Предисловие

Я являюсь обладателем одной интересной железки - SCT unit touch. Это медиа система с Android, которую ставили в виде дополнительного аксессуара в автомобили Volvo. Железка продавалась дистребьютерами Volvo, но разработана французским производителем электроники Parrot. По меркам Android, железка слабая, но по меркам встраиваемых систем вполне себе ок. Проблема в том, что ее оставили без поддержки как Volvo так и Parrot, cсобственно Гугл тоже давно убрал поддержку для столь старого Android. Из плюсов - железка не плохо интегрирована в машину и можно легко получить root. Из минусов - ни Parrot, ни Volvo не предоставляют ни исходники ядра ни SDK. В DevZone все давно потерто, поэтому придется допиливать напильником.

Спека

  • OS: Android 2.3.7 SDK:10 (API level - 10)

  • Processor: TI OMAP 3630 ARM Cortex-A8 800MHz (ARMv7 rev 2 v71)

  • Video: PowerVR SGX530 Resolution: 800x480 - 7"

  • Memory: 512MiB

  • Internal storage: 360MiB

  • System storage: 516MiB

  • System cache: 7,61MiB

  • 2xUSB (max.64GiB FAT32)

  • 1xSD-card (max.64GiB FAT32)

  • 1xRCA input

  • Bluetooth

  • WI-FI 802.11 n

Внешний вид

Знакомство

Посмотрим, что за ядро нам досталось и с какими параметрами оно запускается. Начнем с uname и /proc/cmdline. Первое дает нам информацию о ядре, второе показывает с какими параметрами оно было запущенно. В параметрах есть первая улика - sgx_reduce_pixels_left интересный аргумент, специфичный для TI OMAP. Немного поисков в интернете выдают ссылку на чужой github репозиторий - asteroid_smart_kernel. Упомяну, что Asteroid это название серии продуктов Parrot, на котором базируется SCT, при этом используется чип от TI.

Первая удача - версия ядра в репозитории соответствует тому, что мы имеем на устройстве. К счастью, ядро на системе скомпилированно с опцией CONFIG_IKCONFIG_PROC - это дает возможность узнать у ядра конфигурацию с которой его компилировали. Поэтому копируем конфиг с которым компилировалось ядро из /proc/config.gz. Файл конфигурации задает диспозицию, т.е. он включает или выключает определенные функции ядра и решает, какой функционал пойдет в само ядро, а какой будет скомпилирован в виде модулей.

# uname -r
2.6.35.13-02963-g0ac0fc3

# cat /proc/cmdline
androidboot.serialno=c5burjtir81tofqu5061 mtdparts=omap2-nand.0:512K(Pbootloader),16M(Pmain_boot),4M(Pfactory),1003M(Psystem),512K(Pmtdoops) console=null,115200 loglevel=0 ubi.mtd=Psystem,2048 ubi.mtd=Pfactory,2048 omap_vout.vid1_static_vrfb_alloc=y videoout=omap24xxvout omap_vout.video1_numbuffers=6 omapfb.vram=0:2M omapfb.mode=lcd:800x480MR-16@60 omaplfb.sgx_reduce_pixels_left=64 omaplfb.sgx_reduce_pixels_right=0 omaplfb.sgx_reduce_pixels_down=0  loglevel=0 androidboot.bootloader=ecos-bootloader-omap3630-start-58-gf2afe20

# adb pull /proc/config.gz

Дальше смотрим, по какому адресу ядро раскладывает свои внутренние символы. Для этого ищем в логах ядра начало инициализации. В данном случае - 0xc0108000 - 0xc0137000.

dmesg | grep init
<7>[    0.000000] free_area_init_node: node 0, pgdat c06a60fc, node_mem_map c0792000<5>[    0.000000]       
.init : 0xc0108000 - 0xc0137000   ( 188 kB)

Вторая улика, которая нам поможет - ядро скомпилированно с CONFIG_KALLSYMS_ALL. Поэтому достаем внутренние символы ядра:

adb pull /proc/kallsyms

Судя по адресам, в kallsyms адреса соответствуют инициализации.

cat kallsyms
c0108000 T stext
c0108000 T _sinittext
c0108000 T _stext
c0108000 T __init_begin
c0108034 t __enable_mmu
c0108060 t __turn_mmu_on
c0108078 t __create_page_tables
c01080f0 t __switch_data
c0108118 t __mmap_switched
c0108160 t __error
c0108160 t __error_a
c0108160 t __error_p
c0108168 t __lookup_processor_type
<much more>

Что это все значит и как с этим жить? Идем в исходники и берем уже знакомый нам по cmdline sgx_reduce_pixels_left. Это u32, т.е. 32 битный беззнаковый int. Описание говорит, что он урезает размер frame buffer с левой стороны.

В коде драйвера это выглядит подобным образом:

u32 sgx_reduce_pixels_left = CONFIG_SGX_XRES_REDUCE_PIXELS;
module_param(sgx_reduce_pixels_left, uint, S_IRUGO);
MODULE_PARM_DESC(sgx_reduce_pixels_left,"Reduce Android's size on framebuffer. Left");
EXPORT_SYMBOL_GPL(sgx_reduce_pixels_left);

В kallsyms это будет выглядеть таким образом:

cat kallsyms | grep sgx_reduce_pixels_left 
c063b5b0 r __param_sgx_reduce_pixels_left
c0521b10 t __param_str_sgx_reduce_pixels_left
c061f810 r __ksymtab_sgx_reduce_pixels_left
c0625180 r __kcrctab_sgx_reduce_pixels_left
c0630bfe r __kstrtab_sgx_reduce_pixels_left

Формат: aдрес / тип / имя (префикс имеет значение)

  • T - глобальная функция

  • t - локальная функция модуля компиляции (static)

  • D - глобальные данные

  • d - локальные данные

  • R - глобальные read-only данные

  • r - локальные read-only данные

  • kstrtab - строковое имя символа

  • kcrctab - адрес CRC суммы каждого символа (будет разобрано дальше)

  • ksymtab - структура, которая описывает сам символ

Компиляция

Для начала определимся с компилятором, который использовал оригинальный автор.

# cat /proc/version
Linux version 2.6.35.13-02963-g0ac0fc3 (g-beguin@FR-B-800-0057) (gcc version 4.4.3 (GCC) ) #1 PREEMPT Mon Feb 10 11:02:21 CET 2014

GCC 4.4.3 можно взять тут. Интересно, что beguin - это имя пользователя. Нашел на Linkedin только одного embedded разработчика с такой фамилией, но он не признался, что это его рук дело =) Вторая теория более скучная и говорит, что beguin можно перевести с французского, как "увлечение".

Выкачиваем один рандомный модуль ядра с устройства, чтобы посмотреть на его внутренности:

adb pull /system/lib/modules/2.6.35.13-02963-g0ac0fc3/kernel/drivers/media/video/tvp5150.ko
/system/lib/modules/2.6.35.13-02963-g0ac0fc3/kernel/drivers/media/video/tvp5150.ko: 1 file pulled. 0.2 MB/s (27496 bytes in 0.162s)

что говорит modinfo:

modinfo ./tvp5150.ko 
filename:       ./tvp5150.ko
license:        GPL
author:         Mauro Carvalho Chehab
description:    Texas Instruments TVP5150A video decoder driver
srcversion:     A9FDE6A9EB55B0DBACD3892
alias:          i2c:tvp5150
depends:        
vermagic:       2.6.35.13-02963-g0ac0fc3 preempt mod_unload modversions ARMv7 
parm:           debug:Debug level (0-2) (int)

Самое интересное тут - vermagic. По сути это - виза для модуля, по которой ядро решает пускать его или нет. Если vermagic не сойдется, то ядро нас вышвырнет. К сожалению, хотя исходники у нас соответствует по версии, но у нас нет нужного коммита, т.к. кровавые корпорации не хотят делиться модифицированным GPL кодом. По скольку у нас есть конфиг - это частично решает проблему, но не до конца. Выкачиваем исходники ядра и . скармливаем ему наш конфиг.

git clone https://github.com/CunningLogic/asteroid_smart_kernel.git
dtrx config.gz

Теперь нам нужно подделать vermagic. Для этого выставим два параметра: включим логику билд системы для автоматического определения версии и выставим локальную версию на нужный нам коммит.

CONFIG_LOCALVERSION_AUTO=y
CONFIG_LOCALVERSION="-02963-g0ac0fc3"

Первый полёт

Минимальный модуль:

#include <linux/module.h>
#include <linux/kallsyms.h>

static int __init prsyms_init(void)
{
    printk(KERN_INFO "we are in!\n");
    return 0;
}

static void __exit prsyms_exit(void)
{
    
}

module_init(prsyms_init);
module_exit(prsyms_exit);

MODULE_AUTHOR("incogn1to");
MODULE_DESCRIPTION("Get into unknown kernel");
MODULE_LICENSE("GPL"); 

Простенький мейк:

obj-m += hevg.o

all: 
	make -C .. M=$(PWD) modules
clean: 
	make -C .. M=$(PWD) clean 

При компиляции - выставляем архитектуру, версию и путь к компилятору. Почем так сложно? Это станет понятно немного дальше.

#!/bin/sh
export ARCH=arm
export CONFIG_LOCALVERSION="-02963-g0ac0fc3"
export CROSS_COMPILE=~/tools/arm-linux-gcc-4.4.3/bin/arm-none-linux-gnueabi-
make

Смотрим, что получилось:

modinfo hevg.ko
filename:       /home/incogn1to/src/asteroid_smart_kernel/hevg/hevg.ko
license:        GPL
description:    Control over virtual buttons
author:         incogn1to
srcversion:     B73A9A163E53563A49DD2B5
depends:        path
vermagic:       2.6.35.13-02963-g0ac0fc3+ preempt mod_unload modversions ARMv7 

Vermagic почти такой, какой нам нужен, но есть лишний плюсик. Это работа скрипта, который называется setlocalversion. Этот скрипт распознал изменения в репозитории, которые не были закомичены в репозиторий и решил таким образом отметить этот факт. Придется отучить его это делать. Сделаем так, чтобы scm_version просто возвращала CONFIG_LOCALVERSION.

scm_version()
{
    return ${CONFIG_LOCALVERSION};
}

Еще раз запускаем компиляцию и смотрим результат.

modinfo hevg.ko
filename:       /home/incogn1to/src/asteroid_smart_kernel/hevg/hevg.ko
license:        GPL
description:    Control over virtual buttons
author:         incogn1to
srcversion:     B73A9A163E53563A49DD2B5
depends:        path
vermagic:       2.6.35.13-02963-g0ac0fc3 preempt mod_unload modversions ARMv7 

Теперь veramagic идентичен модулю взятому с системы и можно попробовать внедрить модуль в kernel space. Пробуем...

# insmod ./hevg.ko
insmod: init_module './hevg.ko' failed (Exec format error)

К сожалению что-то пошло не так. Но что...

dmesg | grep hevg
<4>[  444.145111] hevg: no symbol version for module_layout

Хьюстон, у нас проблема...

Основная проблема прячется за включенным modversions. Это значит, что при компиляции, для каждого символа ядра вычисляется CRC и мы можем вызвать только те символы, CRC которых мы знаем. Если CRC не сходится - ядро отказывается от вызова. Что мы можем сделать? Взять CRC символов из модулей, которые есть на системе. Расковырять их нам поможет вот этот скрипт. В итоге получаем Module.symvers с известными нам CRC. Их смело можем использовать. Вызовы к другим символам будут отвергнуты ядром.

Натравливаем скрипт на доступные модули ядра и в итоге получаем новый Module.symvers.

0x56941536	tty_kref_put	dummy/path
0xa4755a9a	tty_port_tty_get	dummy/path
0xdb3877d	___dma_single_dev_to_cpu	dummy/path
0xa69430b5	mmc_card_sleep	dummy/path
0x94af632e	complete_all	dummy/path
0xefef88d5	posix_lock_file_wait	dummy/path
0xe55e144a	proc_dointvec_minmax	dummy/path
0xdd80f922	usb_wwan_dtr_rts	dummy/path
0xaf5bf6ef	nfs_debug	dummy/path
0xf8ca57a9	nf_ct_l3proto_put	dummy/path
0xc4ddd373	usbnet_get_ethernet_addr	dummy/path
0xe0878bfe	__krealloc	dummy/path
0x8463fdda	consume_skb	dummy/path
0x98447920	sunrpc_cache_unregister_pipefs	dummy/path
0x8e9e1a6c	sock_sendmsg	dummy/path
0xd03c7700	secure_ipv4_port_ephemeral	dummy/path
0x20000329	simple_strtoul	dummy/path
0x3d7690a1	crypto_spawn_tfm	dummy/path
0x767002b6	snd_ctl_add	dummy/path
0xb54533f7	usecs_to_jiffies	dummy/path
0xa9a951a0	tty_hangup	dummy/path
0x4336eda0	dev_driver_string	dummy/path
0xfbe27a1c	rb_first	dummy/path
0x2882da10	rfkill_alloc	dummy/path
0x2a14ddb8	ethtool_op_set_tx_hw_csum	dummy/path
0x567e5b8	sdio_readsb	dummy/path 
<much more>

Копируем наш новенький Module.symvers в корень ядра и запускаем компиляцию модуля. Теперь становится понятно, почему нам нужен такой странный способ компиляции. Задача - скомпилировать модуль относительно существующих symvers и config, так чтобы при этом система сборки ядра их не трогала и не пыталась пересчитать. Если все сделано правильно, то ядро примет наш модуль.

NB! Если symvers для символа не известен - модуль все равно скомпилируется, т.к. make просто выставит там 0x00, что будет отвергнуто ядром.

Заливаем его на устройство и скармливаем ядру c помощью insmod.

adb push hevg.ko /mnt/sdcard
hevg.ko: 1 file pushed. 0.2 MB/s (23834 bytes in 0.129s)
adb shell
cd /mnt/sdcard
insmod ./hevg.ko
dmesg
<3>[  869.831817] init: untracked pid 4872 exited
<6>[ 1130.217773] we are in!

Репозиторий с моими изменениями доступен тут. Ветка называется sct.

PS

Была part 0 с получением root, но я решил, что это уже сто раз было описано. Если кому-то будет интересно - могу сделать туториал.

Если у кого-то по абсолютной случайности сохранились исходники от этой железки - буду очень рад.

Ссылки по теме:

Комментарии (16)


  1. ingumsky
    20.01.2023 12:02
    +2

    Интересная статья, спасибо. Как обладателю Вольво (но без такой железки) было очень интересно посмотреть. Не хватает только описания того, была ли она у вас установлена и перестала работать, или вы купили и решили поставить себе. Ну и в целом немного не хватает вступления и результата в сравнении — было-стало. На вашем битбакете в описании проекта в этом смысле больше информации.


    1. safari2012
      20.01.2023 15:22
      +1

      Вот у меня в точности такая же торпеда и ГУ, что на КДПВ, но внутри QNX без всяких тачей. Одна польза - встроенный клиент интернет радио TuneIn не блокирует наши станции...

      Вот описание железки на сайте Вольво. У меня автомобиль конца 2014г.в., но уже 2015MY, к сожалению.


      1. ingumsky
        20.01.2023 17:32
        +1

        У меня S80 конца 2012, но без тача :)


        1. incogn1too Автор
          20.01.2023 18:19
          +1

          У меня XC60 2014.


          1. safari2012
            21.01.2023 20:48

            вам обоим подходит, но железяка сильно устаревшая, имхо.


            1. incogn1too Автор
              21.01.2023 20:53

              Тут никто не спорит. Вопрос - как выжать из нее максимум.


            1. strvv
              21.01.2023 23:28

              Ну в принципе, если использоватьndk старых версий, где поддержку 2.х не убрали - можно много чего натворить даже на старом слабом. Даже 1.5 андроид имеется.


    1. incogn1too Автор
      20.01.2023 18:22
      +1

      SCT покупал отдельно. Я еще не закончил все, что хочу сделать.


  1. victor_1212
    20.01.2023 14:30
    +1

    мне тоже понравилось, грамотная статья


    1. incogn1too Автор
      20.01.2023 18:23

      Благодарю.


  1. sparhawk
    20.01.2023 15:10
    +3

    Как раз на январских пытался запустить какое-нибудь Linux-приложение под Motorola Milestone на Android 2.1 с чипом TI OMAP3430 - очень похожая система.

    Сначала тоже пришлось скомпилировать драйвер для EXT4 (он появился только в более поздних Android-ах), но это было проще чем в вашем случае - исходники до сих пор лежат на сайте Motorola.

    Потом взял готовый Debian 8 для моего BeagleBoard (в нем тоже TI OMAP - 3530 или 3730) и попытался сделать chroot в него - FATAL: kernel too old. Пришлось перекомпилировать Glibc под старое ядро 2.6.26 - тут старенький BeagleBoard и пригодился. Glibc собрать удалось но проверить на BeagleBoard, но под Milestone все приложения Debian падают с Segmentation Fault.

    Пока забил, хотя могла бы получиться хорошая статья. Но у вас приключение покруче, без исходников.


    1. incogn1too Автор
      20.01.2023 18:26
      +1

      EXT мне еще предстоит.


      1. sparhawk
        21.01.2023 14:09
        +2

        Если вам удалось загрузить свой модуль, то с EXT3(4) проблем возникнуть не должно — там нужны всего лишь crc16, jbd(2). И еще само файловую систему подтюнить: не все распространенные ныне фичи могут поддерживаться старым ядром — man 5 ext3(4)


    1. incogn1too Автор
      20.01.2023 22:46
      +1

      Попробуйте LinuxDeploy. Версия 2.0.2 должна работать на старом ядре.
      https://github.com/meefik/linuxdeploy/releases


      1. sparhawk
        21.01.2023 14:26
        +2

        Для LinuxDeploy требуется возможность запуска нативного кода из приложения, которая появилась только в Android 2.2, а у меня 2.1, и перепрошивать не хочется.
        Использовал альтернативный вариант, описанный в этой статье: habr.com/ru/post/331546


        1. EXL
          21.01.2023 17:39
          +2

          Перепрошивка Motorola Milestone довольно тривиальна и может быть выполнена не только в Windows через RSD Lite, но и в Linux с помощью утилиты sbf_flash. Недавно кто-то на форуме где обсуждают устройства Motorola как раз писал об успешной прошивке Milestone этой утилитой. Где-то тут: https://forum.motofan.ru/index.php?s=&showtopic=175745&view=findpost&p=1796157, последняя официальная прошивка для Milestone как раз с Android 2.2.1 и относительно чистым Android'ом.

          P.S. Автору статьи возможно будет интересен метод разгона CPU на его железке, хотя и не знаю зачем он там ему нужен, он тоже работает через подгрузку кастомного модуля ядра, вот исходники и пару интересных страничек в Wiki посвящённых Kernel Hacking на схожем SoC:

          https://code.google.com/archive/p/milestone-overclock/downloads
          https://code.google.com/archive/p/milestone-overclock/wikis