小米AI音响(非mini版)的拆解及简要系统分析

概要
因公司需要,采购了一台小米AI音响,价格299RMB,淘宝上或许可以便宜一丢丢吧。
等了一个星期才到货,到货就扒了衣服了,外壳全白,符合小米的智能家居的颜色。

一、小米AI音响的拆机部分
拆解步骤:
1、从小米AI音响的底部,将胶垫撕掉后,露出4颗螺丝孔位,螺丝为十字螺丝,此步骤拆解简单;
2、将小米AI音响的箱体抽出;
3、箱体打开后,同样有四颗十字螺丝固定着主板;
4、将主板上的电源线、面板线及喇叭线移除后,将三个触点焊接上对应的TTL线;
5、焊接完毕后,重新将主板固定到AI的箱体上,并接上对应的电源线、面板线及喇叭线;
6、打开对应的电脑上的串口软件(建议PUTTY,串口波特率115200 8N 1),将箱体接入电源适配器,通电后,让其正常应用。

二、小米AI音响系统的分析部分
1、扫描小米包装上的二维码,下载小爱音响APP,并在手机上安装好;
2、第一次的时候,需要配置网络,并通过蓝牙将对应的信息(SSID,密码,加密方式等)传递到小爱音响上,让其接入网络;
3、此时,就需要对应的软件进行分析小爱音响了。

个人分析此设备的步骤及想法:
1、扫描小爱音响的网络端口;
2、利用nmap进行网络的抓包;
3、分析小爱音响的APP的logcat日志;
4、逆向小爱音响APP;
5、利用小爱音响的主板上的串口,打印TTL信息,如果可能的话,进入到小爱音响的系统之中;
6、查找小爱音响的升级的OTA信息,截取对应的升级固件,并利用逆向工具解压对应的固件,分析固件中的文件内容;
7、综合上述的信息,将所有信息归集到一起,总体上对此设备进行分析总结。

实现的过程如下:
1、扫描小爱音响的wifi端口;
功劳不能说没有,等了30分钟,看到的就一个TCP端口53,失望而归;
在这里插入图片描述
2、利用nmap抓取小米音响的通讯包;
可以说此方法,能截取95%以上的音频数据源格式的地址,有效,但对于分析系统的实现无用;
在抓取此包时,发现了一个9999端口,此后续分析为nao_httpd的进程启动的,提供此设备的xml配置文件的信息。

3、分析小爱音响的APP的logcat日志;
这个步骤,我就不多说了,大家都懂,自己看日志吧,无非就是些MICO的push和通过POST和GET来获取API对应的数据信息;

4、逆向小爱APP
这个也忽略不讲了,大家自己去搞定吧,逆向的方法和工具有很多。
这个步骤我没有做,因为从软件起家的小米,不会傻到不做一点防护,有兴趣的自己去玩;

5、音响主板上的串口,这个较为有效,而且实现方便;
缺点就是需要摸索对应的焊点和线序,在此我给出对应的焊点和线序,可以帮大家轻松进入系统:

小米AI音响串口焊点链接到USB的线序:
(建议串口软件PUTTY,波特率115200 )

TPM26 <—-> GND
TPM25 <—-> TXD
TPM24 <—-> RXD

拿到串口后,你就可以看到其内部的所有信息了。
在这里插入图片描述
在这里插入图片描述
6、OTA的部分,获取固件并解压固件,这个也是可以实现的。

实现的方法:

因为你今天买到的小爱音响里面的固件,已经是旧的固件了。

在小爱音响app的升级页面里可以获取到此设备需要升级的请求,通过获取请求的地址能够拿到对应的固件地址。

http://api.miwifi.com/upgrade/[email protected]@&version=1002020&filterId=1441323470&platform=micoApp&checkUpgrade=true&locale=zh_CN&deviceIdList=1fes23s8-1234-2bd3-cdg3-cad2siuytdf

拿到固件地址后,就去逆向此固件吧,很轻松搞定bin里面的内容,对文件系统进行分析就能够分析出你想要的内容。

如图:
在这里插入图片描述
下载的文件如下:
在这里插入图片描述
7、整理上述的所有信息,共享给读者朋友们,用于分析和学习。
下面我就将上述分析的结果都展示给大家:

串口TTL的启动信息(有点长,凑合着看吧):
在这里插入图片描述
敲击键盘上的回车后,就直接进入了系统:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
获取MAC对应的信息:
在这里插入图片描述
在这里插入图片描述
RTC对时,这个方法,大家都可以用的.
在这里插入图片描述
触摸板touchpad是通过ubus进行交互的,具体的如下:
在这里插入图片描述
这里是不是看到了ssh_enable,实际上也是可以通过ssh进入系统的。

只是这里小米将ssh设置了一个开关,而且只能用秘钥认证来进入。

对于拿到串口后,就不需要了。

自己用dropbearkey生成一个key,放在/data/etc/dropbear/目录下,

然后运行对应的命令就可以开启dropbear的ssh访问了。

无密码进入。

[email protected]:/# dropbear -r /data/etc/dropbear/dropbear_rsa_host_key -E
在这里插入图片描述
Windows下也是可以登录到小爱音响内部,如图:
在这里插入图片描述
分区结构:
在这里插入图片描述
9999端口所看到的文件内容:

其他的文件也是可以看到的,这里就不说明了。
在这里插入图片描述
常见的几个调用:
在这里插入图片描述
播放对应音乐(本地、网络)的方法,实际很简单,小爱音响提供了工具:
在这里插入图片描述
设置音量的方法(两种都是可以的):
在这里插入图片描述
小爱的欢迎音乐:
[email protected]:~# /bin/notify.sh welcome

API的配置文件:
在这里插入图片描述
另外,可以通过接口,获取小米音响的消息服务器列表!
https://api.mina.mi.com/brokerlist/config
在这里插入图片描述
几个脚本:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
小米增加的几个进程:
在这里插入图片描述
在这里插入图片描述
增加了几个定时任务:
在这里插入图片描述
其中就有OTA的升级部分,还有mediapalyer的状态监测,如果内存不足的话,则会重启mediaplayer程序。

在运行升级检测的时候,从日志的截取上能够获取到对应的下载路径和升级文件的头部信息,具体的参加下面的截图:
在这里插入图片描述
从中可以看出这个bin文件的构成部分,cfe+linux+rootfs+weight+sqafs+ramfs,再结合上面的upgrade的脚本,就能够初步判定此脚本的运行过程了。

一些可以直接执行的命令,获取对应的设备信息(已经破坏了返回值,但输入的命令都是可以执行的):
在这里插入图片描述
综述:

架构上,小米音响用的是openwrt的LEDE系统,增加了对应的几个关键的进程,比如:didiagent、mediaplayer messagingagent notify、miio_client_helper等,通过mqtt消息订阅机制解决app端到平台,平台到音响间的通信问题,总体来说并不是很复杂,外围器件比如蓝牙、wifi,功放等这些都是附属的必须品。

**

天猫精灵设备拆机及系统分析

**
我手头的这个天猫精灵型号为TG_X1,黑色天猫精灵AI助手,拆解没有多少难度,但需要注意连接线的问题。
拆机后,看到主控板的信息如下:
在这里插入图片描述
主控型号:联发科 MT8516
MT8516支持四核心64位ARM® Cortex-A35™,主频达1.3GHz。该芯片还内建WiFi 802.11 b/g/n 和蓝牙 4.0NAND
Flash 型号:MT29F2G08ABAEAWP
功放:TI TAS5751M/5W单喇叭,搭载无源辐射器
在这里插入图片描述
灯控板上有几个焊点(应该是ADB的USB接口),焊接上去,结果发现已经无用了。
究其原因发现,升级固件后,将adbd的程序给删除了
具体的参见/lib/systemd/system/android-tools-adbd.service文件的内容:
在这里插入图片描述
在/data/usr/bin目录下就剩下一个android-gadget-setup了,adbd文件已经不存在了。
在这里插入图片描述
如果阿里自己的程序员需要调试的话,导入一个adbd的就可以了。

为了验证自己的猜测,我解压了一个同样平台下的UBI的文件系统,获取了一个ADBD的程序,放到天猫精灵/data/usr/bin/目录下,重新启动天猫精灵,就能看到ADB的设备了。
在这里插入图片描述
下面是这个ADB设备的PID和VID,与上面程序中的是相同的
在这里插入图片描述
连接好对应的线路后,就可以用ADB调试天猫精灵了。
USB线的线序及颜色对应关系,如下图:
在这里插入图片描述
在这里插入图片描述
以下为adb调试的截图:
在这里插入图片描述
在这里插入图片描述
adbd的文件需要放置在这个目录下/data/usr/bin/目录下,这样在系统启动的时候,就会加载这个进程,进行启动了。
这里我将adbd的程序共享出来了,有需要的自己去下吧。
下载地址:https://download.csdn.net/download/leekwen/10420146
至于如何放置这个ADBD的程序?
你可以先通过下面的串口进去,然后通过天猫精灵里面的wget命令下载一下就可以了。用chmod设置好可执行权限后,重新启动,就开启了天猫精灵的adbd调试口。那么以后就不需要再拆机用串口调试了。但是第一次的时候,你需要拆机,将这个程序导入到天猫精灵的/data/usr/bin/目录下。
串口调试的方法如下下面先看看串口的进入方法,这里阿里们没有将这个串口给屏蔽,所以给了我们机会啊。
在这里插入图片描述
在主控板上,看到了UART的接口,直接焊上线,TTL走起;
在这里插入图片描述
在这里插入图片描述
看到了一个大串口的乱码输出,看来一定是波特率不对了。

阿里天猫精灵的串口波特率应该是:921600

设置正确的波特率,OK,输出正确的字符。

以下为输出的启动信息(真的好长):
在这里插入图片描述
直接按个Enter键,oK,出现了登录提示:

Yocto GENIVI Baseline (Poky/meta-ivi) 11.0.1 aud8516-ali-slc ttyS0

aud8516-ali-slc login:
Yocto GENIVI Baseline (Poky/meta-ivi) 11.0.1 aud8516-ali-slc ttyS0

aud8516-ali-slc login:

输入用户名:root 按回车,竟然直接取到了 # 特权,与adb的调试方式类似啊!
在这里插入图片描述
看看具体的信息吧:
在这里插入图片描述
MTD分区的信息:
在这里插入图片描述
设备的ID及系统的版本信息:
在这里插入图片描述
启动的服务:
在这里插入图片描述
这里看到了ADBD服务了,仔细查看发现其实已经不存在了,所以有了上面的怀疑(USB的接口线为ADB的调试口),事实证明确实如此,上面的移植ADBD的程序,也证明了这一点。
在这里插入图片描述
在这里插入图片描述
这里看到了一个主要的服务appmainprog,这个服务就是这个系统的服务的核心服务了。
在这里插入图片描述
其实这个服务是MTK提供的一个智能语音的应用进程框架的核心了。

阿里的这个天猫精灵用的应该是Zelus 智能语音开发平台,自己包装了一下,在wifi密码的输入上采用了自己的支付宝支付密码配对方式,OTA的接口为自己处理了一下,硬件方案和软件平台估计就是Zelus 智能语音开发平台了。
在这里插入图片描述
这个为OTA升级后的ubifs文件系统的挂载脚本:
在这里插入图片描述
PCM卡的信息:
在这里插入图片描述
aplay list一下CARD设备:
在这里插入图片描述
OTA升级时,会将/data分区重写,所以/data分区的内容也就是升级的内容了。

我已经将整个分区导出来了,来来来,走过路过不要错过,看看这个分区的结构吧!
在这里插入图片描述
rootfs的格式为ubifs格式,大家自行挂载吧!

具体的可以参考ubifs镜像的挂载方式。

固件导出的方法有很多,比如DD,tar等等;

因为这个天猫精灵没有开放任何可用的TCP端口,nmap扫描过一次,结果失望而归。从串口中如何将系统的固件导出到自己的Linux系统中,这里我就不详细说明了。大神们自己摸索,提醒一下而已,比如curl,wget,telnet,ftp,lftp,tftpd等等,都可以试试看。

顺便提醒一句吧,tftp就不要用了,不可用,telnet无效,ftp,lftp没有命令,只剩下curl和wget了。curl是可以上传下载的,懂了吧!!在/data/smartbox目录下,你可以看到如下的json,这些都是通过curl进行下载后,MD5比较下,确认无误后,进行播放或上传等操作,比如这个:
在这里插入图片描述
这个ZIP的链接,你们可以直接下载下来,里面都是些提示音之类的资源和控制led的资源文件;

led灯的控制,有一个二进制文件可以用:
/usr/lib/smartbox/bootled

你可以在那个升级的脚本里发现这个命令,传递两个参数,0或者1;有条件的可以试试看。

/usr/lib/smartbox/bootled 0
/usr/lib/smartbox/bootled 1

进入到/usr/lib/smartbox目录后,发现如下的内容:
在这里插入图片描述
看来,philips和hilink以及btgatt也是可以支持的,99RMB, 买不到吃亏,买不到上当!

**

若琪智能音响Rokid硬件拆解及系统架构分析

**
Rokid简介
Rokid是一家总部位于杭州的公司,与我同在一个城市,大家感兴趣的话,可以参见此链接进行了解下他们的发展历程(Rokid的故事)。

创始人来自阿里,他在成立的时候,希望是致力于人工智能行业,但是目前来看,大家都觉得他是搞音响的。我去,“高大上”的人工智能瞬间跌入了街头地摊,创始人也很无奈,其主要就是大众对他们的产品不太了解,从而造成了如此的误解。

同样,我对这家公司也知之甚少,只是通过Rokid官网才知道他们是2014年成立的,并与2014年11月15日进行了产品的内部展示,后来就将这一天被内部定为”Rokid日”。产品的原型和设计也都非常不错,获得了不少设计奖,在这一点上我们应该为他们点赞。

如果大家对他们感兴趣的话,可以去看看Rokid创始人的访谈,自行百度吧,这里不再写链接,以防止有推送广告之嫌。

废话不多说了,开始对我手头的这个MINI版的Rokid进行剖析吧,请大家接着来看!!

硬件系统分析
外观

我拿到的是最新推出Mini版,也是最便宜的一款Rokid(梵星系列:JD上399张毛爷爷),我的这个颜色为白色的,还有一款为枪色的。
外观图示

为了保持我的设备可用(防止将我的设备给我封闭了),我不得不将我的产品的ID进行打码处理。

在这里插入图片描述
因为硅胶上面的那些字体不好拍照,大家就将就这看吧,如下图:
在这里插入图片描述
这个角度好,亮亮的。
在这里插入图片描述
配件

这个是截图来自JD网站上的,上面的这款就是枪色的(那是枪黑色的),接口为USB TypeC。
在这里插入图片描述
在这里插入图片描述
硬件内部结构
硬件拆解

脚垫撕开后,里面是螺丝孔和锂电池插孔,为了移动方便,后续可以增加锂电。
在这里插入图片描述
上盖部分,里面应该是触屏按键和拾音话筒部分,通过连接线与主板相连。
在这里插入图片描述
底盖部分,就是主控板了。拆开上面的三颗螺丝后,就可以看到对应的主控芯片了。
在这里插入图片描述
上一个全图,脚垫和上盖,底盖部分,将底盖拆开后,会看到一个散热片和主控芯片部分。如下图:
在这里插入图片描述
在这里插入图片描述
主要芯片
主控芯片

在这里插入图片描述
BT+WIFI芯片
在这里插入图片描述
总体分析:

主控芯片:
Amlogic A113X quad core Cortex A53 processor

蓝牙+WIFI二合一芯片:

AP6212是正基AMPAK推出的一款低功耗高性能的WiFi+BT4.2模块,该模块符合802.11b/g/n标准,其中WiFi功能采用SDIO接口,蓝牙采用UART/I2S/PCM接口,具有Station Mode,SoftAP,P2P功能等,主要应用于OTT盒子、广告机、智能手机及便携式设备之中。

NAND FLASH:
SAMSUNG K9F4G08U0F-SCB0 4G (512mx8) Nand Flash

软件系统分析通过Rokid的APP将Rokid mini 梵星配置到自己的Openwrt路由上,然后通过Nmap软件进行扫描这个IP以获取其开放的端口号。

端口号开放:80、4201、5355、5555、10004、15003、15005、15006。

登录到80端口上,能看到如下的界面:
在这里插入图片描述
从这个页面上点击“文档”会进入到rokid的github上去,从而可以看到RokidOS的源代码部分。感兴趣的可以进去瞅瞅吧。

具体的链接发布出来了:https://rokid.github.io/rokidos-linux-docs/source/getting_started/overview.html
在这里插入图片描述
上面包含了Rokid的整体系统的架构部分,系统的编译、构建、刷机等等操作说明是一份非常完整的文档说明。

细节部分自己去摸索吧,我关心的是我的这个设备的调试部分,所以可以进入“系统调试”页面后,发现,原来USB TypeC实际上也是刷机线,直接将其接入到Windows系统中,会看到一个ADB的设备,通过ADB4.4即可进入的系统中。

ADB进入系统
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
通过dmesg获取启动过程的信息。

其它

通过其它的命令,可以将这个系统的目录进行打包出来,获取其系统的BIN文件;

具体的信息:
在这里插入图片描述
其整体系统的BIN文件为squashfs文件,解压Squashfs文件后,能获取整个系统的目录结构和实际运行的文件;

通过分析其整体系统的文件发现,在进行OTA升级的时候,设备会自动的下载一个tgz的包,然后擦除/data目录,将其重新解压至/data/以达到升级的目的;

OTA部分,大家可以自行的研究,我这里就贴一个OTA的API吧。
在这里插入图片描述
得到的这个TGZ包后,就获取了rokid的data部分下新的内容。

来来来,围观一下整体的目录吧!
在这里插入图片描述
下面的这个很重要,你们都懂的。。
在这里插入图片描述
看到OTA没有,那个就是在线升级的部分了。
在这里插入图片描述
因为159行,展示不全,那就贴一下出来吧。
在这里插入图片描述
至于里面的URL啊,API啊等等lua源码里面都有的。

如果感兴趣,我可以将这个squashfs解压的包共享出来,不知道Rokid会不会来咬我啊。O(∩_∩)O哈哈~。在这里插入图片描述
在这里插入图片描述
启动时,资源部分在res里面,在activation启动时调用对应的ogg以播放对应的提示声音,比如,入网/启动/唤醒/关机等等。

下载下OTA的升级包吧,看看里面到底是什么鬼!
在这里插入图片描述
v
在这里插入图片描述
目录结构如上图。想看具体源码的你们自己下载吧,上面有API的返回链接地址。好了,我就写到这里了。总结一下:智能硬件(音响)方面,大多是从android演变而来,将Android手机系统中语音助手的功能进行放大,并做好音响的功放功能,整合出来了这样的一个产品,从产品的实现上来说,实现并不困难,难的是能将这个产品做到极致。若琪算是一个还不错的产品了,如果能在安全性上做的更好的话!!阿里出来的,对体验性要求比较高,但是若琪梵星这个的触摸按键,那个尿性,你能叫体验性高吗?功放的功能也是一般般吧。。产品内部的代码也没有多少做了加密处理,只在通讯上做了些认证,可是认证的整个实现方式,都能够看到源码,那么你那再好的认证,也相当于白搭。。如果通过中间人攻击OTA升级的部分的话,那么你家的这个东西会不会半夜里放出来鬼叫声,那就看看这个攻击者想不想搞你了。。假如有一天,你睡着了,突然播放出了鬼叫声,那估计是你家的智能设备抽风了吧!!哈哈