2. MCU启动流程剖析：从复位向量到main函数的完整旅程
大家好，我是你们的嵌入式安全讲师。今天我们来聊聊MCU启动这件事。
说实话，很多工程师写了几年嵌入式代码，却从来没仔细看过芯片上电后到底发生了什么。他们只知道「按复位键，程序重新跑」。但作为安全开发者，你必须清楚——启动过程恰恰是安全防护的第一道防线。
我见过太多产品，因为启动流程没处理好，被攻击者轻松注入了恶意代码。嗯，咱们今天就把这层窗户纸捅破。
2.1 复位之后，CPU在做什么？
MCU上电那一刻，内部电路会先稳定电压，然后释放复位信号。这时候CPU做的第一件事，就是去固定的地址读取数据。
这个地址，就是复位向量。
以ARM Cortex-M系列为例，复位向量通常位于地址0x00000000。但注意，这里存的不是代码，而是栈指针的初始值。紧接着的0x00000004，才是复位中断服务程序的入口地址。
关键点：CPU不会自动跳转到main函数。它先执行的是启动文件中的复位处理函数，通常叫Reset_Handler。
为什么会这样设计？说白了，main函数需要运行环境——栈要初始化、全局变量要赋值、BSS段要清零。这些事，总得有人干。
2.2 启动文件：真正的幕后英雄
启动文件（startup_xxx.s）是汇编写的，很多开发者觉得它又老又难懂，直接跳过。我个人建议你至少读一遍，因为这里藏着安全相关的关键配置。
一个典型的启动文件包含这几部分：
- 中断向量表：所有中断处理函数的入口地址列表
- 复位处理函数：初始化C运行环境
- 其他异常处理函数：HardFault、NMI等
- 堆栈初始化代码
我在项目中遇到过一件事：某款产品量产时发现部分芯片启动异常，查了三天，最后发现是启动文件里栈大小定义错了，导致局部变量多的函数直接跑飞。从那以后，我每次都会检查启动文件里的栈配置。
2.2.1 中断向量表布局
这张表是MCU启动的「地图」。CPU复位后，硬件自动从这个表里取数据。以STM32为例：
__Vectors DCD __initial_sp ; 栈顶地址
DCD Reset_Handler ; 复位处理
DCD NMI_Handler ; NMI异常
DCD HardFault_Handler ; 硬错误
DCD MemManage_Handler ; 内存管理
DCD BusFault_Handler ; 总线错误
DCD UsageFault_Handler ; 用法错误
; ... 后续是外设中断
注意看，前16个是系统异常，后面才是外设中断。这个顺序是固定的，不能乱改。
安全警告：如果攻击者能篡改中断向量表，就能劫持所有中断。所以安全启动的第一步，就是验证向量表的完整性。
2.2.2 Reset_Handler干了什么？
复位处理函数是C语言世界的入口。它通常做这几件事：
- 关闭所有中断（防止初始化过程中被打断）
- 拷贝.data段从Flash到RAM
- 清零.bss段
- 初始化堆栈（如果使用C库的malloc）
- 调用SystemInit()（配置时钟、PLL等）
- 跳转到main()
你想想看，如果.data段拷贝出错了，全局变量初始值就不对。我调试过一个bug，现象是某个全局标志位莫名其妙是0，查了半天，发现是链接脚本里.data段的加载地址和运行地址没对齐。
2.3 链接脚本：内存的「城市规划图」
链接脚本（.ld或.scf文件）决定了代码和数据在内存里怎么摆放。没有它，编译器不知道把函数放哪，变量放哪。
一个典型的链接脚本定义这些区域：
| 段名 | 内容 | 存放位置 |
|---|---|---|
| .text | 代码、常量、只读数据 | Flash |
| .data | 已初始化的全局/静态变量 | Flash（加载时）→ RAM（运行时） |
| .bss | 未初始化的全局/静态变量 | RAM（运行时清零） |
| .stack | 栈空间 | RAM |
| .heap | 堆空间（动态内存） | RAM |
这里有个坑：.data段在Flash里有一份副本，启动时拷贝到RAM。如果你在代码里修改了全局变量，改的是RAM里的副本，Flash里的原值不变。下次复位，又会从Flash拷贝过来。
我的经验：做安全存储时，我会在链接脚本里单独划出一段「安全区域」，用来存放密钥和敏感数据。这个区域在启动时由安全启动代码锁定，普通代码无法访问。
2.3.1 链接脚本示例（简化版）
MEMORY
{
FLASH (rx) : ORIGIN = 0x08000000, LENGTH = 512K
RAM (rwx) : ORIGIN = 0x20000000, LENGTH = 128K
}
SECTIONS
{
.text :
{
*(.isr_vector) /* 中断向量表 */
*(.text*) /* 代码 */
*(.rodata*) /* 只读数据 */
_etext = .; /* 标记.text结束 */
} > FLASH
.data : AT(_etext) /* 加载地址紧接.text */
{
_sdata = .; /* 标记.data起始 */
*(.data*)
_edata = .; /* 标记.data结束 */
} > RAM
.bss :
{
_sbss = .;
*(.bss*)
_ebss = .;
} > RAM
}
注意看AT(_etext)这个语法。它告诉链接器：.data段运行时在RAM，但它的初始值存在Flash里，紧挨着.text段末尾。启动文件里的拷贝代码，就是根据_sdata、_edata、_etext这些符号来搬数据的。
2.4 从复位到main的完整流程
咱们把整个过程串起来，画个时间线：
- 上电复位：硬件电路稳定，释放复位信号
- 取向量：CPU从0x00000000取栈指针，从0x00000004取复位地址
- 执行Reset_Handler：汇编代码开始运行
- 初始化C环境：拷贝.data、清零.bss、设置堆栈
- 调用SystemInit：配置系统时钟、Flash等待周期等
- 跳转到main：终于进入C语言世界
整个过程，从复位到main，通常只需要几毫秒。但就是这几毫秒，决定了整个系统的安全基础。
安全视角：如果攻击者能在步骤2-5之间注入代码，就能绕过所有安全机制。所以安全启动必须在步骤2之后、步骤6之前，完成代码完整性和真实性的验证。
2.5 避坑指南
做启动相关开发时，这几个坑我踩过，你们别踩：
- 栈溢出检测：在启动文件里给栈区域填充固定模式（如0xDEADBEEF），运行时定期检查边界。我曾经因为递归调用过深导致栈溢出，程序行为完全不可控。
- 中断优先级分组：SystemInit里通常会配置NVIC的分组。如果忘了配，默认值可能和你的预期不一致，导致中断嵌套出问题。
- Flash等待周期：MCU主频高了，Flash读取速度跟不上。SystemInit里必须根据主频设置正确的等待周期，否则代码执行会出错。
- 看门狗：有些MCU上电后看门狗默认是开启的。如果启动流程太长，没来得及喂狗，芯片会反复复位。我建议在Reset_Handler最开头就关闭看门狗，等main里初始化完再重新配置。
2.6 小结
启动流程，说白了就是给C语言搭台子。台子搭不好，戏就没法唱。
作为安全开发者，你要特别关注：
- 中断向量表是否被保护
- 启动代码是否被篡改
- 关键数据段是否加密存储
- 栈和堆的边界是否安全
下一章，我们会深入讲解安全启动的具体实现——如何用硬件和软件结合的方式，确保从复位向量到main函数的每一步都是可信的。
记住：安全不是加个锁就完事了，而是要从芯片睁眼的第一刻就开始守护。