chenwei/qianbian
1
0 Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
Files
fix/hm42-rxtx-channel
qianbian/docs/firmware-analysis.md
T

21 KiB
Raw Permalink Blame History

firmware-PP_da14585_4.2_CH.img 逆向分析报告

目标文件：app/firmware-PP_da14585_4.2_CH.img，72228 字节 平台：Dialog DA14585（ARM Cortex-M0，仅 Thumb），SysRAM 96KB @ 0x07FC0000–0x07FD8000 工具：analysis/firmware/fw_parse.py（头解析+CRC）、analysis/firmware/disasm.py（capstone 线性扫描）、analysis/firmware/find_cmds.py（命令立即数扫描）、analysis/firmware/fw.asm（全量反汇编，32098 指令） 地址约定：文件偏移 = 映射地址 - 0x07FC0000 + 0x40（映射地址 = 文件偏移 - 0x40 + 0x07FC0000）

0. 结论速览

问题 结论
固件是否可控 完全可控。BLE 命令处理无任何鉴权/加密门槛，全部命令（图像、刷新、模式、时间）连接即可用；激活只是云端生意，固件侧不锁功能
如何实现 OTA 固件内置完整 SPOTA 协议栈（自定义任务 0xFC，MEM_DEV/GPIO_MAP/MEM_INFO/PATCH_DATA 四消息），接收方校验 70 51+AA 头后写入 SPI Flash 0x38000 备bank，可直接复用本镜像格式做 OTA
命令解析在哪 EPD 通道分发 @ 0x07FCBC64（handle 2/7/0xB）；RXTX 命令分发器 @ 0x07FCBDE4（0xDD–0xEF 跳表 @ 0x07FCBEEA + 0x14/0x15/0x23/0x88/0x99/0xCC/0xFA/0xFB/0xFF 直比链）
墨水屏驱动 SSD1683 兼容（主路径，cmd 0x01 传 0x2B 0x01=300 行、0x44/0x45 设 50×300、0x24/0x26 双平面）+ 备选 UC8151/IL0373 兼容 路径（state[0x1c] 切换）；波形用驱动 IC 内部 OTP LUT，固件无 LUT 表
激活机制 本地弱哈希，可离线算出。激活码 = 6 字节，code[i] = rol2((MAC[i]<<1 & 0xFF) ^ 0xEF) % 101，MAC 即设备 BD 地址（BLE 广播可见 / EFEF 应答的 14 字符设备 ID 可完整还原）

1. 镜像格式（任务1）

1.1 头结构（64 字节，Dialog SUOTA/multi-image 格式）

偏移 字段 值 验证
0x00 magic 70 51（'pQ'，LE 0x5170 = IMAGE_VALID） ✓
0x02 signature AA 01（OTA 接收方校验首字节==0xAA，见 0x07FCB4F2 处 cmp r0,#0xaa） ✓
0x04 code_size E4 19 01 00 = 0x119E4 = 72164 = 文件长 72228 - 64 ✓ 精确匹配
0x08 CRC32 10 4D 89 6C = 0x6C894D10 ✓ = 标准 zlib CRC32（poly 0xEDB88320，init/xorout 0xFFFFFFFF）over 数据区 72164 字节（fw_parse.py 实测 match=True；BZIP2/MPEG-2/POSIX 变体均不匹配）
0x0C–0x3F reserved 0xFF，仅 0x20 处一字节为 0x00 ✓

1.2 镜像布局图

文件偏移      映射地址         内容
0x000000      -               64B 镜像头（'pQ' + len + CRC32）
0x000040      0x07FC0000      向量表：SP=0x07FD2B58, Reset=0x07FC0525, SysTick=0x07FC522B,
                              IRQ0=0x07FC221D, IRQ1=0x07FCA975(BLE), IRQ2=0x07F0271D(ROM), ...
0x0000C0~     0x07FC0080~     代码（Thumb）+ 内嵌字库/模板数据
  ~0x00C800   ~0x07FCC800     点阵字库区（大量 16px 字形位图，如 f0x00de30 起）
  ~0x00F900   ~0x07FCF8C0     GATT 描述符/UUID 表/消息handler表/DIS 属性表
0x010000~     0x07FD0000~     初始化数据区：DIS 字符串、22 个祝福词、adv 数据模板、TLV 记录
0x0119E4      0x07FD19E4      代码区结束（= code_size）
-             0x07FD19E8      BSS：全局状态结构体 state（激活码/设备ID/时间/显示参数）
-             0x07FD2B58      初始栈顶

SPI Flash 布局（由固件内常量推得，芯片 ≥ 512KB）：

Flash 偏移 用途 证据
0x00000 主固件 bank（boot ROM 加载到 SysRAM） 标准 DA14585 boot
0x2E000–0x35FFF 显示帧缓存（8×4KB sector 擦除后顺序写，整图双平面 30000B） cmd 03 处理 0x07FCBD0C：movs r0,#0x17; lsls r5,r0,#0xd=0x2E000，循环 8 次 bl 0x07FCAB74（sector 擦除），写函数 0x07FCAE4C
0x38000 OTA 备 bank：+0x00 产品头（校验 70 52 'pR'），+0x40 镜像头（校验 70 51+AA） OTA 接收 0x07FCB4AA：bl 0x07FC5AC4 读 0xC 字节后 cmp #0x70/cmp #0x52；0x07FCB4F8 cmp #0x70/cmp #0x51、0x07FCB4F2 cmp #0xaa
0x3F0EF+sum(MAC[0:3]) / 0x3F1DE+sum(MAC[0:6]) 激活码写入槽（6B×2，地址由 MAC 求和混淆） 0x07FC7C18：ldr r1,=0x0003F0EF（literal @0x07FC7C58）；0x07FC7C28 adds r1,#0xef；存于 state[0x3C]/state[0x40]

2. GATT 表（任务3）

2.1 UUID 出现位置（均小端存储）

UUID 文件偏移 映射地址 说明
EPD Service 13187b10-…-83d3217d9a38 0x00FF0C 0x07FCFECC 128-bit 原始 16 字节
EPD Char 4b646063-…-e65356ea82fe 0x00F972 0x07FCF932 128-bit，被 0x07FCFD7C 处描述符引用
RXTX Service 0x1F10 0x00FF28（16B 项起于 0x00FF20） 0x07FCFEE8 以 128-bit 蓝牙基 UUID 形式 FB 34 9B 5F 80 00 00 80 00 10 00 00 10 1F 00 00
RXTX Char 0x1F1F 0x00F98E（项起于 0x00F982） 0x07FCF94E 同上形式
第三 Service 0x221F 0x00FF38（项起于 0x00FF30） 0x07FCFEF8 web 端声明但未用——疑似 SUOTA 通道
Char 0x331F 0x00F99E（项起于 0x00F992） 0x07FCF95E 0x1F10/0x221F 服务下的另一特征
DIS 属性表（0x2800/0x2803 + 0x2A29/24/25/27/26/23/2A/50） 0x00FF3C 起 0x07FCFEFC 起 12 字节/项 {uuid32, perm, aux}，被 0x07FC7094 处注册代码引用
GAP/BAS 表（0x2A00/0x2A01/0x2A19 电量 + 0x2902 CCC） 0x00FBB0 起 0x07FCFB70 起 BASS 任务消息 0x2400/0x2402 @0x07FCFBC4

EPD svc UUID 被 0x07FCFD64 引用、EPD char UUID 被 0x07FCFD7C 引用（GATT DB 描述符簇 0x07FCFD54–0x07FCFE68，三个服务各一簇）。

SPOTA/SUOTA UUID（0xFEF6–0xFEFB）在镜像中不存在（搜 f6fe/f7fe/…/fbfe 仅命中 BL 指令编码，无相邻簇），但：

  • 广播数据模板含完整 16-bit 服务列表 0x180A(DIS)+0xFEF5(SPOTA)：0x07FD094A 05 03 0a 18 f5 fe（证据：文件 0x01098A）
  • SUOTA 功能以自定义任务 0xFC + 自定义 service（疑似 0x221F）实现，见 §5

2.2 应用消息 handler 表（ke_msg_handler {u32 id, u32 func}）

  • GAPM 表 @ 0x07FCFE68：0x0C13→0x07FC7EE5、0x0C15→0x07FC80C1、0x0C17→0x07FC7C6D、0x0C00→0x07FC7D19…
  • 显示/应用任务 0xFD 表：0xFD06→0x07FC6B9D、0xFD03→0x07FC6C1D、0xFD08→0x07FC6B25、0xFD0E→0x07FC6591、0xFD05→0x07FC6C41（@0x07FCFE88 起）
  • GATTC 表 @ 0x07FCFB00：0x0E08→0x07FC79F1、0x0E13→0x07FC7619、0x0E15→0x07FC7529、0x0E17→0x07FC7939、0x0E19→0x07FC7921、0x0D15→0x07FC7A51、0x0D21/0x0D22→0x07FC7C69/0x07FC7C65
  • SUOTA 任务 0xFC 表 @ 0x07FCFB50：FC00→0x07FCB6F9、FC01→0x07FCAEED、FC02→0x07FCB6B9、FC03→0x07FCB3F1（文件 0x00FB90–0x00FBAF）

3. 命令解析（任务4）

3.1 写入口

GATT 写总入口 0x07FCBC64（4 个 BL 调用方：0x07FC58B6/0x07FC757E/0x07FC7784/0x07FC7AB8，均为 GAP/GATT 事件包装）。按消息 id（0xFD04/0xFD0D/0xFD0A，literal @0x07FCBDB8–0x07FCBDC0）分流；0xFD0A 按 handle 分流：

handle 去向 证据
2 EPD 数据通道（0xAA/03/04/01） 0x07FCBC84 cmp r0,#2
7 RXTX 命令分发器 0x07FCBDE4 0x07FCBC80 cmp r0,#7
0x0B 同上（第二命令特征，疑 0x331F） 0x07FCBC7C cmp r0,#0xb

写参数结构：[r4,#2]=handle，[r4,#4]=len，[r4,#6]=opcode，[r4,#7..]=payload。

3.2 EPD 通道（图像数据）

@ 0x07FCBC94：ldrb r0,[r4,#6] 后依次比 0xAA / 3 / 4 / 1：

opcode 处理 证据
03 整图：首包擦除 Flash 0x2E000 起 8 sector，随后按 state[0x2A] 累计偏移经 0x07FCAE4C 顺序写 Flash（忽略包内 offset 与平面字节），长度=len-4 0x07FCBD0C–0x07FCBDB6
04 日历小图：按包内 BE offset 写 RAM：[7]==0xFF→0x07FD4B18+off（无边界检查！）；[7]==0x00→0x07FD0A0A+off（边界 0xAA9）；数据=r4+0xA，len-4 0x07FCBD3C–0x07FCBD80；literal @0x07FCBDC8/0x07FCBDD8/0x07FCBDDC
01 整图结束：state 清零 + bl 0x07FC6E98（Flash 落盘/刷屏准备） 0x07FCBCA2–0x07FCBCAE
AA 小图结束：置标志 + bl 0x07FCA880(0) 触发刷新编排 0x07FCBD82–0x07FCBD8E
00 忽略（web 的 clearScreen 第一步是固件侧 no-op） 0x07FCBC9A 链无匹配落 0x07FCBD02

3.3 RXTX 命令分发器 0x07FCBDE4（文件 0x00BDA4）

前置：opcode 0–4 且 len≥0x1F → 数据写（拷贝 (op&7)×32 字节到 0x07FD17BD，op 记入 0x07FD09D0）；opcode 5–8 且 len≥0x1F → 写 0x07FD183D。这覆盖 web 的 04{128B} 倒计时前缀位图（op 4→128B ✓）。 随后 subs r1,#0xdd; cmp r1,#0x12; bls → 跳表 @ 0x07FCBEEA（19 项，target=0x07FCBEEE+entry×2，表体文件 0x00BF2C）：

opcode target 语义（与 web 对照）
DD 0x07FCBF12 设时间：LE 4 字节 unix → state[0x78]，并换算；只用前 4 字节（web 的年月日周字节被忽略）✓
E1 0x07FCBF78 模式：[7]==0→图模式（0x07FCBF8C，state[2]=0+刷新）；==1→日历（0x07FCC10A，循环/可指定，state[0x14]=0）；==2→时钟（0x07FCC12E，state[0x14]=1）✓
E2 0x07FCBF64 提交：查显示状态后 → 0x07FCC0D0 → bl 0x07FCA880(1) 刷新 ✓
E3 0x07FCC0D0 反色 → bl 0x07FCA880(0) ✓
E4 0x07FCBF98 时钟字体 state[0x25] 0/1 循环 ✓
E5 0x07FCBF58 旋转 180°：state[0x11] 翻转 ✓
E6 0x07FCBF70 LUT/VCOM 校准字节 → 显示参数结构 0x07FD09D0+6，然后刷新。平面写函数 0x07FC8648 @0x07FC86EA 读该字节并按 0x10 分界（<0x10 红平面 / ≥0x10 黑平面）——与 web 文档"01–0f 设红、10–f0 设黑"精确一致 ✓
EF 0x07FCBFAA 激活/取设备 ID，见 §4
DE–E0, E7–EE 0x07FCC0D6 空操作（含 web 在用的 E9 轮播间隔、EA 槽位——本固件忽略）✗差异

跳表外直比链（0x07FCBE54–0x07FCBE88）：

opcode target 语义
14 0x07FCC004 12/24h：state[0x23] 翻转 ✓
15 0x07FCC0A0 时钟颜色：state[0x19]^=1 ✓
23 0x07FCC058 三色/黑白：state[0x18]=[7]&1；并写参数[6]=0x0C/0x80 ✓
88 0x07FCC092 置标志位 0x8000（web 未用）
99 0x07FCC068 日历倒计时文字：len≥0x1F 时按 [7]×0x48 拷贝 72 字节/字符 到 0x07FD18BD 基缓冲，[7]+1 记字符数 ✓（与 web 990{j}{72B} 一致）
CC 0x07FCBFEE 参数[5]：>0xE0 或 ≤0x47 时钳到 0x48（web 未用）
FA 0x07FCC04A 关闭倒计时：state[0x24]=1，参数[2]=2 ✓
FB 0x07FCC010 休眠时段：BCD 解析 [7]=开关、[8]=HH、[9]=MM → state[0x13]/参数+3/+4 ✓
FF 0x07FCBE8A len==6 时：FF 00→0x07FCC152 时钟倒计时日期（BCD 年×100+月+日 → 结构+0x10/14/18，state[0xD]=1）；FF FF→0x07FCBEA0 日历倒计时日期（→ +0x1C/20/24）✓

web 有而固件无：E9/EA（no-op）、ASCII WIFI_SSID:...（固件无此字符串、无解析路径，直接忽略）——本固件为纯 BLE 版，WiFi/天气属其他 SKU 或云端能力。

4. 激活验证逻辑（任务6）——可离线绕过

4.1 EF 处理路径（0x07FCBFAA）

[r4,#7]==0xEF 且 len==2  →  "EFEF"：bl 0x07FCA22C 生成设备ID，
                             循环 r5=0x14..0x21 把 14 字节经 ke_msg 发回（notify 应答）✓ 与 web "14B 设备ID"一致
否则                     →  比较循环 @0x07FCC0AA：r4[7..12]（收的 6 字节） vs state[0x44..0x49]
  全部相等 → 0x07FCC0DE：state+0x4A（6B）写 Flash[state[0x40]]、state+0x44（6B）写 Flash[state[0x3C]]
             （写函数 0x07FCAE4C，与图像写 Flash 同一函数，证实为 SPI Flash 写）
  不等     → 0x07FCC0D6 直接返回（无任何惩罚/锁定）

4.2 比较目标 state[0x44] 的来源 = MAC 哈希（关键发现）

启动初始化函数 0x07FC23D0（被 0x07FC7C30/0x07FC877E 调用）尾部 0x07FC24C8–0x07FC24F4，对 i=0..5 循环：

t        = ((MAC[i]<<1) & 0xFF) ^ 0xEF        ; ldrb→lsls#1→eors ~0x10→uxtb
code1[i] = ((t<<6)+(t>>2)) & 0xFF  % 101      ; = rol2(t) % 0x65，经 __aeabi_uidivmod(0x07F1DFB8)
→ 存入 state[0x44+i]
  • MAC = state[0x4A..0x4F] = 设备 BD 地址，由工厂函数 0x07FC7B94 经 NVDS/TLV 读取（0x07FCA2DC，tag 1 = Dialog NVDS BD_ADDRESS；缺省记录 @0x07FD04BA：14 00 06 00 70 ca ea 80 d0 07…）
  • 设备 ID（EFEF 应答）生成 @ 0x07FCA22C：snprintf(state+0x14, "%02X"*7 @0x07FCA298, |MAC4-0x99|, |MAC5-0x99|, |MAC3-0x99|, |MAC2-0x99|, |MAC1-0x99|, |MAC0-0x99|, flags)；flags=state[0x10] = 各 MAC 字节 ≥0x9A 的位掩码（0x07FC23D4–0x07FC23F4 计算）——14 个十六进制字符 + 掩码可无损还原 6 字节 MAC
  • state[0x3C]/[0x40]（激活码 Flash 写地址）= 0x3F0EF + MAC[0]+MAC[1]+MAC[2] 与 0x3F1DE + sum(MAC[0..5])（0x07FC7C0C–0x07FC7C2C，常数 literal @0x07FC7C58 = 0x0003F0EF）——按 MAC 求和混淆存放
  • 全镜像不存在从 Flash 读回激活码的代码（Flash 读函数 0x07FC5AC4/0x07FC5A2C 仅 OTA 路径调用）；0x07FC4CDC 每次刷新都会把这两个槽清零并按 RAM 码非零置 state[0xE]/[0xF]（显示合成开关，非门锁）

4.3 绕过结论

  1. 激活码是纯本地函数：code[i] = rol2(((MAC[i]<<1)&0xFF)^0xEF) % 101（i=0..5），无需厂商服务器。
  2. MAC 获取：BLE 广播地址直接可见；或发 EFEF 收 14 字符 ID 按上式反解。
  3. 固件侧 EF 成功/失败均不门禁任何后续命令（03/04 图传、E1/E2 刷新等在未激活状态同样解析）——激活仅是厂商云端商业模式，本地使用可直接无视；如需让屏幕不再显示激活页，发送一次正确 EF 即可（或直接 patch §8 所述字节）。

5. OTA / SUOTA（任务3+可行性）

证据链：

  1. 任务 0xFC 四消息（表 @0x07FCFB50）：FC00=MEM_DEV（0x07FCB6F8）、FC01=GPIO_MAP（0x07FCAEED）、FC02=MEM_INFO（0x07FCB6B8）、FC03=PATCH_DATA（0x07FCB3F0）——与 Dialog SPOTA 语义一一对应。
  2. 写转发器 0x07FC8340：按服务内 handle 偏移（[r4,#6]=起始 handle，偏移 2–13 跳表 @0x07FC8392，12 项=6 特征×2）把特征写打包成 0xFC00–0xFC03 消息（0x07FC83CC：movs r0,#0x3f;lsls r0,#0xa=0xFC00；literal 池 @0x07FC8520–0x07FC8528 = FC02/FC03/FC01）。6 特征 = SPOTA 标准集（mem_dev/gpio_map/mem_info/patch_len/patch_data/serv_status）。
  3. 接收写盘 0x07FCB3F0：state[0x1C] 状态机（0x10–0x13）；0x200 字节块缓冲（0x07FCB424 lsls r1,#9）；XOR 校验和累计（0x07FCB448–0x07FCB458，存 state[0x24]）；收满后校验缓冲头 70 51（0x07FCB486–0x07FCB492）→ 写 Flash；并回读 0x38000 校验产品头 70 52（0x07FCB4BC/0x07FCB4C4）与镜像头 70 51 AA（0x07FCB4F2–0x07FCB502）。
  4. 广播数据声明 SPOTA 0xFEF5（0x07FD094A）。

OTA 实施建议：按本镜像格式（64B 'pQ' 头 + zlib CRC32）打包 → 连接后走 SUOTA 服务（web 端声明但未用的 0x221F，待实机确认句柄；可先 btgatttool 枚举含 6 特征的服务）→ MEM_DEV 写 SPI flash 基址、PATCH_DATA 分块（块内无需应用层 ACK，结束由接收方校验头+长度+XOR）→ 完成后设备复位，boot ROM 按产品头切换 bank。风险：bank 切换依赖 boot ROM 读 0x38000 产品头，首次实机前建议先用一份仅改版本字符串的镜像验证。

6. 墨水屏驱动（任务5）

低层原语：发命令 0x07FC3646（CS/DC=cmd）、发数据 0x07FC33D0、SPI 读 0x07FC31B4、GPIO 配置 0x07FC3658（P0/P1 基 0x50003000，literal @0x07FC3694）、SPI1 基 0x50001200（literal @0x07FC32B8 等）、延时 0x07FCB8EC。

6.1 驱动 IC 识别 —— 双面板支持，state[0x1C] 选择

主路径 state[0x1C]==0：SSD1683 兼容（面板初始化 0x07FC3440，证据 @0x07FC34C8–0x07FC3562）：

12            ; SWRESET，延时 200ms(0x07FC34CE bl 0x07FC3154, r0=0xC8)
74 / 54       ; 模拟块控制
7E / 3B       ; 数字块控制
2B / 04 63    ; VCOM/ACVCOM
0C / 8B 9C 96 0F ; Booster soft start（GDEY042 系列特征序列）
11 / 01       ; data entry mode
44 / 00 31    ; RAM X: 0–49 → 50 字节 = 400 列 ✓
45 / 2C 01 00 00 ; RAM Y: start 0x012C=300, end 0（反向寻址） ✓ 300 行
3C / 01       ; border
22 / B1, 20   ; 装载温度+主激活
4E / 00, 4F / 2C 01 ; RAM 计数器

另有 0x07FC3344 发 01 / 2B 01 / (1-state[0x20]) = Driver Output Control，mux 0x012B=299 → 300 行（400×300 三色 4.2" 实锤）。温度读取 @0x07FC32BC：18/80、22/B1、20、1B 读 2 字节 >>4 带符号（bit 0x800）→ state[0x28]。

备选路径 state[0x1C]!=0：UC8151/IL0373 兼容（0x07FC3476 起）：

01 / 03 00 26 26 (0F|03)   ; Power Setting（VGH/VSH/VSL/VDHR）
06 / 17 17 17              ; Booster Soft Start
50 / (97|51) 60            ; VCOM & Data Interval
22 / 04, 延时 200

面板类型 state[0x1C] 由 TLV 记录（tag 0x40–0x44，读取器 0x07FCA2DC 跳表 @0x07FCA2F4）配置。

6.2 刷新编排 0x07FCA880

读温度→选波形参数（0x07FC3440）→ 平面写 0x07FC8648 两次：(0x24|0x10, 0) 与 (0x26|0x13, 2)——0x24/0x26 = SSD168x 写黑/红 RAM；0x10/0x13 = UC8151 写 RAM1/RAM2，按面板标志 state[0x1E]/[0x1F] 选择 → ADC 读电池（0x07FC6374，state[0x2C]=百分比）→ 计数 state[0x2B]。

6.3 LUT

固件内无 LUT 表：全程未发 0x32（Write LUT），波形用驱动 IC 内部 OTP LUT；E6 命令仅存校准字节到 0x07FD09D0+6，平面写时按 <0x10/≥0x10 分红/黑平面生效（0x07FC86EA）。两段"LUT 候选"（0x07FD06F8/0x07FD187D）实为清零/0xFF 填充的间隙区，非 LUT。

7. 字符串交叉引用（任务7）

字符串 位置 引用点 用途
TEW MI YAO: 0x07FC2508 (f0x002548) adr @0x07FC2414 开机/未激活屏第一行标题（经 0x07FCC1C4 snprintf 到显存，随 0x07FC23D0 绘制）
H:mspppclock.tech 0x07FC251C adr @0x07FC244A 激活屏：厂商主机名（仅显示用，固件无联网代码）
V:PP_da14585_4.2 0x07FC2530 adr @0x07FC2464 激活屏：固件版本
WX:2549294317 0x07FC2544 adr @0x07FC247C 激活屏：微信联系方式
MAC:%02X%02X… 0x07FC2554 adr @0x07FC24A0 激活屏：显示 BD 地址
%02X%02X%02X%02X%02X%02X%02X 0x07FCA298 adr @0x07FCA286 设备 ID（14 hex）格式串，0x07FCA22C
%d %02d / %d %02d %02d / %s %s 等 0x07FC2D88/90/58/60 adr @0x07FC2D1E/22/C4/C8 时钟/日历屏文本排版
Happiness…Motive（22 词） 0x07FD034C–0x07FD04B8 指针表 @0x07FC9708 日历模式每日一词
DA14585 / PP_da14585_4.2 / 1.0.0.0-LE / Dialog Semi 0x07FD02C4/0x07FD08B9/0x07FD08D0/0x07FD08F6 DIS 表 DIS 0x2A24/0x2A26/0x2A27/0x2A29 值
NRF-XXXXXX 0x07FD0956 0x07FCA210、0x07FCBC4C 广播名模板（X 由 MAC 填充；web 端 namePrefix:'NRF-' ✓）
0123456789abcdef/ABCDEF 0x07FCC638/0x07FCC64C hex 工具 通用

Sun/Mon/Tues/Wednes/Thurs/Fri/Satu（0x07FD0482 起，定长 8B）与 中华人民共和国（0x07FD0920，UTF-8）为日历显示素材。

8. 固件修改/重打包建议

  1. 重打包：改完代码区后用 fw_parse.py 同算法重算 zlib CRC32 写回头 0x08，长度不变则无需改 0x04；经 §5 SUOTA 通道或 UART boot 烧录。
  2. 免激活 patch：将 0x07FCC0AA 比较循环的首分支 beq（0x07FCC0BC 处 beq #0x7fcc0ac 的 fall-through b #0x7fcc0d6）改为直接跳成功分支，或把 EF 处理改成总写 Flash——但更简单的做法仍是按 §4.3 公式算码发送。
  3. 去激活开机屏：0x07FC23D0 的 r0 判分支（0x07FC23F6 cmp r0,#0; beq）强制走 0x07FC24C4 即可跳过 TEW MI YAO/MAC/WX 屏。
  4. RAM 无边界写注意：cmd 04 的 0xFF 平面分支（0x07FCBD48）无长度检查，自研上位机时不要越界（会踩 0x07FD4B18 之后的 BSS）。
  5. 手柄速查：EPD 数据 handle 2；命令 handle 7 与 0x0B（同一解析器）；SUOTA 服务=含 6 特征（12 句柄）的服务（枚举确认）。
  6. 排产注意：固件忽略 E9/EA/WIFI 命令——自研上位机不必实现；倒计时文字位图经 opcode 0–8 数据通道（len≥0x1F）而非 0x99 之外的格式。

附：关键地址速查

名称 映射地址 文件偏移
镜像头 - 0x000000
Reset handler 0x07FC0525 0x0004E5
GATT 写总入口 0x07FCBC64 0x00BC24
RXTX 命令分发器 0x07FCBDE4 0x00BDA4
0xDD–0xEF 跳表 0x07FCBEEA（表体） 0x00BF2C
EF 激活处理 0x07FCBFAA 0x00BF6A
激活码 keygen（boot） 0x07FC24C8 0x002488
设备 ID 生成 0x07FCA22C 0x00A1EC
SUOTA PATCH_DATA 接收 0x07FCB3F0 0x00B3B0
SUOTA 写转发器 0x07FC8340 0x008300
面板初始化（SSD1683/UC8151） 0x07FC3440 0x003400
刷新编排 0x07FCA880 0x00A840
平面写（0x24/0x26/0x10/0x13） 0x07FC8648 0x008608
Flash 写（页） 0x07FCAE4C 0x00AE0C
Flash 读 0x07FC5AC4 / 0x07FC5A2C 0x005A84 / 0x0059EC
Flash sector 擦除 0x07FC58E0 / 0x07FCAE8C 0x0058A0 / 0x00AE4C
全局状态 state 0x07FD19E8（BSS） -
显示参数结构（E6 字节 +6） 0x07FD09D0 0x010990
cmd04 RAM 缓冲 0xFF/0x00 0x07FD4B18 / 0x07FD0A0A -
文字位图缓冲（op0–8/99） 0x07FD17BD / 0x07FD183D / 0x07FD18BD -
Reference in new issue View Git Blame Copy Permalink