具體操作步驟是：首先找到這塊存儲(chǔ)芯片的位置，用電熱風(fēng)槍把它吹下來，然后用 eMMC的讀書卡讀取內(nèi)容，此時(shí)即找到 eMMC 讀卡器，把 eMMC 插到電腦可以看到一個(gè)彈出顯示存儲(chǔ)器里面的空間和內(nèi)容，找到設(shè)置調(diào)試變量的地方，修改后再寫到 eMCP 里面焊回來。
有一個(gè)小細(xì)節(jié)是，因?yàn)榇鎯?chǔ)器里的內(nèi)容有分區(qū)，需要將這些系統(tǒng)分區(qū)用 Ext4 的方式掛載，修改后保存，再剪輯切回 EMCP 的芯片里，后續(xù)我們需要把它焊回去。再運(yùn)行直接 ADB 打開，就可以得到 root 權(quán)限，成功后可以看到它的系統(tǒng)信息和進(jìn)程。
這一過程涉及到許多復(fù)雜問題，比如要手工脫焊和焊接的過程，此芯片是 BGA 封裝，引腳多，引腳間距小，且芯片底座里面人為灌入黑膠，對(duì)操作過程帶來很大不便，操作不當(dāng)易使芯片廢掉，手工操作難度極高。
飛控系統(tǒng)
飛控系統(tǒng)，是無人機(jī)里面的核心。因?yàn)闀?huì)搜集到無人機(jī)各個(gè)傳感器模塊的一系列數(shù)據(jù)，通過一些綜合算法來判斷飛控系統(tǒng)應(yīng)該如何操作。
飛控系統(tǒng)核心芯片是 ATSAME70Q21，其不需要外置存儲(chǔ)器存儲(chǔ)它的部件以及算法，與之相關(guān)有兩塊 IMU 陀螺儀以及加速度計(jì)，檢測(cè)飛機(jī)處于什么狀態(tài)。
氣壓計(jì)，主要為了檢測(cè)飛機(jī)的高度，作為一個(gè)飛機(jī)高度的判斷因素。
Ublox GPS模塊，是一個(gè)可編程的模塊，因?yàn)轱w控和 GPS 通訊有一個(gè)協(xié)議交互，并不是說任何一個(gè) GPS模塊都可以替換它，但可以做一些欺騙 GPS 的事情。
指南針模塊，主要用于方向的定位。
智能電源，智能電源是用德州儀器 MSP430G2755 16 位的微控制芯片，它主要是收集電源現(xiàn)在狀態(tài)，保持了何時(shí)放電，何時(shí)通過飛控系統(tǒng)在電量低于某值時(shí)返航。
電調(diào)芯片，因?yàn)闊o人機(jī)有四個(gè)螺旋槳，四個(gè)馬達(dá)，每一個(gè)馬達(dá)需要一個(gè)電調(diào)的芯片控制轉(zhuǎn)速，控制不同的馬達(dá)的轉(zhuǎn)速，來達(dá)到控制飛行姿態(tài)以及速度的操作。
視覺系統(tǒng)
視覺系統(tǒng)，這是無人機(jī)里面非常重要的功能，里面核心處理芯片是英特爾的 MA2155 深度學(xué)習(xí)處理芯片。
飛機(jī)搭載攝像頭首先可以進(jìn)行視頻錄制、拍照，圖像內(nèi)容輸出給視覺處理芯片來完成視覺識(shí)別等功能，其中一個(gè)功能是飛行跟隨，即在手機(jī)屏幕上選點(diǎn)跟隨飛行的目標(biāo)，無人機(jī)可以跟隨他/它飛行，此時(shí)時(shí)候就利用芯片強(qiáng)大的深度學(xué)習(xí)能力，對(duì)感興趣的區(qū)域進(jìn)行識(shí)別。
還有一個(gè)功能是測(cè)距，通過 MA2155 這塊深度學(xué)習(xí)芯片來完成視覺測(cè)距的功能，飛機(jī)前后障礙物的距離通過圖象識(shí)別的方式識(shí)別出來。
另一個(gè)功能是雙目避障，這是觀測(cè)傾斜度 70 度是否有障礙物，通過發(fā)射端發(fā)射出去的光反射回來在接收端接受。
超聲波可檢測(cè)下方障礙物以及檢測(cè)地面。
無線通信系統(tǒng)架構(gòu)
無線通訊，是無人機(jī)里面最核心的一塊功能，也是最復(fù)雜的一塊功能，涉及到控制系統(tǒng)和圖象傳輸。基本原理就是前端的收發(fā)器收到信號(hào)，通過基帶系統(tǒng)進(jìn)行解碼，解碼后通過搖控器的 LPC1549 芯片處理進(jìn)而通過 Cypress 的 USB 芯片反饋到手機(jī)上。
無線通訊是通過 OFDM 方式進(jìn)行圖傳以及數(shù)控的傳輸，其特點(diǎn)是控制通道數(shù)據(jù)通過遙控器通過 1Mhz 帶寬的跳頻發(fā)送，飛機(jī)回傳的圖象和控制通道回傳數(shù)據(jù)通過 10Mhz 帶寬進(jìn)行定頻傳輸。
為了保證數(shù)控通道及時(shí)性，采取定時(shí)跳頻的方式。因?yàn)橛锌赡苄盘?hào)會(huì)被干擾，在某一個(gè)特定頻點(diǎn)時(shí)會(huì)被干擾，如果被干擾的話，飛機(jī)可能收不到遙控器的一些數(shù)據(jù)，此時(shí)我們需要切換不同的頻點(diǎn)，找信噪比高的地方，保證它的可靠性。
它在 FCCID 通信管理局申請(qǐng)的 5G 頻段的頻寬執(zhí)照在 5727-5821Mhz，但實(shí)際上，其操作已超過通訊管理局規(guī)定的頻段。在我們研究過程中發(fā)現(xiàn)濫用這個(gè)頻段的資源已達(dá) 5845Mhz。遙控器與飛機(jī)如何進(jìn)行識(shí)別，需要配對(duì)及連接過程。
配對(duì)的唯一信息來自遙控器，所有信息都是遙控發(fā)給無人機(jī)，配對(duì)成功后可以在操作過程中識(shí)別到哪個(gè)是我控制的無人機(jī)，且這些控制配對(duì)信息皆通過搖控器芯片 LPC1549 的序列號(hào)生成。
基本上無線通訊架構(gòu)的過程，首先是搖控器先初始化芯片，然后初始化基站系統(tǒng)各個(gè)寄存器，寄存器里存入了唯一可以配對(duì)碼的信息。這個(gè)配對(duì)碼有五個(gè)字節(jié)，寫入到寄存器里面，真正用到只有三個(gè)字節(jié)，所以就有可能無線期劫持無人機(jī)。
無線通訊傳輸?shù)倪^程其實(shí)是非對(duì)稱傳輸，無人機(jī)遙控器發(fā)的信息跳頻傳輸給飛機(jī)，接收端也是跳頻接收，但是圖傳和下行通道是由飛機(jī)以定頻的方式發(fā)送，且這些跳頻算法都是通過代碼來實(shí)現(xiàn)的。
下圖即遙控器用于檢測(cè)飛機(jī)是否配對(duì)的算法檢測(cè)基帶芯片 SPI 地址 0E4、0E5、0E6進(jìn)行比較。所以劫持一臺(tái)無人機(jī)，我們可以通過暴力破解的方式，用所有的密鑰空間進(jìn)行離線的破解，找到配對(duì)碼，去控制無人機(jī)，在控中時(shí)候就可以動(dòng)態(tài)改掉配對(duì)碼，讓這個(gè)無人機(jī)屬于你。
無人機(jī)反調(diào)對(duì)抗技術(shù)
我們也發(fā)現(xiàn)了一些硬件的反調(diào)技術(shù)和軟件的反調(diào)技術(shù)，比如說用 atmel 芯片的安全位置1，可以阻止外置硬件仿真器的掛載調(diào)試，遙控器的 LPC1549 通過 ADC 的粒度檢測(cè)來檢測(cè)調(diào)試器，LightBridge 用的 stm32F103 芯片通過 remap SWD IO 來使用 swd 調(diào)試接口失效，通過遙控器的硬件開關(guān)電路來阻止 LPC1549 芯片硬件仿真調(diào)試。
最后還有很多工作還沒有來得及做，未來我們會(huì)更加深入的研究各個(gè)硬件模塊的功能 hacking 以及進(jìn)行一些想法的驗(yàn)證工作。
?