Thinkpad X1 Tablet gen2 键盘固件逆向实现Ctrl与Fn换位

0 折腾原因

一直想有一个键盘+红点+触摸板的桌面组合放在办公室用。键盘+红点操作效率高，触摸板在看文档网页时翻页顺滑。几经转折发现了Thinkpad X1 Tablet gen2原装键盘，除了太薄手感一般之外，完美满足需求，而且这款键盘折叠部分里的排线很容易折断，导致价格非常便宜，很适合用来改装USB。很久之前改装了两个，然而这款键盘Fn和Ctrl位置不能交换，导致我一直误操作，所以全部出掉了。前段时间手痒又改装了一个，这次打算彻底解决Fn和Ctrl换位的问题，了却心愿。另本文主要记录思路，以便类似情况参考，并不是软件使用教程。

1 准备工作

首先需要了解该键盘的基本构造，好在之前折腾的时候拆过一个坏键盘，拆机图如下：



可以看到该键盘是usb协议的，核心是一个Sonix单片机，型号为：SN32F237FG。推测该单片机通过GPIO接收按键、红点和触摸板信号，转化为USBHid发给电脑。

这样的话，就需要更改单片机固件实现更改键位了。

2 工具准备

1.该单片机的文档（Sonix官网）：SN32F237_V2.20_SC.pdf

2.该键盘的固件（Lenovo官网）：n1olk08w.exe

3.USB用途表（USB-IF官网）：hut1_12v2.pdf

4.逆向工具ghidra：https://github.com/NationalSecurityAgency/ghidra

5.其他工具：在研究过程中，我还用Keil研究并编译了该单片机的例程，并用bindiff将编译出的axf文件与固件对比，匹配出了一些函数名。但事后总结思路，对这次逆向并未起到决定性作用，所以这次不再赘述，有兴趣的同学可以自行研究。

3 逆向过程

3.1 导入固件

固件解压出3个文件：一个exe，一个Config.ini，一个hex文件，不难看出hex文件就是本次要逆向的固件，导入ghidra，根据官网上的信息，选择指令集为ARM:LE:32:v7，完成导入。

3.2 寻找键码

按照一般经验，键盘固件中会有一个键码表，用于将接收到的信号转变为键码，对应USB用途表，就是04=A 05=B 06=C……这部分。



一般键盘固件中键码都是连续存储的，观察固件hex，在比较靠后的部分，找到了疑似区域（键码中间隔着01、02之类的）：



每个键的键码有4位，前两位有01、02、81三种，后两位就是USB用途表中的键码。对照USB用途表，大概解析出键码分布如下（红色的是改建验证过的，绿色的是还没验证的，供参考）。：



可以看出，普通键码为01开头，如0104=A；带FN功能的键码为02开头，如023a=F1；Ctrl、Shift、Alt、徽标键键码为81开头，如8102=左Shift。

按照常理分析，在键码表中将Fn和Ctrl对换即可达成目的。研究到这里，是不是感觉即将大功告成？其实这才是入坑的开始。以我浅薄的研究，该键盘的固件逻辑稀烂。

首先，在键码部分压根没有找到Fn键的踪影。其次，左右Ctrl也没有出现。其实上图中绿色的8101和8110，推测应为左右Ctrl，然而修改后烧录验证，这两个键码根本没有生效。而把A键由0104改为8101，则变成左Ctrl键。所以推测，Fn和Ctrl键，在读键码表之前就被判定了。我们只能继续分析。

3.3 寻找Fn

在ghidra中载入固件之后，可以发现，在我们找到的键码表开头的地方，有DAT_00005a8c和DAT_00005a8d两个数据，分别被FUN_000020f0和FUN_000020fa引用。这两个数据的读取方法应该就是基址+偏移。



顺藤摸瓜，观察FUN_000020f0和FUN_000020fa，都被FUN_00000e80引用。推测这两个函数分别负责读取键码前两位和后两位：



来到FUN_00000e80，反编译为伪代码：



大约可以看出，该函数有比较复杂的逻辑判断过程，猜测和处理按键信号有关。特别关注到判断条件里出现了几个疑似键码：0x6e(Esc)、0x3d(空格)、0x51(End，且结果分支里出现了0x49即Insert)。其中End键极为关键，该键盘Fn+End正是Insert键，故确认FUN_00000e80包含了Fn快捷键的判定和处理。经过多次更改后烧录，大概扒出了该函数的功能。

ulonglong FUN_00000e80(uint param_1,int param_2)

{
  byte bVar1;
  char *pcVar2;
  byte bVar3;
  uint uVar4;
  byte *pbVar5;
  int iVar6;
  uint uVar7;
  uint uVar8;
  bool bVar9;

  uVar4 = GetScanCodeHyperByte(param_2);
  bVar1 = *(byte *)(DAT_00001264 + param_2);
  uVar7 = (uint)bVar1;
                    /* 键码前两位为02 */
  if ((uVar4 & 0x7f) == 2) {
                    /* Fn+ESC=FnLock */
    if (uVar7 == 0x6e) {
      if ((*DAT_00010268 == '\0') && ((*DAT_0000126c & 8) != 0)) {
        *(undefined *)(DAT_00001260 + 0x2d) = 1;
      }
      else {
        *(undefined *)(DAT_00001260 + 0x2d) = 0;
      }
    }
                    /* Fn+空格 控灯 */
    if (uVar7 == 0x3d) {
      *(undefined *)(DAT_00001260 + 0x2d) = 0;
      if ((*DAT_00001268 == '\0') || ((*DAT_00001270 & 0x10) != 0)) {
        *DAT_00001274 = '\x04';
        pcVar2 = DAT_0000127c;
        if ((*DAT_00001278 & 2) == 0) {
          *DAT_0000127c = *DAT_0000127c + '\x01';
          if (*pcVar2 == '\x03') {
            *pcVar2 = '\0';
          }
          pbVar5 = DAT_00001278;
          *DAT_00001278 = *DAT_00001278 & 0xf;
          *DAT_00001278 = *DAT_0000127c << 4 | *pbVar5;
          FUN_000032ca(6,*DAT_0000127c);
          NotPinOut_GPIO_init();
        }
        else {
          GPIO_Init();
        }
      }
      else {
        uVar4 = 1;
      }
    }
    else {
                    /* Fn+4 待机 */
      if (uVar7 == 5) {
        if ((*DAT_00001268 == '\0') || ((*DAT_00001270 & 0x10) != 0)) {
          if (*DAT_00001280 != '\x01') {
            if ((*DAT_0000126c & 4) == 0) {
              FUN_00000d44();
            }
            else if (*DAT_00001284 == '\0') {
              *DAT_00001284 = '\x01';
              FUN_00000d44();
            }
          }
        }
        else {
          uVar4 = 1;
        }
      }
      else if (*(char *)(DAT_00001260 + 0x2d) == '\0') {
        uVar4 = 1;
      }
      else {
                    /* Esc */
        uVar8 = uVar7 - 0x6e & 0xff;
        if ((uVar8 == 0) && (*DAT_00001268 != '\0')) {
          uVar4 = 1;
          uVar7 = uVar8;
        }
        else {
                    /* F12 */
          if (uVar8 == 0xd) {
            iVar6 = FUN_00000a68();
            if (iVar6 == 0) {
              HID_GetReportInputEvent();
            }
            *DAT_00001274 = '\x02';
            iVar6 = DAT_00001260;
            *(undefined *)(DAT_00001260 + 0x2c) = 3;
            *(undefined *)(iVar6 + 0x1c) = 3;
            *(undefined *)(DAT_00001260 + 0x1d) = *(undefined *)(DAT_0000128c + 0x34);
            *(undefined *)(DAT_00001260 + 0x1e) = *(undefined *)(DAT_0000128c + 0x35);
            *(undefined *)(DAT_00001260 + 0x1f) = *(undefined *)(DAT_0000128c + 0x36);
            uVar7 = uVar8;
          }
          else {
            iVar6 = FUN_00000a68();
            if ((iVar6 == 1) || (*DAT_00001288 != '\0')) {
              *DAT_00001288 = '\x01';
              uVar4 = 1;
              *DAT_00001290 = 0;
              uVar7 = uVar8;
            }
            else {
              bVar9 = uVar7 != 0x7c;
              uVar7 = uVar8;
              if (bVar9) {
                if (*DAT_00001274 != '\x02') {
                  HID_GetReportInputEvent();
                }
                *DAT_00001274 = '\x02';
                iVar6 = DAT_00001260;
                *(undefined *)(DAT_00001260 + 0x2c) = 3;
                *(undefined *)(iVar6 + 0x1c) = 3;
                *(undefined *)(DAT_00001260 + 0x1d) = *(undefined *)(DAT_0000128c + uVar8 * 4);
                *(undefined *)(DAT_00001260 + 0x1e) = *(undefined *)(DAT_0000128c + uVar8 * 4 + 1) ;
                *(undefined *)(DAT_00001260 + 0x1f) = *(undefined *)(DAT_0000128c + uVar8 * 4 + 2) ;
              }
            }
          }
        }
      }
    }
  }
                    /* 键码前两位01或81 */
  if ((uVar4 & 0x7f) == 1) {
    *(undefined *)(DAT_00001260 + 0x2c) = 0;
    bVar3 = GetScanCodeLowerByte(param_2);
    if ((*DAT_00001274 == '\x02') && (uVar7 != 0x7c)) {
      FUN_00000d90();
    }
    *DAT_00001274 = '\x01';
    if ((uVar4 & 0x80) == 0) {
      if ((int)param_1 < 8) {
        *(byte *)(DAT_00001260 + 0x14 + param_1) = bVar3;
        if ((*DAT_00001268 == '\0') || ((*DAT_00001270 & 0x10) != 0)) {
                    /* Fn+End=Insert(0x49) */
          if (uVar7 == 0x51) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0x49;
          }
          else if (uVar7 == 0x20) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0x9a;
          }
          else if (uVar7 == 0x26) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0x47;
          }
          else if (uVar7 == 0x1a) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0x48;
          }
          else if (uVar7 == 5) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0x4f;
          }
          else if (uVar7 == 0x32) {
            pbVar5 = (byte *)(DAT_00001260 + 0x14);
            pbVar5[param_1] = 0x48;
            *(byte *)(DAT_00001260 + 0x14) = *pbVar5 | 1;
          }
          else if (uVar7 == 0x6e) {
            FUN_00000dc0();
            *DAT_00001274 = '\x04';
          }
          else if (uVar7 == 0x7c) {
            *DAT_00001274 = '\x02';
            iVar6 = DAT_00001260;
            *(undefined *)(DAT_00001260 + 0x2c) = 3;
            *(undefined *)(iVar6 + 0x1c) = 3;
            *(undefined *)(iVar6 + 0x1d) = 8;
            *(undefined *)(iVar6 + 0x1e) = 0;
            *(undefined *)(iVar6 + 0x1f) = 0;
          }
          else if (((uVar7 < 0x70) || (0x7b < uVar7)) &&
                  (iVar6 = FUN_00000a68(), iVar6 != 1)) {
            *(undefined *)(DAT_00001260 + 0x14 + param_1) = 0;
            *DAT_00001274 = '\x04';
            *DAT_00001290 = 0;
          }
        }
        param_1 = param_1 + 1 & 0xff;
      }
    }
    else {
      *(byte *)(DAT_00001260 + 0x14) = *(byte *)(DAT_00001260 + 0x14) | bVar3;
    }
  }
  if ((((uVar4 & 0x80) == 0) && ((*DAT_00001270 & 0x20) == 0)) &&
     ((*DAT_00001268 != '\0' && (((*DAT_0000126c & 4) != 0 && ((*DAT_00001270 & 0x10) != 0)))))) {
    *DAT_00001270 = *DAT_00001270 & 0xaf;
    FUN_000032ca(1);
    *DAT_0000126c = (*DAT_0000126c & 0xfc) + 1;
    FUN_00000dc0();
    UT_DelayNms(2);
  }
  return (ulonglong)CONCAT14(bVar1,param_1);
}

在上述代码中，我们可以观察到，每次执行Fn功能前，都要判定DAT_00001268=>2000001D是否为0。而经过烧录测试，Fn按下时内存2000001D为0，反之为1。至此，可以推断内存2000001D为Fn状态。

3.4寻找Ctrl

继续观察FUN_00000e80，发现FUN_00000a68出现了多次，应该也是一个重要的判定条件。反编译FUN_00000a68。

undefined4 FUN_00000a68(void)

{
  undefined4 uVar1;

  if (((((*DAT_00000e2c == '\x01') || (*DAT_00000e30 == '\x01')) ||
       ((*(byte *)(DAT_00000e28 + -0xc) & 2) != 0)) ||
      (((*(byte *)(DAT_00000e28 + -0xc) & 0x20) != 0 || ((*(byte *)(DAT_00000e28 + -0xc) & 4) != 0 ))
      )) || (((*(byte *)(DAT_00000e28 + -0xc) & 0x40) != 0 ||
             (((*(byte *)(DAT_00000e28 + -0xc) & 8) != 0 ||
              ((*(byte *)(DAT_00000e28 + -0xc) & 0x80) != 0)))))) {
    uVar1 = 1;
  }
  else {
    uVar1 = 0;
  }
  return uVar1;
}

看到这个函数，我们大胆联想到USB键盘8字节数据包的第一个字节的定义：

BYTE1 --

|--bit0: Left Control是否按下，按下为1

|--bit1: Left Shift 是否按下，按下为1

|--bit2: Left Alt 是否按下，按下为1

|--bit3: Left GUI 是否按下，按下为1

|--bit4: Right Control是否按下，按下为1

|--bit5: Right Shift 是否按下，按下为1

|--bit6: Right Alt 是否按下，按下为1

|--bit7: Right GUI 是否按下，按下为1

找一个二进制换算器即可得出0x1=左Ctrl 0x2=左Shift 0x4=左Alt 0x8=左徽标 0x10=右Ctrl 0x20=右Shift 0x40=右Alt 0x80=右徽标。Shift、Alt、徽标在这个函数中都出现了，那么DAT_00000e2c和DAT_00000e30代表什么也就呼之欲出了，经过验证分别为左Ctrl和右Ctrl的按下状态，他们在内存中对应2000001E和20000027。

3.5 寻找写入上述变量的函数

上述结论，验证了Fn和Ctrl在走键码表之前就被单独判定的猜想。那么写入内存2000001D（Fn）、2000001E（左Ctrl）和20000027（右Ctrl）的函数就显得至关重要。在变量表中，每个变量都对应多个DAT数据，对涉及的函数逐个分析，发现FUN_00001ce0（Fn）、FUN_00001c68（左Ctrl）、FUN_000018a2（左Ctrl、Fn）、FUN_00001b48（右Ctrl）对上述变量进行了写入操作。而这四个函数，都出现在了FUN_00001e2e中：



巧合的是，FUN_00001e2e引用了FUN_000011f6，FUN_000011f6引用了FUN_00000e80。那么有理由推断，FUN_00001e2e开头对Fn、左右Ctrl这三个不走键码表的按键进行了判定，然后再进入FUN_00000e80判定其他按键。

3.6 寻找修改部位

上面的工作大致定位了需要修改的位置，注意到上图中对DAT_00001f64=>2000002b进行判定后区分了FUN_00001ce0（Fn）、FUN_00001c68（左Ctrl）两个分支。而在FUN_000018a2中对DAT_00001ae4=>2000002b进行判定后区分了DAT_00001ae8=>2000001E（左Ctrl）、DAT_00001af0=>2000001D（Fn）两个分支：



那么我们将涉及的两处判定反过来，即可实现Fn和Ctrl的换位。即修改如下两处：





汇编码中，bne=d1 beq=d0，d1和d0互换，if就会反过来。修改后经验证，成功实现Fn和Ctrl换位。

3.7 顺手修改大雷

修改固件的过程中，发现Fn+4=待机，为了防止误触，顺手取消掉该功能。前面FUN_00000e80中可以看出，将键码头两位02改成01，即将固件中5abe位置的0221修改为0121，即可避免FUN_00000e80中进入待机分支。

4 吐槽和恰饭

根据逆向的结果，这款键盘的固件源码条理性不是很理想，实在想不出为什么要将Fn和Ctrl单独拿出来判断。因为我之前也没有逆向的基础，浪费了我一个月的时间，真是得不偿失。期间有一次刷成砖了，根据文档将主控第4脚接地后上机后即可识别，重新烧录救回来了。如果嫌麻烦不想搭建各种环境，也可以直接找我购买修改后的固件，抚慰一下我受伤的心灵。海鲜市场carrothu。