Christian Gingras:那個直接在機器碼中改Bug的傢伙

姚Justin發表於2013-08-08

背景知識:《機器人大戰:2084》(英文:Robotron: 2084,也常簡稱為Robotron)是由Vid Kidz開發、Williams Electronics於1982年發行的一款街機遊戲。它是一款2D射擊遊戲。遊戲設定在2084年的一個虛構世界,在那兒機器人起來反抗人類的統治。玩家的任務是擊退一波又一波的機器人,拯救倖存的人類,並贏取儘可能多的分數。(摘自維基百科

介紹:

  • 『拐角射擊失靈』,所有Robotron的ROM原始程式裡頭有個bug,當玩家對在戰場邊緣行進的暴徒射擊的時候,程式會讀取程式碼裡一個錯誤的位置。導致程式碼不知道接下來做什麼,程式監視器就會重置遊戲到地毯模式。
  • Eugene Jarvis 提到:1987年前後,一個叫Christian Gingras的加拿大小孩完整地分析了ROM裡頭的機器程式碼,綜合得到了源程式列表。他發給我們他通過讀程式碼發現的7個bug,然後我們修復了這些bug。這其中就有一個很著名的拐角射擊崩潰bug。
  • Sean Riddl提到:Williams Arcade Classics(一款遊戲)出現於1995年,我假設Eugene(Robotron遊戲的設計者)已經修復了ROM裡頭的bug,我試用了一下程式然後回覆了作者,他做了一些ROM的改動,這些改動讓模擬容易一點。(他把Stargate重做成了Defender II, 這肯定是非常多的工作),Sean Riddle寫道:我用google搜尋了一下,好像人們認為拐角射擊的bug修復了。之後補丁出來了,在補丁裡頭可以看到“1987修改”。我想我是從Williams Arcade Classics Widows95版裡頭找到的補丁。

備註:雖然 Robotron 讓 Christian 獲得了聲望,但實際上他酷愛另一款遊戲 Joust。

Robotron 2084

 

Christian 的自述(2012年11)

1982年的時候我在電子方面是很超前的,我可以設計模擬和數字系統。這些年出現的電子遊戲表明,Joust/Robotron主機板上100個晶片就可以讓系統執行比標準電晶體邏輯閘上更復雜的功能,比如說Williams的遊戲。

詳細地研究原理圖,有一個很明顯的選擇:在Joust裡頭,摩托羅拉6809微處理器相當於大腦,而用來建立電腦控制有智慧行為的鳥的資料,儲存在12個電可程式設計序只讀儲存器(EPROM)裡頭。

我意識到,如果我要自己設計複雜的電子系統,我必須瞭解摩托羅拉6809是如何工作的。如果我是個幸運的孩子可以訪問大型主機,我會拿6809作為參考來學習微處理器。

但是我能擁有的最強大的計算機是街機遊戲機。這些遊戲比當時的家庭計算機比如TRS-80或者TI99a快幾個數量級。

用不了多長時間我就找到了最快的遊戲, Robotron 2084有10波全速的120個物件,很顯然是最快的。在Joust裡頭,只有10只鳥3個翼龍和兩個玩家。相對於Joust而言,Robotron 2084效能更具有挑戰性。如果我們用Z80處理器,比如Miss Pac-man,來處理4個鬼魂,一個水果和一個玩家,6809微處理器明顯要快很多

我花了幾年的時間才找到一個專家,他把Robotron主機板上的EPROM去掉,並且讓我讀EPROM裡頭的程式然後還可以寫回去。這是1984年或者1985年的事。

那個時候,我在Radio Shack買了一臺彩色電腦COCO2, 裡頭有一個微軟寫的6809的偵錯程式edtasm。我反向工程破解了edtasm,於是我明白了6809的彙編和反彙編程式是怎麼建立的。但是我覺得Robotron:2084是如此複雜,所以我沒有敢研究它。1985年還是1986年,我反向工程研究了COCO2裡8K大的ROM,這個ROM建立了COCO2的基本語言。然後我也研究了很多其他的應用比如磁帶軟盤拷貝應用,為了節約我的工作,我也通過研究一些遊戲來了解如何訪問COCO2的圖形模式。

最後在1986年8月,我準備好了要開始研究Robotron:2084。我做了一個定製的edtasm,它可以從EPROM裡頭每次讀4K的二進位制資料,並且反編譯程式碼同時把實際硬體地址對映成虛擬的地址。不是在螢幕上顯示, 反編譯器把結果傳到列印端。總共用了3天才列印完512頁程式。我時不時往墨盒裡頭加點紅色或者黑色或者藍色的墨水。為了節約紙的空間還有錢,我列印了雙面的。這些包含了反編譯的6個EPROM的所有程式。

我前些年研究過一些6809的應用,我很高興我能用相似的方式讀懂這些程式碼。不過有些明顯的區別:

Robotron: 2084用了一些變址指令比如:“LDA A,Y++, STB B,X+$0A”(從地址為暫存器X值的記憶體裡讀一個位元組,增加那個暫存器,把那個位元組寫道暫存器Y指向的記憶體地址的第10個位元組)

它證明Robotron:2084雖然是彙編寫的,卻是很乾淨的物件導向的程式碼。

Robotron依賴一些共享方法來做一些操作,比如分配記憶體,休眠一段時間,在這中間處理器可以做一些其他的操作,休眠結束之後會重新執行之前的程式碼。

這說明Robotron是一個完全的多執行緒應用,每個移動物件都是由不同的執行緒來控制的。

如果我沒記錯,IRQ中斷每秒執行300次,是一個高優先順序的執行緒負責執行高優先順序的任務,比如說當陰極射線管(CRT)掃描的距離某個地方足夠遠的時候,繪製螢幕的一部分來避免閃爍。一個狀態機讀取CRT垂直掃描的位置,然後選擇當前物件列表裡頭的可以安全重新整理的物件。比如說,如果我們用手柄控制一個玩家到接近螢幕的頂部,

重繪操作只會當CRT掃描在螢幕中間和底部的之間執行。

我用了8個月來學習這512頁程式碼,在我當保安的地方,每天晚上在物業檢查的間歇裡,我會開啟那捲紙,用彩色的筆畫箭頭來標記那些執行了特殊功能或者讀寫了特殊埠的地方。

幾個月之後,我得到了 “為什麼Robotron:2084會這麼快”的答案。位塊傳送器(blitter,一個垂直或者水平的直接記憶體控制晶片)是高效能的主要因素。但是Defender(一款遊戲)螢幕繪製的速度和Robotron一樣,但它沒有blitter(blitter是Robotron的設計,Stargate(一款遊戲)額外宣揚了blitter晶片)

我決定接著研究Robotron,同時也看看Joust 和Stargate,來比較它們的相同和不同特性。有些程式碼處理一些很難的演算法,給了我很深的印象,比如說:它如何用6809的MUL指令來做除法,用“固定點數(相對於浮點數)”來做二進位制計算。

當研究程式碼如何處理遊戲事務的時候,我就能猜到這些程式碼過去引起過一些問題。 有些測試可以核實可能的問題,比如用4堵牆來比較子彈的位置,從而確認子彈被限制在可視的螢幕範圍之內。總共48K的記憶體有40K用來顯示每個象素,剩下的8K用來作為程式碼的棧指標,“物件”(和C++的物件概念相似,一小段記憶體用來記錄enforcer,坦克,子彈的位置還有其他物件的引數),區域性變數和全域性變數。如果一個物件被錯誤地被繪製裡螢幕的右邊太遠,這樣就有可能汙染這8K的程式記憶體。

在後來的4個月裡,我研究到了管理enforcers的程式碼。我很好奇,沒有正弦餘弦對數值數的程式碼是怎麼樣讓子彈是怎麼做螺旋運動的。我也想明白,當一個enforcer在螢幕左邊慢慢接近玩家的時候,被驚嚇的小狗飛到螢幕的右邊,然後慢下來,劃了一條優美的曲線回到玩家身邊。後來這個被證明是個錯誤,程式碼裡頭留下了一個8個位元組的二進位制溢位。螢幕320畫素寬,但是8位暫存器只能儲存從左邊開始的256個畫素,所以Enforcer可能會認為玩家在螢幕的右邊其實玩家就在旁邊很近的位置上,於是enforcer會計算新的速度去追蹤它想象中的玩家。然後,再這個瘋狂賽跑的中間,enforcer會感知到玩家的正確位置在左邊,所以他會減慢速度,修改自己的方向,劃出優雅的曲線。

通過對這個bug的研究,我也弄清楚了這個多執行緒多工高效能軟體的另一個特性:每個enforcer都有自己私有的資料塊,這個私有的資料塊讓每個enforcer保持獨立。Enforcer的資料結構裡有一個8位的變數,來記錄enforcer應該保持當前的狀態多久(多少個重新整理迴圈),然後在改變主意前做點其它的事情。當enforcer錯誤地朝右邊飛行的時候,它會追蹤這個實際上不在那裡的玩家一段時間,當上面提到的那個變數減少到零,enforcer就會重新評估玩家在哪裡,然後採取新的動作。走過一條螺旋曲線到達玩家的位置。

六個月的研究讓我看到了程式碼的每個細節,我建立了一個函式呼叫的列表(誰呼叫了誰,呼叫了多少次的一個交叉參考),相似地,我也列出了所有的全域性變數,這些全域性變數可以被DP暫存器用8位指標的方式訪問。我記錄下了所有可以讀寫這些變數的程式碼位置。我可以看到有些變數指揮被射擊單位(坦克,enforcer)使用。有些僅僅被分配記憶體的神祕程式碼和其他的操作(作業系統,實時多工使用者)使用

我也找到所有的加密文字和所有的程式碼保護措施,這些祕密指令防止別人盜版Robotron這個遊戲。Joust這個遊戲裡,如果有人把Williams修改成另外一個名字,這遊戲就不能工作。但是如果我想修復那個隨機重置的bug,我就必須禁用這些保護措施。

我知道“fancy模式”是防止隨即重置bug的一個辦法,如果關閉,射擊的時候就不會繪製爆炸,越來越清楚地表明這爆炸的繪製引起了隨機重置的問題。

1986年秋天,我決定寫信給Eugene P. Jarvis 和Larry E. DeMar,告訴他們我已詳細研究了Robotron:2084,而且我可能修改了那個bug。我從一個遊戲機雜誌上面知道了他們的名字。當我解密一部分程式碼裡頭的加密文字的時候,我又看到這兩個名字,所以我確信他們就是這個遊戲的設計者。

當我等待回信的時候,我得了肺炎。我意識到我有可能不能戰勝疾病(我以前沒有吃過抗生素,不知道醫生能幫什麼,我訪問了所有的以前有聯絡方式的醫生,他們不在乎而且什麼忙都幫不了)。我感到了總結我一生中最重要工作的緊迫性,如果我不在了,這些工作都會浪費掉,我身邊沒有人知道我做的工作。

我用了我所有的精力來修改程式碼,而且寫了一封詳細的信給Eugene 和Larry。我記錄了所有我發現的錯誤,解釋了錯誤行為和原因,還有解決辦法。我記錄了6個位元組來執行我的測試,只有Eugene 和 Larry會知道什麼意思。我不想讓他們以為我是某些非法贊助人僱傭的黑客來攻破這些保護。我謹慎地說明我絕對理解程式碼的每一部分,當我修復隨機重置bug的時候,沒有愚蠢地觸發保護措施。6頁信裡有關於bug的濃縮後的精確技術描述。

在信的結尾我寫到:我所有這些研究都是因為我熱愛硬體(6809基於圖形顯示),軟體(難以置信高效的多工程式碼)和它的設計者。這48K程式碼就像一部小說或者一個很精彩的故事,為向作者的天資致敬,所以我寫了信的最後一部分。事實上,這些工作是有自己生命的,無數人付出汗水和精力推動手柄來挑戰機器。也許比一部優秀小說的一些角色更加讓人動情。

如果使用一個555電子振盪器來產生IRQ中斷(把6809上面的300赫茲的IRQ解除安裝,然後接上555振盪器),然後調整振盪器頻率到足夠高,這樣CPU會被佔用而只剩下很少的時間也就是幾千赫茲週期來執行程式碼, 這樣我就可以讓player用很多分鐘初始化爆炸,而且遊戲的速度非常低。我用了幾小時來玩這個慢遊戲,享受著更加容易毫無壓力的遊戲。即使粗魯地違反計時,程式碼居然沒有任何問題,這讓我挺驚訝。我知道我只要把Player挪動到左上角,遊戲就會崩潰。我發現如果我關掉fancy模式,不用初始化爆炸,機器就不會有任何崩潰的情況。簡而言之,這個bug跟繪製爆炸相關的線索又多了一條。優秀的選手,比如雙胞胎兄弟Ian 和Yvan Girouard發誓他們發現每次機器崩潰的時候都有一個enforcer在左上角。這些聰明的玩家學會了避免斜對角線設計,這樣他們用一個遊戲幣就可以玩好幾個小時。

幾個星期後,一個星期六早上電話響了,有人說英語。我(加拿大人估計說法語的)告訴我的同伴Michel-Guy起來跟那個人說話,來電話的是Robotron設計者,Michel告訴我說他們想見我,他們會給我提供費用包括火車旅館等等。

去芝加哥的那天,我列印了繪製對角線爆炸的程式,然後開始耐心地給每個分支劃箭頭來表明程式碼流程。當差不多到芝加哥的時候,我又一次發現6809執行了從指標列表裡頭跳轉的指令。當物件離牆太近的時候,這段程式碼允許CPU跳過繪製太多的線,因為這個時候已經無法完全顯示爆炸的形狀了。所以,如果enforcer靠近牆的時候,只需要繪製比較少的線條。一種極端情況,如果enforcer靠牆太近,甚至容不下一條線會怎麼樣?重新看了一下跳轉表,如果沒有線條可以繪製,BEQ(結果為零跳轉指令)就會避開跳轉表,然後CPU會跳轉到6809的OP-Code決定的地址,導致處理器失敗,監視器發現了這個“死亡程式碼”之後硬體重置了CPU。

我異常高興,我終於可以告訴Eugene 和Larry導致機器崩潰的真正bug。

當我們討論那個bug的時候,他們兩個就像被嚇倒的小動物,小心地走過來,然後拋開,然後又猶豫著回來。我問他們:是不是一個溢位?是一個用320水平畫素來計算但實際上只有256畫素。你們實際上早就發現了這個問題卻由他去,作為enforcers的一個複雜行為。

Larry笑了並且確認了我的直覺。然後Larry停下來跟我說:“最近5年,我從來沒有跟任何人討論過Robotron的設計。我的朋友們不能理解這樣的技術問題。但是今天,一個不會說我們語言的陌生人,我們一起討論就像我們曾經在一起工作一樣,就像你也是Robotron最初的設計者一樣。”

後來我問他們怎麼評價我對Robotron的理解,Larry說很好,不過當然沒有超過他和Eugene。Eugene說我對程式碼的每一部分都清晰地理解,從啟動測試到作業系統的其他部分,還有遊戲本身。他覺得從系統整體上我的理解超過了他和Larry。

那天晚些時候,Larry需要離開我們。他推薦我做Joust的設計者,Eugene有些懊惱,因為比起Robotron我更喜歡Joust。我告訴設計者我找不到任何問題。我不喜歡IRQ程式裡頭的測試,這個測試可能會引起自動重置,但是我明白了除非硬體問題這些程式碼永遠不會觸發的。Mister Newcommer解釋給我說他發現了一個鳥和平臺的衝突。他用RAM裡頭地一個陣列發現了一個有些粗略但是有效的衝突,這個陣列的修改用來反映平臺的增加或者移動。

Larry堅持回來並且開車送我到機場。當他過分地朝一個公交車司機按喇叭打算從他那裡切過去的時候,我感覺這一切就是我一生的課堂。

相關文章