从源码到实物的证据工程：硬件逆向复刻microduck-replica实践

去年年底我接手了一个挺冷门的硬件复刻项目microduck-replica目标很直接把一个已经停产的智能桌面小设备“鸭子机器人”从仿真源码出发在没有原厂原理图支持的前提下通过静态评测的方式逆向复刻出一套可维护的硬件副本。这名字起得挺形象microduck是产品代号replica就是复刻。项目里最花时间的不是烙铁和风枪而是把仿真源码和实物之间逐条逐项做证据比对——这也是标题里“证据工程”四个字的由来。这篇文章把我整个处理过程、工具选型、踩过的坑完整写出来给准备做类似硬件逆向、开源复刻或者产品兼容性研究的工程师做个参考。1. 先把思路捋清楚microduck-replica到底在复刻什么1.1 仿真源码不等于最终硬件先泼一盆冷水手里有仿真源码不等于能直接照着画板子。很多刚接触硬件逆向的朋友有个误区觉得拿到原理图源文件或者逻辑仿真工程就等于拿到了产品的“标准答案”剩下的工作只是照着抄。实际做起来完全不是这么回事。microduck这台设备我查到设计资料的时候最初也确实兴奋了一下觉得既然连仿真工程都拿到了复刻还不是分分钟的事。真正拆开机器对着实物量了一圈之后才发现量产硬件和设计源码之间的差距大到能让人怀疑人生。仿真源码在电子设计流程里通常包含电路原理图、PCB布局、HDL逻辑描述或者仿真测试脚本它代表的是设计意图是工程师在开发阶段构造出来的“理想模型”。但工厂量产出来的板子要经过器件采购、物料替换、产线调优、改版维护这一整条链路任何一个环节都会让实物偏离原始设计。microduck这个项目里我至少发现了三类典型偏差电源芯片被换成了管脚兼容但开关频率不同的替代料两个去耦电容的容值做了调整排查之后确认是EMI整改的结果还有一处GPIO上拉电阻从源码里的10k改成了4.7k估计是产线上为了按键灵敏度做的修正。所以如果直接把仿真源码当成唯一依据去复刻做出来的板子大概率是“设计正确但无法量产”的试验板甚至可能因为器件参数差异跑不起来。microduck-replica这个项目从一开始就把定位定得很清楚不是简单抄板而是要把仿真源码当成“预期模型”把实物当成“实际证据”用一套静态评测的方法把两者做交叉验证最终产出一份可信的硬件副本。1.2 为什么必须做“静态评测”这里要解释一下我强调的“静态评测”。硬件分析大致分动态和静态两条路线。动态分析是给板子上电用逻辑分析仪、示波器去抓总线时序或者跑测试固件看行为表现。静态分析则是在不给电、或者只给极有限供电的条件下通过外观检查、尺寸测量、丝印读取、连通性测试、固件镜像静态解析这些手段来获取信息。microduck-replica选择静态路线为主有很现实的原因。第一这个产品本身带有一定的防拆设计螺丝孔位被胶垫覆盖外壳卡扣非常紧内部主控芯片上还打了丝印明显不希望别人一眼看出方案。动态调试需要给板子供电、接调试器操作过程中稍有不慎就可能烧毁板上关键器件一烧毁证据就没了。第二逆向工程讲究的是“先完整取证再动作”静态评测阶段能够把所有能读到的信息比如器件型号、PCB走线、引脚连接关系、固件里的版本字符串先尽量完整地采集下来形成证据链之后再做任何危险操作都有底稿可查。实际效果也验证了这条路线是对的。我在不拆主控、不动Flash的情况下就通过静态方式拿到了足够的证据把整块板子的器件级BOM推了出来并且还原了80%以上的连接关系。剩下20%是因为内层走线看不到得靠网表推导和动态验证补完。这个比例对于一个没有原厂文档的逆向项目来说已经足够支撑复刻工作了。1.3 工具链与准备工作静态评测要用的工具门槛不高但每一样都得备齐。测量工具我用的是数显游标卡尺精度0.02mm主要用来量PCB外形、定位孔间距、器件封装尺寸。光学工具方面一个带LED补光的10倍到60倍连续变倍显微镜是刚需看丝印、辨别被打磨过的芯片表面都靠它。万用表必须有蜂鸣档做连通性测试没有它寸步难行。另外还建议准备一台可调温的热风枪和一把好的防静电镊子拆屏蔽罩和观察板层结构的时候会用到。软件层面仿真源码里通常能导出网表文件和BOM我习惯先用文本方式把BOM整理出来再用KiCad建一个空白工程把预期的器件清单和网络连接关系录进去。固件分析用binwalk加strings读取Flash用esptool这些工具在后文实操部分会具体展开。2. 静态评测的完整方法论建立证据链而不是抄板2.1 证据链的四个环节做硬件逆向最忌讳的就是东一榔头西一棒子今天拆个电容明天测个电感最后一堆零散信息拼不成图。microduck-replica项目里我给自己定了一套证据链流程四个环节分别是预期建模、实物取证、交叉比对、差异裁决。任何信息没有在这四个环节里走完一遍就不算有效证据也就不会被用来支撑复刻决策。预期建模是从仿真源码出发把所有已知信息结构化。包括器件清单、各器件之间的连接网络、PCB叠层和阻抗要求、关键信号的走向。这一步的产出物是一份“预期网表”和一张“预期BOM”后续所有实物测量都以它们为参照。实物取证则是对真实板子做无损或微损检查把每个器件的实际型号、封装、位置、连接关系记录下来形成“实物台账”。交叉比对就是把台账和预期模型逐项对照所有对得上的打勾对不上的亮红灯。差异裁决则是对每个亮红灯的差异点做原因分析判断是物料替换、设计变更还是单纯我信息来源有误并决定复刻时采用哪个版本。这四个环节缺一不可。我见过有人做逆向时跳过预期建模直接对着实物画原理图结果画到后半段发现某颗芯片不知用途又得回头翻资料。也有人不重视差异裁决看到实物和源码不一致就跟源码死磕浪费大量时间。按流程走每一步都有产出物即使中途中断换个人接手也能顺着证据链继续推进。2.2 从源码提取“预期态”microduck的仿真源码并不是单一的文件而是散落在工程仓库里的多个交付物包括原理图PDF、PCB Gerber文件、固件工程的引脚分配头文件还有一份针对传感器数据融合算法做的仿真模型。我的第一步工作就是把这些资料全部下载下来逐一归类然后建立一张“设计信息索引表”。索引表按模块划分主控、电源、传感器、执行机构、通信接口、人机交互。每个模块下列出该模块在源码里的关键设计参数芯片型号、供电电压、通信总线、GPIO分配、关键电阻电容值。这一步很枯燥但价值极大。有了这张表后面在实物上看到任何一个器件都能快速判断它在设计里的角色也能立刻发现实物与设计的偏差。举个例子microduck的仿真源码里明确写了主控使用ESP32-S3系列Flash规划是8MB并预留了外置SPI PSRAM接口。取实物时我先找到主控芯片丝印是ESP32-S3-WROOM-1-N8R8对照下来是8MB Flash加8MB PSRAM的模组。这个信息瞬间让我确认了三件事模组版本与设计一致、运行内存充足、后面做固件分析时可以直接按ESP32-S3的工具链去处理。这就是预期建模带来的效率提升。2.3 实物取证与比对矩阵实物取证阶段要尽可能多地收集信息然后全部填进一张比对矩阵。矩阵的行是每个器件或每条信号列分别是源码预期值、实物实测值、一致性判断、备注说明。比如电源部分源码预期用了一颗SY8089降压转换器实物上我看到的丝印是S9B查资料确认就是SY8089一致性打勾。而Flash型号源码里写的是GD25Q64CSIG实物丝印显示为XM25QH64C两者容量一致但品牌不同一致性打叉备注栏写“同规格替代料需确认时序兼容性”。比对矩阵的好处是信息密度高一页纸能看完全部差异点。我在项目里维护了一张大概50行的矩阵覆盖了所有关键器件和20组关键信号后期复刻原理图时基本不再需要频繁翻源码和照片只看这一张表就够了。做完这一步我也发现了microduck的仿真源码和量产板之间的器件一致率大概85%剩下15%的差异基本都是被动元件参数微调或同规格替代料主控、传感器、通信芯片等核心方案完全一致。3. 实操记录从拆解到原理图复刻的全过程3.1 拆解与器件台账实际动手拆解之前我先给设备整体拍了360度外观照片记录接口布局、螺丝位置、防拆标签的位置。外壳的处理没什么捷径用塑料撬片沿着卡扣边缘慢慢划开切记不要用金属螺丝刀硬撬否则外壳会留下永久损伤。microduck的卡扣设计得比较紧我试过用热风枪对着卡扣区域吹了十几秒让塑料稍微软化一点再撬效果明显好很多。打开外壳之后先别急着拆主板把能观察到的信息先全部记录一遍。PCB的版号丝印、生产日期代码、J-Link或UART调试接口附近是否有预留焊盘、天线的净空区域和走线方式这些都是重要证据。我拿着微距镜头对着PCB正反面各拍了一轮高清照片之后所有器件台账工作基本都可以对着照片完成不用反复开合板子。器件台账按位置编号记录比如U1、U2、R1、C1每个编号对应一个实际器件记录其坐标、封装、丝印、实测尺寸。建立台账时最怕漏所以我会用网格法把PCB分成左上、左下、中上、中下、右上、右下几个区域逐一扫描。microduck的板子面积不大大约5cm乘4cm单面板加部分双面布局整个台账花了两个小时就录完了大概30个器件主控、Flash、传感器、电机驱动、电源、按键、LED、接插件全部覆盖。3.2 连通性验证与引脚映射器件台账做完之后下一步是验证器件之间的连接关系。这一步我用的工具很简单万用表蜂鸣档加一把自制的测试探针。方法听起来很“土”但确实可靠先把主控的每一路IO引脚位置找出来然后从IO引脚出发测量它和周围电阻、按键、传感器引脚之间的导通关系记录哪些网络是直连的哪些中间串了电阻。这个环节里最值得关注的是按键和LED的GPIO映射。microduck的互动功能主要靠两个触摸按键和一颗RGB LED实现按键在PCB上是以铜箔感应盘形式存在的。我用蜂鸣档从感应盘出发一路追踪到主控的某个引脚再用万用表确认感应盘和主控地之间只有一个大电阻基本就能判定这是一个触摸按键输入。对照源码里的引脚分配表果然这个引脚被配置为触摸传感器输入。三条类似的验证做下来整个映射关系就闭环了。连通性验证的时候有个经验不要只看直连还要测量串阻值。microduck的I2C总线上主控和传感器之间各串了一颗1k电阻如果不测阻值只看通断很容易把这两颗电阻忽略掉导致复刻时漏掉保护电阻影响总线稳定性。测量时注意要把万用表调到电阻档记录实际阻值再和源码里的典型值比对。3.3 固件静态取证硬件信息采集完之后我做了固件层的静态取证。这一步的目标不是反编译整个固件而是先确认固件里有哪些可以作为“版本证据”的字符串比如产品型号、编译时间、协议版本、Wi-Fi SSID前缀等。操作上我先用镊子夹住Flash芯片的供电脚临时阻断供电然后用esptool的read_flash命令把整个8MB Flash镜像读出来。这里有个前提如果Flash开启了加密或者读取保护读出来的数据会无法解析这种情况我后文会说。microduck的Flash没有被加密所以很顺利地得到了一个完整的镜像文件。拿到镜像后先用binwalk扫描文件结构确认里面包含了几段可识别的固件分区。然后再用strings命令配合grep搜索关键词比如“microduck”“fw_ver”“ESP32”。结果在镜像偏移0x120000附近找到了一串类似“microduck_fw_v2.3.1_build20240912”的字符串。这个信息直接和源码仓库里的版本标签对应上了源码里tag v2.3.1的提交时间和这个build日期吻合。这又是一个非常典型的证据链闭环仿真源码、量产固件、产品实物三个维度指向同一版本说明我手里的实物和仿真源码确实是同一个产品代次。另外还从固件里提取到了BLE广播名称和UUID列表这些信息在复刻阶段可以用来验证通信协议是否兼容。值得一提的是固件分析过程一定要做哈希校验读出的镜像先算MD5存档后面任何分析都基于哈希一致的副本避免取证过程污染原始数据。3.4 复刻原理图与PCB要点证据链建立完毕复刻工作就进入“照着画”的阶段了。我在KiCad里新建工程按模块逐步搭建原理图。模块划分和前面的索引表保持一致电源树、ESP32-S3最小系统、传感器组、电机驱动、人机交互。电源树是第一个要画的模块。microduck使用USB 5V输入经过SY8089降压到3.3V供给主控和传感器另外还有一路直接从5V供给电机驱动。复刻时需要注意SY8089的反馈电阻分压网络原板用的反馈上拉电阻是220k、下拉是82k输出约3.35V。我比较谨慎直接在KiCad里按实测阻值录入并且预留了0603封装的调试点方便后续动态调试时微调电压。主控模块相对标准化ESP32-S3-WROOM-1模组的外围电路基本固定但有两个细节要抄到位一是模组底部的散热焊盘必须连接地层并且过孔要打成阵列否则高频工作下温升会比较快二是模组的Strapping引脚GPIO0、GPIO3等原板上拉了电阻连接到Flash的WP和HOLD脚复刻时不能简化否则下载模式判定会出问题。PCB布线阶段因为我已经有了原板的实物照片可以直接“抄布局”。不过抄布局不是像素级复制关键是要抄三样东西天线净空区、差分走线、去耦电容位置。microduck的2.4G天线区域在板边走线净空和原板保持一致避免金属器件遮挡。I2C总线和SPI Flash的数据线虽然没有跑差分但原板把它们布置在相邻层并用地包围我也照做了实测信号质量很好。4. 常见坑位与排查实录4.1 丝印缺失下的器件识别做逆向最大的敌人不是复杂电路而是看不清的丝印。microduck板上有几颗小封装电阻电容因为位置太靠近加热器件丝印已经被高温烤得模糊不清还有一颗电源芯片表面丝印被刻意抹除了一部分。遇到这种情况第一反应不要是刮开丝印而是先量封装和尺寸。用游标卡尺测三边再和常见封装尺寸表比对能大概率锁定封装类型。然后看周边电路拓扑如果一颗三端器件旁边有电感、输出电容到某个电压域基本可以判断是DC-DC再配合输入输出电压和频率行为就能推断出具体型号范围。我遇到的那颗“被抹掉”的电源芯片就是通过输入5V、输出3.3V、开关脚连接一颗2.2uH电感判断出是SY8089的同系列产品后来用示波器测了开关频率确认无误。对于电阻阻值识别丝印烤糊的情况下可以测色环但更实用的是测相邻引脚的电压关系。静态评测阶段没有供电所以最可靠的方式还是观察它在电路里的位置比如LED限流电阻通常在100到1k之间I2C上拉电阻常见4.7k或10k先按经验估一个值等动态调试时再根据实际发光亮度或总线波形微调。4.2 源码与实物版本差异处理前面已经说过microduck的源码和实物大约有15%的差异。这些差异不是随便忽略或强行统一就行的必须逐个记录并做出“复刻版本决策”。我的处理方式是建立一张差异决策表每一行包含差异描述、可能原因、对功能的影响、复刻建议。举个例子源码里按键上拉电阻用的是10k实物上是4.7k。查了一下主板改版记录这个改动发生在某个批次的产线校准之后原因是10k上拉在潮湿环境下触摸检测基准漂移偏大改成4.7k后稳定性提升。我在复刻时采用了4.7k并且在上拉电阻位置保留了并联焊盘如果后续想调试触摸灵敏度可以直接叠加一颗10k电阻并联出约3.2k的效果比重新打样方便得多。这类版本差异处理原则是以核心功能兼容为准不盲目追求与源码或实物的绝对一致。microduck的通信行为和传感器行为没有受这些参数微调影响所以复刻版采用“尽量靠近实物、保留调试手段”的策略既能还原真实产品表现又给后续优化留了空间。4.3 固件读取失败与读取保护静态取证最难受的时刻是Flash读取回来的数据全是FF或者只有开头一小段有效后面全是乱码。第一次遇到时我还以为是探针接触不良反复试了三次才确认是Flash使能了读取保护。ESP32系列的Flash读取保护机制是基于eFuse控制的如果原厂在量产时烧录了对应的eFuse位那么外部工具直接读SPI Flash是拿不到明文固件的。microduck的实物没有开启这个保护算是运气好但我在这个项目后期帮朋友看另一款设备时遇到了同样的保护所以总结一下处理思路。遇到读取保护最忌讳的想法是硬破解一方面难度极大另一方面存在法律风险。正确的做法是调整取证目标不追求拿到完整固件明文而是通过周边证据去推断固件的功能和版本。比如读取Flash虽失败但通过主控的日志串口在特定按键组合下输出的启动信息可以拿到编译日期和版本号。再比如通过测量不同工作模式下的GPIO电平变化可以反推部分固件逻辑。这些行为层面的信息足够支撑硬件兼容性复刻并不一定需要完整固件。另外要强调做这类项目时一定注意授权边界。只有对你自己拥有、或者明确授权可以研究的设备做逆向复刻才是合规的。microduck-replica正是基于该设备已由版权方以开源协议发布仿真源码这一前提下进行的学习研究整个项目也保持了非商业用途的定位复刻资料以开源方式回馈社区。4.4 合规边界与后续扩展前面提到合规这里再展开多说几句。硬件逆向和开源复刻处在合法与侵权之间的灰色地带不同地区法律制度不同。我个人执行的标准很简单没有明确授权的情况下绝不绕过任何软件授权保护机制不提取或传播受保护的固件内容不将复刻成果用于商业牟利。microduck-replica因为原始仿真源码本身以开放许可发布且实物设备也已由原作者公开拆解所以整个项目在法律框架内是安全的。如果你的项目涉及商业产品或专利技术动手之前务必找专业法律人士确认边界。项目做完之后当前阶段只是完成了静态评测和原理图级复刻。后续我打算做两块扩展一是动态验证把复刻出来的板子刷入官方允许分发的固件跑一遍功能回归测试对比原机的传感器数据、电机响应和BLE交互行为二是外壳和结构件的复刻因为microduck的造型偏可爱路线外壳用3D扫描加逆向建模可以很好地还原这部分我正在用摄影测量方式做点云重建。这两个方向做完整个microduck-replica才算真正闭环。我自己在这个项目里最大的体会是硬件逆向的核心能力不是焊接和量测而是建立证据链的思维方式。每一步操作都在为后续环节提供背景每一个测量数据都能在某个维度支撑结论所有信息拧成一条完整的证据链后复刻就变成了水到渠成的事。如果你正准备做类似的设备复刻或兼容性研究建议从建立索引表和比对矩阵开始先别急着拆机把已知信息结构化之后实操效率会高出一大截。