如何在Linux中模拟小米路由器的固件运行环境？

Question

如何在Linux中使用QEMU成功模拟小米路由器固件时，常遇到无法正确加载MTK（联发科）SoC环境的问题？由于小米部分路由器采用MT7621等嵌入式芯片，依赖特定的设备树和内核配置，直接运行固件镜像时常出现“VFS: Cannot open root device”或卡死在bootloader阶段。如何正确提取固件中的内核、设备树与根文件系统，并配置QEMU模拟对应的MIPS架构及DTB参数，成为搭建可运行仿真环境的关键难点？

Answer 1

一、问题背景与挑战概述

在逆向分析或安全研究中，使用QEMU模拟嵌入式设备固件是常见手段。小米部分路由器（如Redmi AC2100、Mi Router 3G）采用联发科MT7621 SoC，该芯片基于MIPS架构，集成双核CPU和专用网络加速模块。直接将固件镜像载入QEMU时，常出现“VFS: Cannot open root device”或卡死在U-Boot阶段的问题。

根本原因在于：MTK平台依赖特定的设备树（Device Tree Blob, DTB）描述硬件资源，而标准QEMU未内置MT7621对应的机器模型和DTB支持。此外，固件通常为整体打包格式（如TRX、FIT），需拆解出内核、设备树与根文件系统三部分，并正确传递启动参数。

二、固件提取流程详解

要成功模拟，首先必须从原始固件中分离关键组件。常用工具链如下：

1. binwalk：用于扫描并提取固件中的嵌套结构
2. dd：按偏移量切割二进制段
3. firmware-mod-kit（可选）：自动化解包脚本集合

# 使用binwalk分析固件
binwalk firmware.bin

# 提取内核（通常位于0x40000附近）
dd if=firmware.bin of=vmlinux.bin bs=1 skip=262144 count=2097152

# 提取设备树（搜索.dtb或.dtbo后缀）
binwalk -e firmware.bin  # 自动提取匹配项
find _firmware.extracted -name "*.dtb" -exec cp {} dtb_extracted.dtb \;

三、QEMU模拟环境搭建步骤

MT7621属于MIPS小端架构，应选用qemu-system-mipsel配合generic-mipsel-machine进行近似模拟。虽然无原生mt7621机器类型，但可通过加载外部DTB实现兼容。

组件	QEMU参数	说明
架构	-M malta	Malta为通用MIPS开发板，支持设备树注入
CPU	-cpu 24Kc	匹配MT7621的MIPS 24KEc核心
内存	-m 256M	多数小米路由配备128~256MB RAM
内核	-kernel vmlinux.bin	提取后的vmlinuz或raw kernel image
设备树	-dtb dtb_extracted.dtb	从固件中提取的DTB文件
根文件系统	-append "root=/dev/mtdblock2 rootfstype=squashfs"	根据实际mtd分区调整
串口输出	-nographic -serial mon:stdio	重定向控制台至终端

四、典型错误分析与调试策略

常见启动失败场景包括：

• VFS: Cannot open root device：根设备名不匹配，需检查mtdblock编号或文件系统类型
• Kernel panic - not syncing：设备树未正确加载或中断映射错误
• Stuck in U-Boot：缺少自动引导命令，可尝试添加-bootargs强制传参

解决方案：

qemu-system-mipsel \
    -M malta \
    -cpu 24Kc \
    -m 256M \
    -kernel vmlinux.bin \
    -dtb dtb_extracted.dtb \
    -nographic \
    -serial mon:stdio \
    -append "console=ttyS0,115200 root=/dev/mtdblock2 rw rootfstype=squashfs init=/init"

五、设备树修补与动态注入技术

若原始DTB缺失或损坏，可参考开源OpenWRT项目中的mt7621.dtsi模板重建设备树。流程如下：

1. 反编译现有DTB：dtc -I dtb -O dts -o mt7621.dts dtb_extracted.dtb
2. 修改compatible字段为"mti,mt7621"
3. 确认memory/reg、flash/partitions结构正确
4. 重新编译：dtc -I dts -O dtb -o patched.dtb mt7621.dts

六、高级仿真优化方案（适用于资深工程师）

为提升仿真精度，建议结合以下技术：

• GDB远程调试：附加-gdb tcp::1234参数，单步跟踪内核初始化过程
• 自定义机器模型：基于QEMU源码扩展mach-mt7621.c支持原生设备模拟
• Firmware Analysis Toolkit (FAT)：集成firmadyne构建全自动提取+模拟流水线

七、完整工作流流程图

graph TD
    A[获取小米路由器固件] --> B{使用binwalk分析}
    B --> C[提取内核vmlinux.bin]
    B --> D[提取设备树*.dtb]
    B --> E[提取squashfs-root]
    C --> F[准备QEMU启动参数]
    D --> F
    E --> G[制作虚拟磁盘或挂载为只读]
    F --> H[qemu-system-mipsel启动]
    H --> I{是否成功进入shell?}
    I -- 是 --> J[完成仿真环境搭建]
    I -- 否 --> K[检查dmesg输出 & 调整DTB/参数]
    K --> F
    

八、长期维护建议

由于不同版本固件可能存在差异，建议建立如下机制：

• 构建固件特征数据库：记录各型号的kernel offset、dtb位置、partition layout
• 使用YAFFS2/SquashFS探测脚本自动识别文件系统类型
• 保存成功运行的QEMU命令模板，便于复现
• 监控Linux-MIPS邮件列表，跟进上游对MTK SoC的支持进展