IDA Pro > IDA Pro教程 > 技术问题 > 汽车CAN协议hacking

汽车CAN协议hacking

发布时间:2022-09-30 16: 03: 02

一、介绍

我们介绍一个新的系列,那就是CAN和汽车hacking,首先我们介绍CAN协议并讨论汽车网络的工作原理。

1986年,Bosch引入了控制局域网协议(the Controller Area Network protocol),这是专门为汽车内部各汽车ECUs之间的网络通信而设计的。CAN在汽车行业,工业,机器人应用的网络控制方向,成为一种非常受欢迎的选择。从2008开始,美国所有的出售的汽车都必须使用CAN协议。

 

现代汽车是一种分布式控制系统,它包含一些列被设计来处理专门任务的ECUs。比如,车门控制模块管理门锁和门窗。CAN支持这些ECUs进行通信,通过链接到汽车内部网络,CAN也允许外部系统去执行诊断任务。

汽车中CAN通信的一些例子:

 

·发动机控制模块发送当前发动机转速给仪表盘,仪表盘会显示当前的车速。

·车门ECUs发送一个消息给另外一个车门ECUs来打开车窗。

·通过诊断工具发送一个固件更新信息给ECUs来更新固件。

 

CAN的使用通常很少被保证或者没有做安全保障,除了就让其隐没通信外。我们能够使用CAN转USB接口来监听通信数据,然后对其进行解码。我们也可以使用这些工具发送伪造的信息,或者执行诊断动作。不信的是,大部分处理CAN的工具都是专用的,并且非常昂贵。虽然诊断协议是标准的,但是却不是开放的,必须从国际化标准组件进行购买。

 

下一节,我们会解析CAN帧的结构以及讲解如何对CAN数据进行解码。

 

二、汽车内部网络

前一节,我们讨论了汽车内部网络如何通过CAN来进行工作的,现在我们深入到协议中并且讲解CAN是如何被使用到汽车行业中。

 

1.总线

从硬件的角度来看,有两种类型的CAN:高速CAN(差分)和低速CAN(单线)。高速CAN使用两根线,速度可达1Mbps。低速CAN使用一条线,速度相对低一些,但是实现起来更加廉价。高速CAN用于更为关键的应用,比如发动机控制。单线用于相对次要的事情,比如空调系统和车窗。

 

在多主机配置中,许多ECUs连接到同一个总线。所有的消息通过总线被广播到每一个ECUs。

一个简化的汽车网络

 

 

CAN消息结构

从软件的角度来看,CAN消息包含三部分:ID,数据长度码(DLC)和最多8个字节的数据。ID被用于指定是什么消息,由谁发送。典型的,标准ID有11bits,但也有29bits的扩展ID.ID定义了优先级,ID越小,消息的优先级越高。

 

DLC是4bits,指定消息中数据的长度。在某些应用中,值为8的DLC一直被使用,没有使用的data字节用0填充。

 

最后8字节的data包含实际的信息。这段信息的含义可以从ID和DLC来确定。

 

2.协议解析与database

为了搞清楚8字节data的含义,ECUs会将data解码成类似于发动机转速,油量,或者制动踏板位置的信号。每一个信号都有开始位和结束位,它们用于从8字节中选择正确的比特位。

 

不是任何信号和消息都能够通过总线进行传输,所有的ECUs必须事先约定好消息和信号的格式。下图是一个信号表格和一个消息格式图。

A table of CAN signals that make up a message

 

 

A sample CAN message layout

为了帮助程序控制器处理CAN消息和信号,引入了CAN database。这个database包含了所有消息和信号的定义,其中最流行的格式是DBC,DBC是使用向量的方式来描述消息和信号的专有格式(也是基于ASCII数据流)。目前功能比较完善的DBC编辑工具是CANDB++,这是一款免费的可视化的编辑工具(遵循beer协议),其可以支持:

 

*DBC文件的创建

*在已存在的DBC数据库中加入消息和信号

*传输和接收关系的定义

*为CANoe仿真定义环境变量

*添加专门的消息进行测试

*添加消息来修正ECUs

CANDB++

 

 

有了DBC文件,你可以很容易将嗅探到的CAN总线数据进行解码。比如,我们可以嗅探方向盘按钮按下时的总线消息,你也可以通过发送伪造的数据给总线来伪装成ECUs。比如你能够发送一个假发动机转速消息给仪表。

 

通过解码数据库可以解决大部分一般性的通信消息,但是在汽车诊断的应用中,另外使用了一个专用的协议。下一节,我们来看看这种协议是如何工作的,以及他们一起有什么好玩的东西可以玩。

 

三、CAN协议

OBD-II接口

 

下次,当你坐在司机位时,看看你左膝盖周围,你会找到类似于上图的接口,这就是OBD-II接口。

 

OBD-II协议不单指CAN协议,它是通过UART,PWM,CAN接口共同实现的。1991年,加州空气资源委员会(California Air Resources Board)需要一个诊断协议用于所有在加州出售的汽车,这时汽车行业有了OBD-II协议。在新型汽车中,该协议一直都是通过CAN协议来实现,所以OBD-II满足你访问多种类型汽车的需要。

 

ODB-II接口常常被用于读取汽车参数和错误码。通过使用OBD-II访问模块,你可以读取参数ID(PID),其包含了汽车的状态信息。维基百科有一篇很好的文章来介绍OBD-II模块和PIDs。

 

链接里提供大量OBD-II相关的知识和信息,你可以花20美元购买一个工具来读取错误码并清除发动机检测灯。这里我们不谈论OBD-II的细节(请看维基百科的详细说明),我们讨论一下它的大哥UDS。

 

1.统一诊断服务(UNIFIED DIAGNOSTIC SERVICES)

虽然许多汽车爱好者对OBD-II都非常熟悉,但是很多却并没有听说过统一诊断服务(UDS)。这是让人遗憾的,因为OBD-II只是UDS的一个子集。OBD-II只允许了一些有限的服务,而UDS却是厂商和技术人员所使用的协议,它提供了所有的服务,包含诊断、校准、固件更新。

 

UDS有各种不同的服务,比如ReadDataByIdentifier和TransferData,这两个服务定义了一个字节的服务ID(SID).从0-0x0f的SID保留给OBD-II使用,剩下由UDS标准定义,部分由厂商自己进行定义。下表是标准定义的UDS服务以及他们的SID(HEX)

UDS通过使用一个帧结构的发送把数据发送给ECUs。单帧(SF)通常被用于短消息的发送,单帧的所有数据都以6字节长度来存放。如果数据太长,就通过第一个帧(FirstFrame=FF)来开启数据发送,然后通过连续帧(Consecutive Frames(CF))来发送数据内容。帧结构如下图:

The structure of SF,FF,and CF messages

 

OBD-II只使用SF帧结构,但其他帧结构(FF,CF)也被用于长数据传输,比如固件下载.为了弄清楚这些服务是如何工作的,你需要一个ISO 14229文档,但不信的是,它需要花250美元来购买其PDF文档。与UDS通信的工具也是非常昂贵的。但是,利用一些基本知识,你就能够理解总线的工作原理。

 

OPENXC

由于UDS是一个封闭的协议,福特的研究员以及创建一个可以和汽车进行通信的开源平台。这个平台就是OpenXC平台。OpenXC提供了一个可以通过CAN从福特汽车上读取数据的协议。

为了使用这个开源平台,你需要一个汽车接口。chipKIT可以和福特开源固件一起使用,此外,你也可以选择购买一个预先构建的解决方案--CrossChasm.一旦汽车接口启动并运行,你就可以通过Android和PPython APIs来访问数据。我们过去已经在hackaday上谈及过OpenXC的话题。

 

很开心看到汽车厂商拥抱开源项目,并希望福特继续致力于这个开源平台的工作。但是OpenXC协议只可进行只读操作,并且限于小消息的通信。

 

现在,我们知道了所有关于协议的事情,是该建立一个CAN硬件的时候了,下一篇,我们将会了解,你到底需要一个什么样的硬件在你自己的项目中来使用CAN。

 

四、组建硬件

1.接线

不幸的是,没有一个标准来进行CAN链接。最通用的高速CAN连接器是DE-9,其中有7个针用于高速CAN,2针用于低速CAN。但是连线方式却是不同的,许多都是不兼容的。

 

CAN需要一个终端电阻,最好是在总线的末端链接一个120欧姆的电阻。

 

终端电阻作用:

在通信电缆中的信号反射。在通信过程中,有两种信号因素导致信号反射:阻抗不连续和阻抗不匹配。阻抗不连续(就像高低不平的路),信号在传输线末端突然遇到电缆阻抗很小甚至没有,信号在这个地方就会引起反射。消除这种反射的方法,一般在电缆的末端跨接一个与电缆的特性阻抗同样大小的终端电阻,使电缆的阻抗连续。由于信号在电缆上的传输是双向的,因此,在通讯电缆的另一端可跨接一个同样大小的终端电阻。从理论上分析,在传输电缆的末端只要跨接了与电缆特性阻抗相匹配的终端电阻,就能大大的减少信号反射现象(当然不可能完全消除,世界上有绝对的东西吗?在实际应用中,由于传输电缆的特性阻抗与通讯波特率等应用环境有关,特性阻抗不可能与终端电阻完全相等,因此或多或少的信号反射还会存在)。引起信号反射的另个原因是数据收发器与传输电缆之间的阻抗不匹配。这种原因引起的反射,主要表现在通讯线路处在空闲方式时,整个网络数据混乱。信号反射对数据传输的影响,归根结底是因为反射信号触发了接收器输入端的比较器,使接收器收到了错误的信号,导致CRC校验错误或整个数据帧错误。要减弱反射信号对通讯线路的影响,通常采用噪声抑制和加偏置电阻的方法。在实际应用中,对于比较小的反射信号,为简单方便,经常采用加偏置电阻的方法。

 

作为练习,你可以把一个120欧姆的电阻并联到CAN总线上就可以了。

 

工具:

一个比较好的CAN工具可以让你收发CAN消息,使用CAN数据库来解释实时数据,并且可以和CAN协议进行会话。带有这种功能的CAN工具一般都是专用的,并且非常昂贵,但是一些友好的黑客提供了一些廉价的选择。

GoodThopter

 

基于(Travis Goodspeed)GoodFET的GoodThopter使用Microchip MCP2515 CAN转SPI控制器来访问CAN总线。该开源硬件工具让你可以使用Python脚本来收发消息。

CAN Bus Triple

 

CAN Bus Triple设备提供提供一个接口来访问三种类型的CAN总线(低,中,高),并且可以在类似于Arduino的环境下进行编程,其提供的开源代码可以让你测试第二代的马斯达汽车,但可惜的是该硬件并没有开源。

Saleae Logic

 

Saleae Logic也不是开源的,但它却是非常方便而且便宜的CAN总线嗅探工具。它可以捕包,解码和显示CAN数据包,这对于想要组建你自己的CAN硬件来说,是最有用的。

 

2.DIY

1)需要的部件

如果你想设计自己的CAN工具,你需要两个东西:CAN控制器和CAN收发器。

 

CAN控制器产生并且解释CAN消息,市场上有很多微控制器可以作为CAN控制器,比如Atmel ATmega32M1、Freescale S08D和TI Tiva C Series。在构建CAN控制器是,你必须使用外部振荡器,内部振荡器并不能满足高速CAN的精度要求。如果你想要把CAN功能加入到已有的微控制器上,那么MCP2515是一个选择,他是一个标准的CAN控制器,他可以通过SPI来与主机进行通信。

 

CAN收发器可以在控制器和CAN总线之间传输信号,需要两个收发器来分别处理高速CAN和低速CAN,NXP TJA1050可以处理高速总线,ON Semi NCV7356可以处理低速总线和单线总线。

 

2)电路板

有大量的开发导出板满足CAN控制器的要求。Arduino Due的SAM3处理器就有该类型的控制器,但是板上不带有收发器。你可以选择CAN bus shield,使用Due CAN Library就可以开始工作。

Arduino Due

 

ChipKIT Max32

 

ChipKIT Max32比较类似于Due,它有两个CAN控制器,但是你需要提供外部收发器来和总线交互。还好ChipKIT是OpenXC平台官方支持的项目,你可以获取他们的固件。

 

案例作者:Eric Evenchick

原地址:http://www.gda.wiki:9090/blog_7.php

展开阅读全文

标签:IDA反编译器

读者也访问过这里:
邀请您进入交流群 点击扫码
400-8765-888 kefu@makeding.com

专业销售为您服务

欢迎添加好友,了解更多IDA优惠信息,领逆向工程学习资料礼包1份!
热门文章
exe反编译工具哪个好?反编译能力强的工具盘点
随着软件技术的发展,exe(可执行文件)已经成为了电脑、手机等多个平台上的主要软件运行格式,而对于exe文件的反编译也成为了逆向工程中不可缺少的一个步骤。本文将介绍一些常用的exe反编译工具,并评价其优缺点,帮助读者选择合适的工具。
2023-04-12
IDA反汇编流程视图的常用基本操作设置
IDA中反汇编窗口中有两种不同的形式,分别是列表模式和图形模式,IDA默认打开是图形模式,就是反汇编流程视图,可以用来分析程序函数的具体运行情况。
2021-06-15
IDA一些常用到的功能及其快捷键
通常情况下,我们使用反编译工具是为了在没有源代码的情况下促进对程序的了解,以便于我们分析软件的漏洞、分析编译器生成的代码,以验证编译器的性能和准确性,同时也可以用来分析软件是否带有恶意程序,提高安全性。
2021-05-17
IDA的初始使用说明和界面简介
IDA能帮助我们分析恶意软件、分析系统漏洞、验证编译器的性能,其支持在Mac系统、Windows系统、Linux系统中使用,是一款非常优秀的反编译软件。
2021-03-16
IDA反编译界面之流程预览、函数窗口介绍
在上节《IDA反编译界面之工具栏、导航栏、输出栏介绍》中,我们已经认识了IDA主界面六大窗口中的前三个窗口,接下来我们还需要认识余下的三大窗口,分别是主视图窗口、流程预览窗口和函数窗口。
2021-03-16
使用IDA数据库搜索功能搜索内容
IDA提供了专用的搜索工具,多种不同的搜索方式,帮助我们在IDA数据库中快速搜索内容,并导航到页面上的指定位置。该软件设计了许多类型的数据显示来总结特定类型的信息(如字符串、名称),以方便我们查找这些信息。
2021-03-18
最新文章
IDA是什么软件 IDA的基本用法是什么样的
在当今数字化的时代,软件技术的发展日新月异,反汇编和反编译成为了软件领域中不可或缺的一部分。在众多的反汇编和反编译工具中,IDA(Interactive DisAssembler)以其卓越的功能和灵活性而脱颖而出。本文将深入探讨IDA是什么软件,IDA的基本用法是什么样的,以及它对企业的价值和影响。
2023-09-27
ida怎么搜索函数 ida如何定位main函数
在软件逆向工程的领域中,IDA(Interactive DisAssembler)被广泛认可为一款强大的工具,它为分析人员提供了深入探索程序内部结构和功能的能力。其中,函数搜索和定位主函数(main函数)作为逆向分析的基础技巧,具有重要的地位。本文将为您介绍IDA中如何高效地进行函数搜索以及定位主函数的方法,帮助您在逆向分析过程中更加得心应手。
2023-09-27
ida怎么查找字符串 ida字符串窗口快捷键
在数字化时代,逆向工程作为解密软件和分析程序的关键技术,正日益受到广泛关注。在逆向分析的过程中,IDA(Interactive DisAssembler)是一款备受推崇的工具,它为逆向工程师们提供了强大的功能和灵活的操作。本文将带您深入探讨如何在IDA中查找字符串,优化字符串窗口的使用,并探讨IDA如何将变量转换成字符串,帮助您更加熟练地驾驭这一工具,为逆向分析的世界增添一抹精彩。
2023-09-27
ida怎么修改汇编语言 ida修改后怎么保存
在当今数字化时代,汇编语言作为底层的编程语言,具有无可比拟的重要性。而在逆向工程领域,IDA作为一款卓越的工具,为我们提供了修改汇编语言的能力,极大地拓展了我们的技术边界。本文将深入研究ida怎么修改汇编语言,ida修改后怎么保存的内容。
2023-09-25
渗透测试的基本流程 IDA如何进行渗透测试
在当前数字时代,保护信息安全成了企业和个人都要面临的重要挑战。渗透测试是一项评估信息系统安全的关键技术,它涵盖了对目标系统的全方位攻击模拟,以评估其安全性能。其中,IDA作为一款广泛应用的逆向工程工具,在渗透测试过程中发挥着核心作用。本文将介绍渗透测试的基本流程,IDA如何进行渗透测试和渗透测试的目的的内容,为你深入解读渗透测试的精髓和实施过程。
2023-09-21
ppc反汇编怎么看 IDA如何分析ppc反汇编
通过PPC反汇编技术,开发者能够将复杂的机器码转换为易于理解的汇编指令,从而更好地分析程序的功能和执行过程。在接下来的部分中,我们将探讨ppc反汇编怎么看,IDA如何分析ppc反汇编,为您展示如何深入挖掘程序的内部机制。
2023-09-20

通过微信咨询我们

欢迎添加好友,了解更多IDA优惠信息,领取逆向工程学习资料礼包1份!