はじめに
送料込みで約5000円で買えるPan/Tilt CameraのAtomSwingを購入したので遊んでみました。
この記事ではAtomSwingのアプリであるiCamera_appとliblocalsdk.so, liblocalsdk_motor.soを解析して改造するための手順を説明します。
※ 以下の内容を実行する場合は各自の責任において行ってください。 当然ながらメーカーへの問い合わせは厳に慎んでください。
準備
AtomSwing
AtomCam2では既に色々と見ていたので（下記Qiitaの記事）AtomSwingもほぼ同じだろうと当たりをつけて見てみました。
WiFiのDriverが変更になっていたのとmotorのdriverが追加になった以外はAtomCam2と同じ構成で簡単にloginできる状態までいきました。
関連記事
githubに展開用のイメージも置いてあります。
上記のイメージのauthorized_keysにsshの公開鍵を設定したSD-Cardを作成、AtomSwingにセットして起動します。
build環境
build.md
の中の
- 必要なbuild環境
- build方法
の手順で一度イメージをbuildした環境を作ります。
後々このdocker環境内でMIPSのobjdumpをしたり、iCamera_appのhookを追加するのに利用します。
Ghidra
アプリやライブラリの中をざっと探すのに非常に便利なツールです。
Ghidraの使い方はGoogleで検索すると解説されている方達がいますのでここでは割愛します。
ただし、以下の点でMIPSへの対応はあまりちゃんと実装されてないようです。
-
FPUを含むcalling conventionが正しく解釈されない
floatを引数に含む関数の引数がおかしくなる
-
S0~S3レジスタをベースとして計算されるoffset計算の場合の解釈が正しくない
これらの問題もあるので、ちゃんと意味を解釈したい関数の場合は逆アセンブルを読んだほうがいいです。
de-compile結果だと意味不明なことが多々あり嵌まります。
大まかな流れを掴むために使うのが良いかと思います。
gcc一式
上でbuildしたdocker環境内にMIPSのgcc関連一式があります。
製品のAtomCamのアプリはuClibc用にbuildされているので解析にはこちらを使います。
/openmiko/build/mips-gcc472-glibc216-64bit/bin/mips-linux-uclibc-gnu-*
hackしている方のlinux環境は色々とbuildを通す都合上、一般的なlibc環境にしています。
解析手順
以下、AtomSwingにsshでloginできる状態から説明します。
ここではAtomSwingの新機能であるpan/tiltのmotor制御を解析していきます。
sshでloginすると/atom以下に元々のAtomSwingの/(root partition)がmountされています。
/atom/system/bin/iCamera_appがAtomCamのアプリケーション本体です。
/atom/system/lib/liblocalsdk.soがingenic T31用のvideo/audio系のライブラリ
/atom/system/lib/liblocalsdk_motor.soがmotor制御のライブラリ
他にもありますが、motorに関するところをメインに見ていきます。
まず、motor制御関連と思われるliblocalsdk_motor.soをghidraに読み込ませて見ていきます。
SymbolTreeのwindowでFunctionsをみてそれらしい関数をpickupします。
APIとして出ていそうなlocak_sdk_motor_*あたりが怪しそうです。
その中でもmove, move_abs_angle, move_abs_step, move_rel_angle, move_rel_step, move_track, get_positionあたりが何か使えそうです。
GhidraでiCammera_appも開いてみます。
MenuからSearch->ProgramTextを開いてSearch for: にlocal_sdk_motor_move、FieldsをInstruction OperandsにしてSearchAllを実行すると呼び出してる箇所が出てきます。
後半のliblocalsdk_motor.so::*の方はlibrary側なので無視して、呼び出し側のFUN_*の方を見て使っている関数を確認していきます。
move_track, move, move_rel_step, move_abs_angleが呼ばれてます。
同様にget_positionも確認、こちらも４箇所で使われてました。
全部追いかけるのは大変なので、絶対角で移動させられそうな
locak_sdk_motor_move_abs_angle
と現在の方向を取れそうな
locak_sdk_motor_get_position
に目星をつけて追ってみます。
（実際には他にもmoveとかmove_trackとかも途中まで追ったのですが、上の２つで目的果たせそうだったので放棄しました）
local_sdk_motor_get_position
まず、値を返してくる方のget_positionの方から攻めてみます。
Ghidraでliblocalsdk_motor.soのSymbol Treeでlocal_sdk_motor_get_positionをクリックします。
Decompile windowに関数のコードが表示されます。
undefined4 local_sdk_motor_get_position(float *param_1,float *param_2)
{
int iVar1;
undefined4 uVar2;
float fVar3;
if (g_sdkMotorInitOk == 0) {
uVar2 = 0xffffffff;
}
else {
control_motor_inner(motorport_fd,4,&DAT_00022b04);
fVar3 = change_stepX_to_angle(DAT_00022b04);
iVar1 = DAT_00022b08;
*param_1 = fVar3;
fVar3 = change_stepY_to_angle(iVar1);
*param_2 = fVar3;
uVar2 = 0;
}
return uVar2;
}
returnしている値は-1か0なのでint型と推測できます。
motorの初期化が完了していなければ-1を返し、それ以外なら
*(float *)param_1にchange_stepX_to_angle(DAT_00022b04);
*(float *)param_2にchange_stepY_to_angle(iVar1);
を返しているようです。
なので関数としては
int local_sdk_motor_get_position(float *pan,float *tilt);
で返り値は成功時は０失敗時に−１が返り、*panと*tiltにfloatで方向が返ると思われます。
値の範囲とかはこの後、motor_move_abs_angleと一緒に確認します。
local_sdk_motor_move_abs_angle
こちらもGhidraで見ていきます。
get_positionと同様にSymbol Treeでlocal_sdk_motor_move_abs_angleをクリックしDecompile windowを見ていきます。
undefined4 local_sdk_motor_move_abs_angle(undefined8 param_1,undefined4 param_2,undefined4 param_3,undefined4 param_4,undefined4 param_5,undefined4 param_6)
{
undefined4 uVar1;
undefined4 uVar2;
if (g_sdkMotorInitOk != 0) {
uVar1 = change_angleX_to_step();
uVar2 = change_angleY_to_step(param_2);
/* WARNING: Could not recover jumptable at 0x0001212c. Too many branches */
/* WARNING: Treating indirect jump as call */
uVar1 = local_sdk_motor_move_abs_step(uVar1,uVar2,param_5,param_6);
return uVar1;
}
return 0xffffffff;
}
こちらも順番に見ていきますが、何やらパラメータが沢山あります。
まず返り値はmotorの初期化前の場合は-1を返すようです。
正常時はlocal_sdk_motor_move_abs_step()の返り値をそのまま返します。
change_angleX_to_step()はなんかおかしいですね。
int change_angleX_to_step(float param_1)
{
return (int)((param_1 * fRam00002980) / fRam00002984);
}
中をみるとfloatの引数を変換してintで返しています。
local_sdk_motor_move_abs_angle:0
00010f20 02 00 1c 3c lui gp,0x2
00010f24 90 9a 9c 27 addiu gp,gp,-0x6570
00010f28 21 e0 99 03 addu gp,gp,t9
00010f2c 28 80 82 8f lw v0,-0x7fd8(gp)=>PTR_000229d8 = 00000000
00010f30 28 80 83 8f lw v1,-0x7fd8(gp)=>PTR_000229d8 = 00000000
00010f34 80 29 40 c4 lwc1 f0,0x2980(v0)
00010f38 02 63 00 46 mul.S f12,f12,f0
00010f3c 84 29 60 c4 lwc1 f0,0x2984(v1)
00010f40 03 60 00 46 div.S f0,f12,f0
00010f44 0d 00 00 46 trunc.w.S f0,f0
00010f48 08 00 e0 03 jr ra
00010f4c 00 00 02 44 _mfc1 v0,f0
MIPSのcalling conventionだと整数値の引数はa0~a3とstack、floatの場合f12~f14を使用しますがsingleの場合はf12, f14のみ使用するので、この関数の引数はf12で渡ってきていています。
なので、呼び出し側でf12にセットしているのが見えなくなっているようです。
これは、local_sdk_motor_move_abs_angleのparam1がそのまま渡ってきているためlocal_sdk_motor_move_abs_angleの解析時にparam1が現れなかったものと思われます。
これらを元にlocal_sdk_motor_move_abs_abgleをGhidra上で編集します。
関数名のところで右clockしてEdit Function Signatureで関数の定義を編集します。
ついでにlocal変数も関数名を元にint stepXとint stepYとしてみます。
int local_sdk_motor_move_abs_angle(float pan,float tilt,undefined4 param_3,undefined4 param_4,undefined4 param_5,undefined4 param_6)
{
int stepX;
int stepY;
if (g_sdkMotorInitOk != 0) {
stepX = change_angleX_to_step(pan);
stepY = change_angleY_to_step(tilt);
stepX = local_sdk_motor_move_abs_step(stepX,stepY,param_5,param_6);
return stepX;
}
return -1;
}
次に、local_sdk_motor_move_abs_step()の中を見ていきます。
int local_sdk_motor_move_abs_step(int param_1,int param_2,undefined4 param_3,undefined4 param_4,undefined4 param_5,undefined4 param_6)
{
int iVar1;
undefined4 local_30;
int local_2c;
int local_28;
if (g_sdkMotorInitOk == 0) {
iVar1 = -1;
}
else {
iVar1 = paras_check_abs();
if (-1 < iVar1) {
iVar1 = schedule_new_task(1,param_6,param_4,param_5,local_30);
if (iVar1 == 0) {
puts((char *)0x28ac);
local_sdk_motor_speed(param_3);
control_motor_inner(motorport_fd,4,&DAT_00022b04);
local_2c = param_1 - DAT_00022b04;
local_28 = param_2 - DAT_00022b08;
printf((char *)0x28bc,local_2c,local_28,param_3);
iVar1 = control_motor_inner(motorport_fd,3,&local_2c);
return iVar1;
}
}
}
return iVar1;
}
なんか引数の数が合わないです。中を読んでいきます。
param_1はstepX, param_2はstepYです。
param_3はmotor_speedのようです。
param_4~6はschedule_new_task()を見ていきます。
schedule_new_taskの引数1つ目は1、2,3,4番目は上からきた引数、5番目はlocal_30だけどどこでも定義されてないようです。
逆アセンブルを確認してみるけどなんか使われてる感じがないです。中を追っていきます。
undefined4 schedule_new_task(undefined4 param_1,uint param_2,undefined4 param_3,undefined4 param_4,undefined4 param_5)
{
undefined4 uVar1;
if (motor_module_status == 0) {
puts((char *)0x2690);
uVar1 = 0xffffffff;
}
else {
if (param_2 < 4) {
if (0 < curr_task._0_4_) {
if (curr_task._4_4_ <= param_2) {
printf((char *)0x2734,curr_task._4_4_,param_2);
uVar1 = 0xfffffffb;
goto LAB_00011630;
}
stop_curr_task();
}
pthread_mutex_lock((pthread_mutex_t *)mutex_task);
puts((char *)0x2780);
curr_task._0_4_ = param_1;
curr_task._4_4_ = param_2;
curr_task._8_4_ = param_3;
curr_task._12_4_ = param_4;
pthread_mutex_unlock((pthread_mutex_t *)mutex_task);
return 0;
}
puts((char *)0x2714);
uVar1 = 0xfffffffd;
}
LAB_00011630:
uVar1 = cancel_new_task(param_1,param_2,param_3,param_4,param_5,uVar1);
return uVar1;
}
param_2は4以下の値で、その先でcure_task._4_4_と比較して大きかったらエラーを返しています。
正常時にはcur_task._4_4_に入れてるのでpriorityの設定のようにみえます。
priorityの比較を通った場合にはcurr_taskを停止させる処理をしているようなので、cure_task._0_4_は実行中taskのフラグかもしれません。
となると残るparam_3,4はcallback関数かもしれないです。
cancel_new_task()を開いてみます。
undefined4 cancel_new_task(void)
{
code *in_a3;
undefined4 in_stack_00000014;
if (in_a3 != (code *)0x0) {
(*in_a3)(in_stack_00000014);
}
return in_stack_00000014;
}
あれ？引数がないですね。
逆アセンブルを確認
cancel_new_task
00011364 e0 ff bd 27 addiu sp,sp,-0x20
00011368 18 00 b0 af sw s0,local_8(sp)
0001136c 1c 00 bf af sw ra,local_4(sp)
00011370 20 00 a4 af sw param_1,local_res0(sp)
00011374 24 00 a5 af sw param_2,local_res4(sp)
00011378 28 00 a6 af sw param_3,local_res8(sp)
0001137c 2c 00 a7 af sw param_4,local_resc(sp)
00011380 04 00 e0 10 beq param_4,zero,LAB_00011394
00011384 34 00 b0 8f _lw s0,param_6(sp)
00011388 21 c8 e0 00 move t9,param_4
0001138c 09 f8 20 03 jalr t9
00011390 21 20 00 02 _move param_1,s0
LAB_00011394 XREF[1]: 00011380(j)
00011394 1c 00 bf 8f lw ra,local_4(sp)
00011398 21 10 00 02 move v0,s0
0001139c 18 00 b0 8f lw s0,local_8(sp)
000113a0 08 00 e0 03 jr ra
000113a4 20 00 bd 27 _addiu sp,sp,0x20
param_4をcallしているのでparam4は関数ポインタ。
param_1~3を引数にparam_4を呼び出しているようなので、param4はcancel時のcallback関数。
だとするとparam_3は正常終了時のcallback関数かな。
今度はiCamera_appの方でlocal_sdk_motor_move_abs_angle()を呼び出している側を確認してみます。
MenuのSearch->Program TextでSearch for :local_sdk_motor_move_abs_angle,FieldsでInstruction Operandsで検索します。
void FUN_00431164(undefined4 param_1,undefined4 param_2)
{
FUN_00430f34();
FUN_0045034c(DAT_00576304);
local_sdk_motor_move_abs_angle(param_1,param_2);
return;
}
引数が合わないので逆アセンブルを確認
FUN_00431164
00431164 c8 ff bd 27 addiu sp,sp,-0x38
00431168 34 00 bf af sw ra,local_4(sp)
0043116c 28 00 a6 af sw a2,local_10(sp)
00431170 20 00 ac e7 swc1 f12,local_18(sp)
00431174 cd c3 10 0c jal FUN_00430f34 undefined FUN_00430f34()
00431178 24 00 ae e7 _swc1 f14,local_14(sp)
0043117c 57 00 02 3c lui v0,0x57
00431180 d3 40 11 0c jal FUN_0045034c undefined FUN_0045034c()
00431184 04 63 44 8c _lw a0,offset DAT_00576304(v0) = FFFFFFFFh
00431188 43 00 02 3c lui v0,0x43
0043118c 20 00 ac c7 lwc1 f12,local_18(sp)
00431190 24 00 ae c7 lwc1 f14,local_14(sp)
00431194 28 00 a6 8f lw a2,local_10(sp)
00431198 80 05 42 24 addiu v0,v0,0x580
0043119c 10 00 a2 af sw v0=>FUN_00430580,local_28(sp)
004311a0 43 00 07 3c lui a3,0x43
004311a4 02 00 02 24 li v0,0x2
004311a8 14 00 a2 af sw v0,local_24(sp)
004311ac 78 46 15 0c jal liblocalsdk_motor.so::local_sdk_motor_move_abs undefined local_sdk_motor_move_a
004311b0 44 09 e7 24 _addiu a3=>FUN_00430944,a3,0x944
004311b4 34 00 bf 8f lw ra,local_4(sp)
004311b8 08 00 e0 03 jr ra
004311bc 38 00 bd 27 _addiu sp,sp,0x38
f12, f14を設定しているので第１、第２引数はやはりfloat pan, float tilt, 第３引数はmotor_speed,第４引数は正常時のcallback, 第５引数はキャンセル時のcallback,第６引数はpriorityと想定します。
その想定で呼び出している関数の引数を設定し直すとこんな感じになります。
void FUN_00431164(float pan,float tilt,undefined4 dummy1,uint dummy2,int speed,void *done, void *cancel,uint priority)
{
uint dummy1_00;
FUN_00430f34();
dummy1_00 = DAT_00576304;
FUN_0045034c();
local_sdk_motor_move_abs_angle(pan,tilt,dummy1_00,dummy2,speed,FUN_00430944,FUN_00430580,2);
return;
}
dummy1, dummy2はcalling conventionでfloat使用時に無視されるa0, a1です。本来の関数は
void FUN_00431164(float pan,float tilt, int speed,void *done, void *cancel,uint priority)
ですが、Ghidraの仕様で仮にdummyを置いています。
local_sdk_motor_move_abs_angleの呼び出し部分も本来は下記になります。
local_sdk_motor_move_abs_angle(pan,tilt,speed,FUN_00430944,FUN_00430580,2);
このFUN_00430944,FUN_00430580を確認していきます。
undefined4 FUN_00430944(undefined4 param_1,undefined4 param_2)
{
DAT_0057630c = param_2;
DAT_00576310 = param_1;
FUN_004308f0();
if ((DAT_005762e4 == -1) && (DAT_005762e4 = FUN_004500e0(), DAT_005762e4 < 0)) {
return 0xffffffff;
}
FUN_0045034c(DAT_005762e4);
DAT_00644270 = 0;
return 0;
}
これも逆アセンブルをみるとFPU命令がありますので修正
int FUN_00430944(float pan,float tilt)
{
DAT_0057630c = tilt;
DAT_00576310 = pan;
FUN_004308f0(pan,tilt);
if ((DAT_005762e4 == -1) && (DAT_005762e4 = FUN_004500e0(), DAT_005762e4 < 0)) {
return -1;
}
FUN_0045034c(DAT_005762e4);
DAT_00644270 = 0;
return 0;
}
こんな感じかと思います。
こちらは正常動作完了で最後の位置情報を保存しているようです。
同じようにFUN_00430580も見てみます。
int FUN_00430580(void)
{
if ((DAT_005762e4 == -1) && (DAT_005762e4 = FUN_004500e0(), DAT_005762e4 < 0)) {
return -1;
}
FUN_0045034c(DAT_005762e4);
DAT_00644270 = 0;
return 0;
}
これらをまとめると
int local_sdk_motor_move_abs_angle(float pan, float tilt, int speed, void (*done)(float a, float b), void (*canceled)(void), uint priority)
と思われます。
各関数の引数の範囲確認
iCamera_appを起動する時に
LD_PRELOAD=/tmp/system/lib/modules/libcallback.so /system/bin/iCamera_app
としてlibcallback.soをPRELOADさせています。
libcallbackのコードは
github.com mnakada/atomcam_tools/lib/callback
にあります。上に書いたbuild環境でbuildすることができます。
この中のcommand.cでiCamera_appに外部コマンドを受け付けるthreadを追加しています。
このthreadではlocalhostからのsocketをport 4000で受け付けます。
shell scriptからはncを使って繋ぐために/scripts/cmdを用意していますが中身は
#!/bin/sh
echo "$*" | /usr/bin/nc localhost 4000
とone linerです。
/scripts/cmd move
を実行するとiCamera_appの中でlocal_sdk_motor_get_posを呼び出して値をsocket経由で返します。
アプリで端までAtomSwingを移動させ返り値を確認して、反対側の端まで移動して再度返り値を確認します。
移動範囲としてpan 0~355, tilt 0-180であることが確認でき、パラメータの単位がdegreeであることがわかりました。
また、同様に引数をつけて実行するとlocal_sdk_motor_abs_angleを実行できるようにしたので動作確認していきます。
/scripts/cmd move 355 90
を実行するとpan=355, tilt=90の位置まで移動することを確認できました。
とりあえずサンプルとしてmotorの両側の端点に当てることで座標系を補正するshell scriptを作っていみました。
/scripts/motor_init
これの中身は
#!/bin/sh
# move [<pan(0-355 deg)> <tilt(0-180 deg)> [<pri 0:top, 1:high, 2:normal, 3:weak>]]
# move -> <pan(deg)> <tilt(deg)>
pos=`/scripts/cmd move`
/scripts/cmd move 0 0 1
/scripts/cmd move 355 180 1
/scripts/cmd move $pos 1
で、最初にposに初期値のpan/tiltを取得、0,0に移動、355,180に移動、最初の位置に戻すというものです。
まとめ
AtomSwingをGhidraを使って解析してコマンドを追加するところまでをやってみました。
他にも色々と遊べそうな関数がshared libraryに出ています。殆どの一般的な関数もhookをかけることができるので大抵のことはできそうです。
ぜひメーカーに迷惑をかけない範囲で遊んでみてください。