Cílená statická analýza protokolu CFL-605RT

Výsledek

Statická analýza uzavřela geometrii, souřadnice, výběr nástroje, profilové hodnoty a epilog omezené první řezací úlohy. Neuzavřela životní cyklus systémového spojení RAW TCP ani bajty před prvním datovým zápisem. První bezpečný POC proto ještě vyžaduje jedinou cílenou síťovou sondu pro každou z těchto dvou mezer.

Analýza nespustila žádnou binárku Windows, neinstalovala ovladač, nekontaktovala plotr a neprovedla USB ani ethernetový záznam. Ghidra 12.1.2 načetla pouze MMKPLT.dll a mpmserv_1.dll do dočasného projektu mimo Git.

Analyzované moduly

Q01 — životní cyklus TCP spojení

Modul a místo: mpmserv_1.dll, SHA-256 3dde1e24123f4803ae66a6315f87fa9ec447a23dcbb0e2432d2b9b5d9038ad1d, export InitializePrintMonitor2 na 0x180001698 v .text a tabulka MONITOR2 na 0x180005140 v .data.

Pozorované bajty a tok: Tabulka začíná bajty b0 00 00 00 00 00 00 00 20 23 00 80 01 00 00 00 14 17 00 80 01 00 00 00 00 00 00 00 00 00 00 00. Hodnota cbSize=0xb0 a pořadí struktury MONITOR2 mapují tyto callbacky:

StartDocPort začíná bajty 48 89 5c 24 10 48 89 6c 24 18 48 89 74 24 20 57 41 54 41 55 41 56 41 57 48 83 ec 60. Rozlišuje vlastní cesty MIMAKI FILE2, MIMAKI1394 a lokální zařízení, jejich cestu otevře přes CreateFileW. WritePort na 0x180001bf8 předává přijatý buffer beze změny do WriteFile. EndDocPort na 0x180001e04 dopíše pouze vlastní 1394 buffer, volá FlushFileBuffers a CloseHandle a žádný protokolový bajt nepřidává. ClosePort tvoří bajty b8 01 00 00 00 c3 a nic dalšího nedělá.

Závěr: Vlastní port-monitorová cesta MPMSERV_1.dll nemá handshake, transformaci proudu ani vlastní síťový transport. OpenPortEx=NULL zároveň nedokládá delegaci do systémového monitoru. Ručně zvolenou konfiguraci S02 obsluhuje systémový Standard TCP/IP Port Monitor, jehož počet spojení, hranici jedné úlohy a okamžik zavření archivované moduly neobsahují.

Jistota: vysoká pro vlastní callbacky MPMSERV_1.dll; nízká pro životní cyklus ručně zvoleného systémového RAW TCP portu. Q01 zůstává otevřená.

Q02 — handshake a první síťový bajt

Modul a místo: mpmserv_1.dll, SHA-256 3dde1e24123f4803ae66a6315f87fa9ec447a23dcbb0e2432d2b9b5d9038ad1d, ReadPort na 0x180002468 v .text; MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712; CFLJJ.PCD, SHA-256 15e8fe9037d518f09dee5f12e928def5f3deb04da662731e58cb905ccd723d51, s PAGEINIT=IN;.

Pozorované bajty a tok: Celý vlastní ReadPort tvoří 41 83 21 00 b8 01 00 00 00 c3. Funkce zapíše do *pcbRead nulu a vrátí TRUE. StartDocPort vlastní cesty nečte před prvním zápisem a WritePort data nemění. Modelová konfigurace vkládá do spoolovacího proudu IN;.

Závěr: Vlastní cesta MPMSERV_1.dll před daty nečte a nepřidává handshake. Tento závěr nelze přenést na ručně zvolený systémový Standard TCP/IP Port Monitor. Statická analýza proto nepotvrzuje, zda je prvním síťovým bajtem I z IN;, ani zda systémová cesta před prvním zápisem očekává odpověď.

Jistota: vysoká pro vlastní cestu MPMSERV_1.dll; nízká pro první bajt systémové RAW TCP cesty. Q02 zůstává otevřená.

Q03 — epilog omezené první úlohy

Modul a místo: MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712, tabulka DRVFN na 0x6a92fe50 v .data, DrvEnableDriver na 0x6a902b88, DrvSendPage na 0x6a909a9c, DrvEndDoc na 0x6a909a38 a zapisovací funkce 0x6a905294 a 0x6a90533c v .text.

Pozorované bajty a tok: DrvEnableDriver vrací verzi 0x20000, 25 položek a ukazatel na tabulku. Položky iFunc=0x20, 0x21, 0x22 a 0x23 ukazují postupně na 0x6a909a9c, 0x6a9092ec, 0x6a909a38 a 0x6a907ab8. Ve veřejné struktuře winddi.h odpovídají funkcím DrvSendPage, DrvStartPage, DrvEndDoc a DrvStartDoc.

DrvSendPage začíná bajty 48 8b c4 48 89 58 10 48 89 68 18 48 89 70 20 57 48 83 ec 40. Pro MODEL=11, COMMAND MGL-IIc a vypnuté rozšířené přesuny stránky vede obyčejná větev na řetězec PUSP0; na 0x6a901908, délku 6 a následné volání 0x6a90533c(..., 9). Větev modelu 11 přeskočí kandidát ;JE; na 0x6a90193c. DrvEndDoc běžné větvi žádné další bajty nepřidá.

Závěr: Omezená první úloha končí přesně bajty PUSP0;, tedy zdvihem nástroje a volbou SP0, a následným flush spoolovacího bufferu. Závěr platí pouze pro MODEL=11, jeden běžný list a bez rozšířeného posunu nebo podávání stránky.

Jistota: vysoká. Q03 je pro takto omezený POC uzavřená.

Q04 — pohyb bez řezu a s řezem

Modul a místo: MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712, dispečery 0x6a913324, 0x6a913488 a 0x6a913544, modelová funkce 0x6a911f38 a řetězce na 0x6a901c44 až 0x6a901c54 v .text.

Pozorované bajty a tok: Dispečer začátku kontury 0x6a913324 začíná 48 83 ec 38 48 8b 81 70 0a 00 00 83 b9 18 09 00 00 01. Dispečer řezného bodu 0x6a913488 začíná 48 83 ec 38 48 8b 81 70 0a 00 00 41 b9 01 00 00 00. Oba pro modelovou hodnotu 0x0b pokračují přes větev <0x15 do 0x6a911f38.

Funkce 0x6a911f38 používá řetězce PU na 0x6a901c44, PD na 0x6a901c4c, PA na 0x6a901c50 a PR na 0x6a901c54. Start nebo přesun bez řezu emituje PU, absolutní režim PA a dvojici podepsaných desítkových souřadnic. Řezný bod emituje PD, PA a stejnou dvojici. Relativní větev emituje PD, PR a rozdíly souřadnic. Bajty 45 50 na 0x6a901c48 jsou EP, nikoli PD.

Závěr: Minimální absolutní geometrie používá PU + PAx,y pro pohyb bez řezu a PD + PAx,y pro pohyb s řezem. Souřadnice jsou podepsaná desítková celá čísla oddělená čárkou. Ovladač mezi těmito mnemoniky nevkládá středník.

Jistota: vysoká. Q04 je uzavřená.

Q05 — jednotky, počátek a osy

Modul a místo: MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712, 0x6a911f38 v .text; veřejný zdroj S01 pro GDP UNIT a plochu 610 × 510 mm; S02 pro počátek vlevo dole.

Pozorované bajty a tok: Při context+0xdb8 == 0 funkce ukládá x_cmd=x_gdi a y_cmd=page_height-y_gdi. Varianty rotace 1 až 3 osy prohazují nebo invertují. Funkce 0x6a9051e0 serializuje výsledné hodnoty jako podepsaná desítková celá čísla. Ovladač dostává už kvantované souřadnice GDI; neprovádí převod z milimetrů.

S01 povoluje pouze jednotky 0,025 mm a 0,010 mm. S01 uvádí efektivní plochu 610 × 510 mm. S02 vyžaduje počátek vlevo dole.

Závěr: První POC musí zakázat rotaci, vyžadovat počátek vlevo dole a mít explicitní profil gdp_unit_mm s hodnotou 0.025 nebo 0.010. Přímý encoder z milimetrů použije x_cmd=x_mm/gdp_unit_mm a y_cmd=y_mm/gdp_unit_mm v soustavě vlevo dole. Host musí před serializací použít a zdokumentovat vlastní pravidlo kvantování; ovladač jeho volbu nedokládá.

Z fyzické plochy a jednotky vycházejí tyto odvozené meze: při 0,025 mm x=0…24400, y=0…20400; při 0,010 mm x=0…61000, y=0…51000. Nejde o publikované protokolové maximum.

Jistota: vysoká pro orientaci a povolené jednotky; střední pro odvozené číselné meze. Q05 je uzavřená.

Q06 — SP a fyzický nástroj

Modul a místo: MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712, profilová funkce 0x6a9143b4, řetězec SP na 0x6a901d50 v .text; S01, PEN ASSIGN.

Pozorovaný tok: Pro model 0x0b funkce 0x6a9143b4 načte z 28bajtového profilového záznamu logické číslo v druhém 32bitovém poli a emituje SP následované desítkovým číslem. PCD omezuje počet logických per na šest.

S01 definuje uživatelsky měnitelné PEN ASSIGN 1 až 6. Tovární mapa je: 1 = B/REC.CUTTER1, 2 = B/ROLLER1, 3 = B/θCUTTER, 4 = B/ROLLER2, 5 = A/SWIVEL, 6 = A/PEN.

Závěr: SPn vybírá logický slot n v rozsahu 1 až 6, nikoli neměnný fyzický nástroj. Profil POC musí uvést pen_slot a obsluha musí před ostrým řezem potvrdit aktuální panelové přiřazení. Tovární mapa je vodítko pro kontrolu, ne implementační výchozí hodnota.

Jistota: vysoká. Q06 je uzavřená explicitním slotem a kontrolou panelu.

Q07 — rychlost, tlak a offset

Modul a místo: MMKPLT.dll, SHA-256 611da823f97b5f83afa94c28e8b705c61b7cce44d72ab14478a077e0c1029712, 0x6a9143b4 a formátovač 0x6a914264 v .text; řetězce VS, ZF, FS, ZO a AS na 0x6a901d54 až 0x6a901d64.

Pozorované bajty a tok: Pro model 11 čte 0x6a9143b4 z 28bajtového záznamu:

• bajt na posunu 0x0c; pokud není nula, emituje VS a celé desítkové číslo;
• 16bitovou hodnotu na posunu 0x0e; pokud není nula, emituje FS nebo ZF a celé desítkové číslo podle příkazového režimu PCD;
• float na posunu 0x14; při kladné hodnotě emituje ZO a výsledek formátovače 0x6a914264.

Formátovač 0x6a914264 začíná bajty 48 8b c4 48 89 58 08 48 89 68 18 66 89 50 10 56 57 41 54 48 83 ec 30. Volá _fcvt(value, 2, …) a vždy tvoří dvě desetinná místa. Modelová větev 11 zde neemituje AS ani ZA. Nulová rychlost, tlak nebo offset příkaz zcela vynechá; neemituje hodnotu nula.

S01 uvádí fyzickou rychlost 0,2 až 30 cm/s a offset 0,00 až 2,50 mm v kroku 0,05 mm. Tlak závisí na nástroji: například swivel 30 až 1000 g, tangenciální nůž a roller 500 až 1500 g. Ovladač serializuje rychlost jako celé číslo, takže omezený POC smí použít pouze celočíselnou rychlost 1 až 30 cm/s. Kódování desetinné rychlosti zůstává neověřené a první POC je nepotřebuje.

Závěr: Profil používá SPn, volitelně VSv, FSf nebo ZFf a ZOo.oo. Příkazy se řetězí bez vloženého středníku, například SP1VS10FS100ZO0.30. Chybějící hodnota ponechá prioritu panelu. Profil nesmí mít obecný výchozí tlak; musí validovat rozsah vybraného nástroje. ZA zůstane pro první POC panelovým nastavením.

Jistota: vysoká pro bajtovou serializaci a vynechání nul; vysoká pro veřejné fyzické rozsahy; nízká pro desetinnou rychlost, kterou omezený POC zakazuje. Q07 je uzavřená pro tento POC.

Otázky třídy D

Q08 (více průchodů a pořadí), Q09 (odpovědi a stavové čtení) a Q10 (hostitelské spuštění registračních značek) neblokují první samostatný jednosměrný řez. Tato etapa je pouze klasifikuje a dál je nerozebírá. U Q09 je doloženo jen to, že vlastní ReadPort modulu mpmserv_1.dll vrací nula bajtů; chování systémové RAW TCP cesty zůstává neověřené.

Hloubkové doplnění po odložení capture

Protože síťový capture je odložen o několik dní, byla statická analýza dotažena na maximum. Následující byte-chainy uzavírají dřívější mezery obsahu proudu.

FS vs. ZF řídí PCD klíč CUTTING, ne COMMAND (E38 → potvrzeno)

Příznak [pdev+0xa70]+0x104 je plněn parserem PCD. Keyword tabulka na 0x6a92a6b0 váže CUTTING na handler 0x6a926e80, který dělá add rcx,0x104 a tail-calluje generický atoi setter 0x6a9264b8. Default recordu je nula (0x6a925f82: mov [rbx+0x104], r13d s r13d=0). Handler COMMAND (0x6a926e98) cílí jiné pole +0x118. V CFLJJ.PCD je CUTTING=1 → +0x104=1. Emisní větev 0x6a914617: přednabije ZF (0x6a901d58), cmp [rax+0x104],0, jne → +0x104=1≠0 ponechá ZF; FS (0x6a901d5c) by padlo jen při CUTTING=0. Tentýž +0x104 gatuje i druhou emisní kopii 0x6a914b9b a barevnou/řezovou větev 0x6a91468f.

Souřadnice se nezaokrouhlují (E39 → potvrzeno)

Geometrie 0x6a911f38 počítá jen celočíselně (sub edi,r8d; sub esi,edx) a předává serializeru 0x6a9051e0, který volá msvcrt!_ltoa s bází 10 (IAT 0x6a901488). Jediné MulDiv (0x6a91ac8a) je na dráze rozlišení/DPI, ne per-vertex. Driver tedy dostává už kvantované celé číslo; pravidlo zaokrouhlení mm→jednotka je plně na hostovi.

Zápisová cesta je jednosměrná (E29 → potvrzeno)

MMKPLT importuje WritePrinter/WriteFile, ne ReadPrinter; ReadFile je jen se souborovým mapováním konfigurace. V kódu nejsou status-opkódy (OH/OS/OA/OI/!). Vlastní ReadPort MPMSERV_1.dll vrací nula bajtů. Status jde jen out-of-band (SNMP / Event Mail).

Softwarové stropy rychlosti a tlaku (E20/E22 → potvrzeno)

MMKPLT při serializaci neclampuje (jen !=0 a delta-suprese). Stropy vynucuje MMK_UI přes UDM_SETRANGE: model 11 rychlost 0–50 (0x6a912fe1: mov eax,0x32) vs. ostatní 0–40 (0x6a912fb9: 0x28); tlak 0–5000 (0x6a912ff5: mov r15d,0x1388). Dřívější „10000 g" byla chyba; skutečný strop je 5000.

Delegace legacy monitoru vyloučena (E36 → potvrzeno)

Parse importů mpmserv_1.dll: 58 funkcí z šesti systémových DLL, žádný Winsock, žádný LoadLibrary/GetProcAddress. Všech 194 nepřímých volání míří do vlastní IAT 0x180001000–0x1800011e0. DeviceIoControl cílí lokální \\?\1394#mimaki&printer_status, ne TCP/AFD. OpenPortEx=NULL tedy není skrytá delegace — RAW cesta na 11110 běží výhradně přes systémový tcpmon.dll, který v podkladech není.

Registrační značky (E32)

MMKPLT neemituje žádný mnemonik čtení značek; detekci provádí senzor stroje, host jen nastaví režim přes UI dialog 608 ([RegMark] 0/1).

Hranice závěru

• PUSP0; platí pro omezenou běžnou větev MODEL=11; rozšířené posuny a podávání stránky jsou zakázané.
• Převod milimetrů na celé jednotky je odpovědnost budoucího hosta. Ovladač nepředepisuje jeho zaokrouhlení.
• Tovární PEN ASSIGN se může na panelu změnit.
• Absence čtení v MPMSERV_1.dll není důkazem chování systémového Standard TCP/IP Port Monitoru.
• Aktuální DeviceIO 5.12.3 používá oddělené app-vrstvové cesty CDeviceEtherData a CDeviceIDCut. Jejich porty a rámce nejsou důkazem legacy RAW TCP/11110.
• Podobnost názvu MGL s HP-GL nebyla použita jako důkaz žádného příkazu.