认识Windows CE操作系统镜像文件的格式

信息对于用户的开发和调试工作会有所帮助。

由Windows CE的开发工具Platform Builder编译生成的Windows CE操作系统及BootLoader的镜像文件主要有两种格式类型——以.bin为文件名后缀的记录型镜像文件和以.nb0为后缀的原始型（raw）镜像文件，前者以记录（Record）为单位组织镜像的数据，后者则是镜像在嵌入式系统中运行时的二进制数据的快照。

DownloadImage函数执行的第一步是调用GetImageType函数获知镜像文件的格式类型。GetImageType也是BLCOMMON库函数，与DownloadImage函数在同一源文件中实现。GetImageType函数查询镜像文件格式类型的原理十分简单：每一个Windows CE镜像文件在文件数据的起始位置都有一个7字节的特征码（magic number），它与镜像文件的格式一一对应如下：

"N000FF\x0A"——BL_IMAGE_TYPE_MANIFEST

"X000FF\x0A"——BL_IMAGE_TYPE_MULTIXIP

"B000FF\x0A"——BL_IMAGE_TYPE_BIN

"S000FF\x0A"——BL_IMAGE_TYPE_SIGNED_BIN

"R000FF\x0A"——BL_IMAGE_TYPE_SIGNED_NB0

无特征码——BL_IMAGE_TYPE_UNKNOWN

以上的前4种类型都是记录型镜像格式，只有BL_IMAGE_TYPE_SIGNED_NB0代表原始型镜像文件格式，此外DownloadImage函数把无特征码的BL_IMAGE_TYPE_UNKNOWN 类型也当作原始型镜像来处理。BL_IMAGE_TYPE_MULTIXIP类型在Windows CE 5.0和5.0以前的版本中用于表示多区段的镜像文件，在Windows CE 6.0版本中使用BL_IMAGE_

TYPE_MANIFEST类型处理多区段的操作系统镜像，不再支持BL_IMAGE_TYPE_MULTIXIP 类型，仅为了在源代码中保持向下兼容而保留该类型的定义。

BL_IMAGE_TYPE_MANIFEST类型的镜像文件的数据是多区段的记录型镜像文件的区段（Region）信息。多区段的镜像，简单地说，就是操作系统或者BootLoader的运行时二进制数据分散在不连续的物理存储区间。Manifest的字面含义是“载货单”，该类型的镜像文件并不是真正的Windows CE操作系统的或者BootLoader的二进制运行时数据，只是供下载多区段型镜像所使用的头信息。由于镜像数据的性质特殊，BL_IMAGE_ TYPE_MANIFEST类型的镜像文件——也称作Manifest数据——与一般的镜像文件数据的存放位置不同，它使用专门的DownloadManifest型全局变量g_DownloadManifest来存放。DownloadManifest结构体类型在头文件%_WINCEROOT%\PUBLIC\COMMON\OAK\INC\ blcommon.h中定义如下：

typedef struct _MultiBINInfo_

{

DWORD dwNumRegions; // Number of files to be downloaded.

RegionInfo Region[BL_MAX_BIN_REGIONS];

} MultiBINInfo, *PMultiBINInfo;

typedef MultiBINInfo DownloadManifest;

多区段意味着多文件，即一个操作系统或者BootLoader的二进制运行时数据存放在多个镜像文件中，这多个镜像文件的数据对应于可以连续也可以不连续的多个物理存储区域。DownloadManifest结构体的成员dwNumRegions就是多区段镜像的区段个数，也即是后续多个镜像文件的文件个数。Region数组成员负责具体存放各区段的信息，BL_MAX_BIN_ REGIONS在头文件%_WINCEROOT%\PUBLIC\COMMON\OAK\INC\ blcommon.h中定义为25，意味着多区段的镜像区段数最大不得超过25。Region数组成员的元素类型RegionInfo又是一个在头文件blcommon.h中定义的结构体：

typedef struct _RegionInfo_

{

DWORD dwRegionStart;

DWORD dwRegionLength;

CHAR szFileName[MAX_PATH];

} RegionInfo, *PRegionInfo;

RegionInfo结构体的3个成员dwRegionStart、dwRegionLength、szFileName含义分别是一个镜像区段在物理存储中的起始地址、以字节为单位的区段长度和与镜像区段相对应的镜像文件的文件名。

对于BL_IMAGE_TYPE_MANIFEST类型的镜像文件，文件数据中紧随7字节的格式类型特征码之后从下载端口读出的是4字节的校验数据，继之是4字节的区段个数。区段个数数据理所当然存放在g_DownloadManifest全局变量的dwNumRegions成员中，随后依次读出的是镜像的g_DownloadManifest.dwNumRegions个区段的属性数据——起始地址、区段长度、区段数据的镜像文件名，按顺序存放在g_DownloadManifest.Region数组的各个元素中。DownloadImage函数调用CheckImageManifest函数读取4字节校验数据和随后的全部Manifest 数据，然后CheckImageManifest函数调用VerifyChecksum函数对Manifest数据执行校验，不过校验范围仅限于存放在g_DownloadManifest.Region数组中的区段头信息的数据，不包括4字节的g_DownloadManifest.dwNumRegions的数据。

单位，待校验无误以后将去除头信息的记录数据存放到dwRecAddr指定地址的物理存储位置。如果记录的目的存储位置是Flash存储设备，则通常要先缓存在RAM内存中，待整个镜像文件全部下载完再一起写入Flash。

与BL_IMAGE_TYPE_BIN类型相似的最普通常用的原始型（Raw）镜像文件以.nb0为文件名后缀，它们使用DownloadNB0函数进行处理。由于原始型镜像文件的数据只是物理存储中的Windows CE操作系统或者BootLoader的二进制运行时数据的一个最直接的快照，所以它是完全无格式的，甚至都没有7字节的特征码，在GetImageType函数中将这种镜像文件格式类型定义为BL_IMAGE_TYPE_UNKNOWN。通常情况下，DownloadImage函数将无特征码的BL_IMAGE_TYPE_UNKNOWN类型都当作原始型镜像文件处理，但是在安全性要求较高的情况下（定义了宏SECURE_BOOTLOADER）无特征码的镜像文件是不应该被BootLoader 接受的。原始型镜像文件的处理方法是最简单的，BootLoader只需从下载端口中读出全部的镜像数据并且存放到相应的存储位置，而且无需处理校验。原始型镜像文件的数据在物理存储中的起始地址和长度都取决于Manifest数据，因而.nb0型的镜像文件不能单独下载，BootLoader必须先下载作为它的前导属性信息的BL_IMAGE_TYPE_MANIFEST类型的镜像文件。

BL_IMAGE_TYPE_SIGNED_BIN和BL_IMAGE_TYPE_SIGNED_NB0是两个带有数字签名的Windows CE镜像文件格式类型，用在对BootLoader的安全性要求比较高的场合。DownloadImage函数分别调用函数DownloadSignedBin和DownloadSignedNB0对它们进行处理，被调用的这两个函数也都是BLCOMMON库函数。

BL_IMAGE_TYPE_SIGNED_BIN类型的镜像文件是基于BL_IMAGE_TYPE_BIN类型的，在它的7字节的校验码“S000FF\x0A”之后是4字节的物理存储起始地址和4字节的镜像长度，这与BL_IMAGE_TYPE_BIN类型是完全相同的。BL_IMAGE_TYPE_SIGNED_BIN 类型也使用记录来组织镜像的数据，与BL_IMAGE_TYPE_BIN类型不同的是，在它的记录之上还有一级在源代码中称为包（PACKET）的数据封装，包是在头文件%_WINCEROOT%\

PUBLIC\COMMON\OAK\INC\sbl.h中定义的一个结构体：

typedef struct _PACKETDATA {

const BYTE * pbData; // data to verify

DWORD dwDataLength; // length of data in bytes

const BYTE * pbSig; // signature to verify

DWORD dwSigLength; // length of signature in bytes

DWORD dwRecAddress; // record address

DWORD dwRecLength; // record length

DWORD dwRecCheck; // record checksum

BYTE bRandomSeed[RANDOM_SEED_LENGTH]; // The global file random seed

DWORD dwSequenceNumber; // The packet sequence number

BYTE bFlags; // Flags (EOF, Chunk, etc.)

} PACKETDATA;

PACKETDATA结构体（包）的抽象意义是使用数字签名对镜像的数据进行校验的单元。头两个成员pbData和dwDataLength是存放在包中的镜像数据的缓冲区的指针和字节长度，之后的两个成员pbSig和dwSigLength是存放在当前包中的数字签名的缓冲区指针和以字节为单位的数字签名的长度。dwRecAddress、dwRecLength、dwRecCheck这3个成员是当前包中的镜像数据所属记录的信息，其含义分别与BL_IMAGE_TYPE_BIN类型镜像的记录头信息完全相同。对于较小的记录，一个包可以包含一个记录，较大的记录则需要分割成多个包。对于需要分割记录数据的情况，dwRecAddress、dwRecLength、dwRecCheck这3个成员记录的数值仍然是原始的记录的属性信息，因为分割的单元是记录中的数据而不是记录本身。bRandomSeed成员是16字节的随机数，在有数字签名的BL_IMAGE_TYPE_SIGNED_BIN格式镜像文件中，继4字节的镜像目的物理存储起始地址和4字节的镜像数据字节长度之后被BootLoader读出的就是这个随机种子，属于同一个镜像文件的所有包都拥有一个相同的16字节随机种子数据。dwSequenceNumber成员是包的序号，在一个记录分属多个包的情况下使用。bFlags成员用于记录包的属性。

PACKETDATA结构体所组织的包仅存在于包数据被完全下载到内存中之后，这个数据结构主要供BootLoader校验其数字签名使用，而BootLoader通过下载端口获取的包仍是一种结构型的数据块。包含一个完整的记录的包，都有一个9字节的包头，分别是4字节的包数据长度、4字节的数字签名长度和1字节的包头属性数据，包数据长度只包括记录中的有效数据，不包括12字节的记录头（内存起始地址、长度和校验码）。包头之后是记录头属性，然后是包数据（即记录的镜像数据），最后是与包头的数字签名长度对应的数字签名数据。对于一个记录分属多个包的情况，则结构稍微复杂一些，属于同一记录的第一个包在包头之前还有一个块（chunk）头，也是9字节，前4个字节被忽略，中间4字节是当前记录所拥有的包数，用于指出后继还有多少包是属于这同一记录的，最后1字节是包属性信息。分属多个包的记录在每个包中的记录头信息都是相同的，都是针对整个记录的，被分割的只是记录中的数据，记录的头是不可分割的。

当一个包的全部数据都从下载端口读出以后，按照Manifest数据的要求被放置到适当的存储位置（RAM内存或FLASH中），然后根据包数据的头信息连同之前获取的16字节随机数种子一起来填充一个PACKETDATA结构体类型的数据，最后调用SBL_VerifyPacket函数对包数据执行认证，通过了认证的包的镜像数据才会被BootLoader接受，否则DownloadSignedBin函数返回FALSE表示下载镜像失败。使用数字签名进行认证的原理和SBL_VerifyPacket函数的算法都十分复杂，并且与Windows CE BootLoader的开发实践关系不