动手实验：在QEMU上模拟调试ATF安全启动全流程（含常见错误排查）-编程实验室

在QEMU虚拟环境中实战调试ATF安全启动全流程指南

1. 实验环境搭建与工具链配置

构建ATF调试环境需要精心准备工具链和依赖组件。我们推荐使用Ubuntu 20.04 LTS作为基础系统，这是目前对ARM虚拟化支持最完善的Linux发行版之一。以下是关键组件的版本要求：

必备工具清单：

QEMU 5.0+（需启用ARMv8虚拟化支持）
GCC交叉编译工具链（aarch64-none-elf-）
ATF最新稳定版（建议v2.6+）
OP-TEE OS 3.14+（作为BL32）
U-Boot 2021.07+（作为BL33）
Python3（用于脚本自动化）

安装基础依赖的命令如下：

sudo apt-get update sudo apt-get install -y build-essential git bison flex libssl-dev \ python3-dev ninja-build gcc-aarch64-linux-gnu

QEMU需要从源码编译以获得完整的ARMv8-A扩展支持：

git clone https://git.qemu.org/git/qemu.git cd qemu git checkout v5.2.0 ./configure --target-list=aarch64-softmmu --enable-debug make -j$(nproc) sudo make install

环境验证测试：

qemu-system-aarch64 -machine virt,secure=on -cpu cortex-a57 -nographic

若看到No bootable device提示，说明QEMU已正常支持安全扩展。

2. ATF源码获取与编译配置

ATF的编译配置直接影响调试的可行性。建议从官方仓库获取代码：

git clone https://github.com/ARM-software/arm-trusted-firmware.git cd arm-trusted-firmware make realclean

关键编译参数解析：

参数名	作用	调试推荐值
PLAT	目标平台	qemu
DEBUG	调试符号	1
LOG_LEVEL	日志级别	40（最高）
BL32	安全世界payload	指定OP-TEE路径
BL33	非安全世界payload	指定U-Boot路径

典型编译命令示例：

make PLAT=qemu DEBUG=1 LOG_LEVEL=40 \ BL32=../optee_os/out/arm/core/tee-header_v2.bin \ BL33=../u-boot/u-boot.bin \ all fip

编译产物说明：

build/qemu/debug/bl1.bin：BL1镜像
build/qemu/debug/bl2.bin：BL2镜像
build/qemu/debug/bl31.bin：BL31镜像
build/qemu/debug/fip.bin：集成所有组件的Firmware Image Package

3. QEMU调试环境启动配置

QEMU启动参数需要精确配置才能模拟安全启动流程。以下是关键参数解析：

基础启动命令框架：

qemu-system-aarch64 -machine virt,secure=on -cpu cortex-a57 \ -nographic -serial mon:stdio -m 1024 \ -kernel bl1.bin \ -semihosting-config enable=on,target=native \ -d unimp -D qemu.log

安全扩展相关参数：

-machine virt,secure=on：启用EL3和安全世界
-bios bl1.bin：指定BL1作为初始启动加载器
-semihosting：允许半主机调试接口

GDB调试集成方法：

在终端1启动QEMU等待GDB连接：

qemu-system-aarch64 -machine virt,secure=on -s -S ...

在终端2启动GDB：

aarch64-none-elf-gdb bl1.elf (gdb) target remote :1234 (gdb) b bl1_main (gdb) c

典型调试断点设置：

# BL1阶段 b bl1_entrypoint b bl1_main # BL2阶段 b bl2_entrypoint b bl2_load_images # BL31阶段 b bl31_entrypoint b runtime_svc_init

4. 安全启动流程分阶段调试

4.1 BL1阶段调试要点

BL1作为ROM代码，主要验证BL2的完整性和真实性。我们可以通过修改BL1代码模拟签名验证失败场景：

人为制造签名错误：

// 在bl1/bl1_main.c中修改验证逻辑 int result = verify_bl2_image(); if (result != 0) { WARN("BL1: 人为触发验签失败\n"); // result = 0; // 注释掉这行可测试验签失败流程 }

关键调试观察点：

BL1从ROM加载到BL2的地址映射
证书链解析过程（通过auth_mod_verify_img()）
BL2镜像哈希验证结果

典型错误排查：

ERROR: BL1: Failed to load BL2 firmware.

可能原因：

BL2镜像未正确签名
BL2加载地址与链接脚本不匹配
密钥哈希与熔丝区值不一致

4.2 BL2阶段调试技巧

BL2负责加载BL31/BL32/BL33，这是安全启动链的核心环节。调试时需要关注：

关键数据结构：

typedef struct bl_mem_params_node { unsigned int image_id; image_info_t image_info; entry_point_info_t ep_info; } bl_mem_params_node_t;

动态修改加载顺序：

# 在QEMU monitor中动态调整镜像加载地址 (qemu) qom-set /machine/sec-boot-control bl33_ep_addr=0x88000000

常见问题处理：

BL32加载失败：
- 检查OP-TEE编译选项CFG_TEE_LOAD_ADDR
- 验证BL32与BL31的版本兼容性
BL33入口地址错误：
- 确认U-Boot的CONFIG_SYS_TEXT_BASE
- 检查BL2传递给BL31的参数是否正确

4.3 BL31运行时调试

BL31作为EL3固件，管理安全/非安全世界切换。调试重点包括：

安全监控调用(SMC)处理：

b smc_handler64 commands print/x $x0 # 查看SMC ID print/x $x1 # 查看参数1 continue end

动态修改PSCI参数：

# 在QEMU monitor中修改CPU启动参数 (qemu) qom-set /machine/psci-context cpu_on_64=0x80000000

关键日志分析：

INFO: BL31: Initializing BL32 ... INFO: BL31: Preparing for EL3 exit to normal world

这些日志标记了安全启动各阶段的关键转折点。

5. 典型问题排查手册

5.1 验签失败场景模拟

测试用例1：修改BL2镜像尾部数据

dd if=/dev/random of=bl2.bin bs=1 count=16 seek=50000 conv=notrunc

预期现象：BL1应检测到哈希不匹配并终止启动。

测试用例2：替换测试密钥

cp tools/cert_create/invalid_key.pem keys/root-key.pem make clean all

预期现象：整个信任链验证应失败。

5.2 调试技巧汇编

QEMU辅助调试命令：

# 查看异常等级 (qemu) info registers elr_el3 # 查看内存映射 (qemu) info mem # 追踪特定内存访问 (qemu) trace memory_region_ops_read 0x40000000 0x40001000

GDB高级用法：

# 监控特定变量变化 watch *(uint32_t*)0x1f000000 # 反汇编当前指令 x/10i $pc # 查看调用栈 bt full

5.3 性能优化建议

启动时间分析工具：

# 在QEMU启动参数中添加 -D timestamp.log -d exec # 然后分析时间戳 grep 'taking exception' timestamp.log

关键优化参数：

BL2_AT_EL3=1：让BL2运行在EL3减少模式切换
USE_COHERENT_MEM=0：禁用一致性内存提升性能
CTX_INCLUDE_FPREGS=0：不保存浮点寄存器加速上下文切换

6. 进阶实验：OP-TEE与U-Boot集成

6.1 OP-TEE作为BL32的集成

编译配置要点：

make CFG_TEE_BENCHMARK=n \ CFG_WITH_PAGER=n \ CFG_TEE_CORE_LOG_LEVEL=3 \ PLATFORM=vexpress-qemu_armv8a

调试符号加载：

add-symbol-file optee_os/out/arm/core/tee.elf 0x60000000 b tee_entry_std

6.2 U-Boot作为BL33的定制

关键配置选项：

make qemu_arm64_defconfig make menuconfig # 启用以下选项： CONFIG_ARMV8_SWITCH_TO_EL1=y CONFIG_OF_BOARD=y

启动参数传递：

// 在BL31中设置U-Boot参数 bl_params_node_t *bl33 = get_bl33_node(); bl33->ep_info->args.arg0 = 0x80000000; // 设备树地址

7. 安全启动可视化调试方案

7.1 使用Trace32进行图形化调试

配置示例：

Data.LOAD.ELF /path/to/bl31.elf SYStem.CPU CORTEXA57 SYStem.JtagClock 1000 Break.Set bl31_entrypoint Go

7.2 QEMU+GDB+Python自动化

调试脚本示例：

import gdb class BL1Breakpoint(gdb.Breakpoint): def stop(self): print("BL1 reached at PC=%x" % int(gdb.parse_and_eval("$pc"))) return False BL1Breakpoint("bl1_entrypoint") gdb.execute("continue")

7.3 启动时序图生成

使用QEMU日志生成流程图：

qemu-system-aarch64 -d in_asm -D asm.log python3 scripts/qemu_log2svg.py asm.log > boot_flow.svg

典型启动时序：

BL1 (EL3) → 2. BL2 (S-EL1) → 3. BL31 (EL3) → 4. BL32 (S-EL1) → 5. BL33 (NS-EL2/1)

8. 真实硬件调试经验分享

虽然本文基于QEMU，但实际硬件调试时还需注意：

JTAG调试要点：

确保JTAG接口在安全模式下可用
初始化时暂停所有CPU核心
注意TrustZone防火墙设置

差异点对比：

特性	QEMU	真实硬件
启动时间	可任意暂停	需考虑看门狗
内存映射	理想化	需考虑MMU配置
外设模拟	完美模型	需处理硬件差异

实战建议：

先在QEMU验证基本流程
逐步移植到开发板时逐个验证组件
准备多个串口分别监控不同世界输出

动手实验：在QEMU上模拟调试ATF安全启动全流程（含常见错误排查）