【Emuelec】emmc刷写工具ceemmc原理分析

ceemmc是emuelec官方闭源的刷入emmc的工具，但在4.3以后就官方不提供了，好在旧版本的ceemmc是二进制程序，放到新系统上也能用，于是乎分析其工作原理，自己折腾，自己将4.5游戏系统刷入emmc的一点经验总结（单系统模式）

1.根据emmc中现有的分区表分析现有分区状态和可用空间，并且迁移cache、data、code等分区，并计算出创建CE_FLASH、CE_STORAGE分区所需的偏移量（4.3版本的ceemmc下，bootloader占用4M、 env占用8M、 misc占用8M、  logo占用8M、dtbo占用8M、 reserved占用64MB、CE_FLASH占用2GB，CE_STORAGE占用剩余的所有空间

2.在emmc中创建包含CE_FLASH、CE_STORAGE的新的分区表

因为ceemmc是不开源的，看不到源码，所以以上2步是通过二进制逆向分析了解的（可能理解不全面）

这里的关键是创建一张新的分区表以替换/dev/reserved中旧的分区表信息（可能还有别的辅助步骤，比如修改dtb信息），使设备开机时就会在/dev目录虚拟出CE_FLASH、CE_STORAGE两个disk设备，然后在开机配置选项文件（cfg_load）中指定启动disk设备为CE_FLASH、CE_STORAGE就可以实现emmc开机了，参考代码如下：

 v6 = fopen(a2, "rb+");
  if ( v6 )
  {
    v5 = calloc(1LL, 0x40000LL);
    if ( v5 )
    {
      for ( i = 0; i <= 1; ++i )
      {
        if ( (unsigned int)fseek(v6, (i + 16LL) << 18, 0LL) )
        {
          puts("Error seek file!");
          free(v5);
          fclose();
          return 0xFFFFFFFFLL;
        }
        if ( fread(v5, 0x40000LL, 1LL, v6) != 1 )
        {
          puts("Error reading file!");
          free(v5);
          fclose();
          return 0xFFFFFFFFLL;
        }
        if ( (signed int)sub_402520(v5, (__int64)"/partitions") < 0 )
        {
          printf("Could not remove node '%s' from dtb%d!\n", "/partitions", i);
          free(v5);
          fclose();
          return 0xFFFFFFFFLL;
        }
        if ( (unsigned int)fseek(v6, (i + 16LL) << 18, 0LL) )
        {
          puts("Error seek file!");
          free(v5);
          fclose();
          return 0xFFFFFFFFLL;
        }
        if ( fwrite(v5, 0x40000LL, 1LL, v6) != 1 )
        {
          puts("Error writing file!");
          free(v5);
          fclose();
          return 0xFFFFFFFFLL;
        }
      }

 v15 = *(_DWORD *)a1;
  if ( (unsigned int)strcmp((const char *)(a1 + 262128), "A~D") )
  {
    printf("Error dtb magic: %s!\n", v4 + 262128);
    return 0xFFFFFFFFLL;
  }
  if ( (unsigned __int16)v15 == 35615 )
  {
    v17 = (int *)calloc(1LL, 5242880LL);
    if ( !v17 )
    {
      puts("malloc failed for gzip_buf!");
      return 0xFFFFFFFFLL;
    }
    v11 = sub_4097A8(v17, 5242880LL, v16, &v5);
    if ( (v11 & 0x80000000) != 0 )
    {
      printf("Failed to decompress gzipped dtb: %d!\n", v11);
      free(v17);
      return 0xFFFFFFFFLL;
    }
    v16 = (__int64)v17;
    v15 = *v17;
  }
  if ( v15 == -302117424 )
  {
    sub_401DE0(v16, v3);
    sub_40B95C(v16);
    *(_DWORD *)(v4 + 262140) = sub_401E48(v4);
  }
  else if ( v15 == 1598836033 )
  {
    v13 = 0;
    v10 = *(_DWORD *)(v16 + 4);
    if ( v10 == 1 )
    {
      v13 = 4;
    }
    else if ( v10 == 2 )
    {
      v13 = 16;
    }
    v9 = 3 * v13;
    v8 = 3 * v13 + 8;
    v12 = *(_DWORD *)(v16 + 8);
    for ( i = 0; v12 > i; ++i )
    {
      v7 = *(_DWORD *)(v16 + i * v8 + (unsigned __int64)v9 + 12);
      if ( *(_DWORD *)(v16 + v7) == -302117424 )
      {
        sub_401DE0(v16 + v7, v3);
        sub_40B95C(v16 + v7);
      }
    }
    *(_DWORD *)(v4 + 262140) = sub_401E48(v4);
  }
  if ( v17 )
  {
    v11 = sub_40976C(v4, (__int64)&v6, (__int64)v17, v5);
    if ( (v11 & 0x80000000) != 0 )
    {
      printf("Failed to compress data to dtb: %d!\n", v11);

3.挂载CE_FLASH、CE_STORAGE分区，并复制相应的数据：

以下以创建挂载CE_FLASH为例子

losetup --find 找出可用loop设备，比如loop1

将分区挂载成loop设备：

 losetup /dev/loop1 /dev/mmcblk0 --offset <偏移量>

格式化分区

mkfs.vfat -n "CE_FLASH" /dev/loop1; sync

 参考代码

 memset(&v11, 0LL, 10240LL);
  printf("\nStarting to format the new '%s' partition...\n", v10);
  if ( v7 && v6 )
    snprintf(
      &v11,
      10240LL,
      "mke2fs -F -L \"%s\" -t ext4 -m 0 \"%s\" -O %s -E offset=%lld %lldm; sync",
      v10,
      v9,
      v8,
      v7,
      v6 >> 20);
  else
    snprintf(&v11, 10240LL, "mke2fs -F -L \"%s\" -t ext4 -m 0 \"%s\" -O %s; sync", v10, v9, v8);
  if ( (signed int)sub_402C3C(&v11, 0LL, stdout) >= 0 )
    return 0LL;
  printf("Error executing cmd '%s'\n", &v11);
  return 0xFFFFFFFFLL;
}

创建挂载目标目录 

mkdir -p /media/CE_FLASH

 挂载

mount -o rw,loop /dev/loop1 /media/CE_FLASH

拷贝数据

rsync -ah --info=progress2 /flash/ /media/CE_FLASH

这样就完成了从外置设备/flash中拷贝数据到emmc中的CE_FLASH的工程