernel_driver_active(0): self._dev.detach_kernel_driver(0) self._had_driver = True
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

lsusbで行ったように、カーネルドライバーを解きます。 0-インターフェース番号。 プログラムを終了すると、アクティブであった場合は、リリース（）でバインドし直す必要があります。 したがって、self._had_driverの初期状態を覚えています。

  self._dev.set_configuration()
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

構成を実行します。 このコードは、PyUSBがプログラマから隠している次のコードと同等です。

  self._dev.set_configuration(1) usb.util.claim_interface(0) def release(self): usb.util.release_interface(self._dev, 0) if self._had_driver: self._dev.attach_kernel_driver(0)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

このメソッドは、プログラムが終了する前に呼び出す必要があります。 使用済みのインターフェイスを解放し、カーネルドライバーを接続し直します。



機械の動き：

 def move(self, direction): ret = self._dev.ctrl_transfer(0x21, 0x09, 0x0200, 0, [direction]) return ret == 1
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

directionは、クラスの最初に定義された値の1つです。 ctrl_transfer（）は制御コマンドを渡します。 データは文字列またはリストとして送信されます。 このメソッドは、書き込まれたバイト数を返します。 1バイトしかないため、この場合はTrueを返し、そうでない場合はFalseを返します。



バッテリー状態の方法：

 def battery_status(self): try: ret = self._dev.read(0x81, 1, timeout=self.READ_TIMEOUT) if ret: res = ret.tolist() if res[0] == 0x05: return 'charging' elif res[0] == 0x85: return 'charged' return 'unknown' except usb.core.USBError: return 'out of the garage'
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

read（）メソッドは、エンドポイントアドレスと読み取るバイト数を受け入れます。 転送のタイプはエンドポイントによって決定され、記述子に保存されます。 また、プログラムがより速く動作するように、非標準のタイムアウト時間を設定します。 Device.read（）は、リストに変換する配列を返します。 最初のバイトをチェックして、充電ステータスを判断します。 マシンがガレージにない場合、read（）呼び出しは失敗し、usb.core.USBErrorエラーがスローされます。 このエラーはまさにこれによるものと想定しています。 その他の場合、「不明」のステータスを返します。



UIクラスは、ユーザーインターフェイスをカプセル化します。 主なものを見ていきましょう。 メインループはUI.main_loop（）にあります。 背景を写真で設定し、マシンがガレージにある場合は充電レベルを表示し、コントロールボタンを描画します。 次に、イベントを待ちます-クリックの場合、USBCar.move（）を介してマシンを指定の方向に移動します。



GUIを含むプログラム全体は、200行強を占めます。 ドキュメントのないデバイスにとっては悪くありません。



もちろん、かなり単純なデバイスを具体的に取り上げました。 しかし、世界には私たちのデバイスに似たデバイスがかなり多くあり、多くは私たちが取り上げたものとあまり変わらないプロトコルを使用しています。 複雑なデバイスのリバースエンジニアリングは簡単な作業ではありませんが、受信した電子メールを報告するデバイスなど、Linuxサポートにいくつかの装身具を追加できるようになりました。 これがあまり役に立たない場合は、少なくとも興味深いです。