Linux内核从QEMU启动到start_kernel-番外篇-1.md

[toc]

文档摘要： 本文为 x86_64 架构下 Linux 内核启动流程分析的番外篇，旨在从底层硬件规范、计算机发展历史历史遗留与**内核引导协议（Linux Boot Protocol）**三大维度，深度剖析系统从 CPU 上电复位（Reset Vector）、固件初始化、QEMU 直引（Direct Boot）到内核 _start（0x90200）入口点的全过程，并提供可操作的 GDB 动态验证手段。

一、 规范界限：Intel 芯片手册 vs. 系统固件与 Boot Protocol

在分析 x86_64 内核启动时，首先需要厘清不同层次规范的权责边界：

+-----------------------------------------------------------------------+
|  Intel 芯片手册 (硬件规范)                                              |
|  - 仅定义 CPU 上电/复位第一条指令物理地址：Reset Vector (0xFFFFFFF0)       |
+-----------------------------------------------------------------------+
                                   | (硬件逻辑接力)
                                   v
+-----------------------------------------------------------------------+
|  固件与 Bootloader 规范 (BIOS / UEFI / BBS / Multiboot)                |
|  - 定义 BIOS 加载 MBR 物理地址：0x7C00                                  |
|  - 定义 UEFI 动态加载 PE/COFF 文件与 Entry Point                        |
+-----------------------------------------------------------------------+
                                   | (固件逻辑接力)
                                   v
+-----------------------------------------------------------------------+
|  Linux x86 引导协议 (Linux Boot Protocol)                             |
|  - 定义 Bootloader 切分加载 bzImage 的内存布局                          |
|  - 定义 16位 实模式入口点：0x90200 (基址 0x90000 + 偏移 0x0200)          |
|  - 定义 32位 保护模式入口点：0x100000 (1MB 物理内存处)                  |
+-----------------------------------------------------------------------+

1.1 Intel 芯片手册真正定义的是什么？（Reset Vector）

Intel 芯片手册（《Intel 64 and IA-32 Architectures Software Developer's Manual》, Vol 3A, §9.1.4）并未定义任何 BIOS 跳转到 OS 内核的代码地址。硬件手册唯一强制规定的是：CPU 上电或复位（Reset）后执行的第一条指令的物理地址，即 Reset Vector，固定为 0xFFFFFFF0（即 4GB 物理地址空间顶端往下 16 字节处）。

【硬件机制：段描述符高速缓存（Shadow Register）与 Far Jump】

在 CPU 上电的瞬间，CPU 处于 16 位实模式。按照实模式的标准寻址公式，。若 ，计算出的物理地址仅为 （1MB 顶端），而非 （4GB 顶端）。

Intel 通过段描述符高速缓存（隐藏段基址 / Shadow Register）解决了这一矛盾：

1. 1. CS 可见选择子（Selector）：被硬件重置为 0xF000。
2. 2. EIP 寄存器：被硬件重置为 0x0000FFF0。
3. 3. CS 隐藏基址（Shadow Base）：被硬件强制拉高并硬编码为 0xFFFF0000。

因此，硬件实际计算的物理地址为：

Intel 规范手册原文（Vol 3A §9.1.4）：
"The CS register has two parts: a visible segment selector part and a hidden base address part... Upon reset, the visible part of the CS register is initialized to F000H and the hidden base address is initialized to FFFF0000H. The IP is initialized to FFF0H. ... This results in the physical address FFFFFFF0H."

在物理地址 0xFFFFFFF0 处，主板 ROM 固化了一条 5 字节的段间远跳转指令（Far Jump）：

jmp far 0xF000:0xE05B    # 机器码: EA 5B E0 00 F0 (目标偏移依 BIOS 厂商而异)

跳转与回落过程：

1. 1. 更新 EIP：写入偏移量 0xE05B。
2. 2. 更新 CS 选择子：写入 0xF000。
3. 3. 刷新隐藏段基址：CPU 重新加载 CS 选择子时，MMU 按照实模式标准规则重新计算并覆写隐藏段基址：

物理寻址切换为：，CPU 成功“掉回”传统的 1MB 内存天花板区域（0xF0000 ~ 0xFFFFF）。

为什么必须掉回 1MB 区域？

• • 历史兼容：IBM PC 规范将 0xF0000 ~ 0xFFFFF（64KB）定为系统 BIOS 区域，0xFFFF0 对应 8086 时代的标准 Reset 入口。
• • 硬件双重映射：主板芯片组将物理 BIOS ROM 同时映射到了高位（0xFFFE0000 ~ 0xFFFFFFFF）和低位（0xF0000 ~ 0xFFFFF）。
• • 实模式初始化：BIOS 需要在低端内存建立中断向量表（IVT，0x0000）与 BIOS 数据区（BDA，0x0400），必须使用标准的 16 位段寻址能力。

1.2 验证步骤

## qemu启动内核模拟从磁盘启动。-d in_asm（日志直接打印汇编）
qemu-system-x86_64 \
-drive file=disk.img,format=raw,index=0,media=disk \
-nographic \
-s -S \
-d in_asm

## gdb调试远程debug并查看寄存器的值
# CS Shadow Base（隐藏基址） = 0xFFFF0000 第二列表示隐藏基地址
# EIP=0x0000fff0
# 物理地址：CS Shadow Base + EIP = 0xFFFFFFF0。 证明开机后的cpu执行的第一条指令的物理地址
zjy@DESKTOP-NHUJSDK:~/kernel-lab/linux/linux-2.6.39$ gdb-multiarch vmlinux
(gdb) target remote localhost:1234
Remote debugging using localhost:1234
(gdb) monitor info registers
CPU#0
EIP=0000fff0
CS =f000 ffff0000 0000ffff 00009b00



# 执行以下命名可以查看反汇编指令。ljmp 代表 Long Jump（远跳转） CS 选择子 被更新为 0xF000  IP / EIP 被更新为 0xE05B
# CPU 正式离开 4GB 物理地址顶端，回落到了常规 1MB 内存区域内（0xFE05B）继续执行 BIOS 的后续初始化流程。
(gdb) monitor xp /5bx 0xFFFFFFF0
00000000fffffff0: 0xea 0x5b 0xe0 0x00 0xf0
zjy@DESKTOP-NHUJSDK:/mnt/c/Users/Administrator$ echo "ea 5b e0 00 f0" | xxd -r -p > /tmp/code.bin && objdump -m i8086 -b binary -D /tmp/code.bin
/tmp/code.bin:     file format binary
Disassembly of section .data:
00000000 <.data>:
   0:   ea 5b e0 00 f0          ljmp   $0xf000,$0xe05b

1.2 历史工程抉择：为什么 MBR 偏偏加载到 0x7C00？

MBR（Master Boot Record，主引导记录） 是传统 BIOS 启动方式下，硬盘的第一个扇区（第 0 扇区）中的特殊数据结构。

1981 年 IBM 发布第一代 IBM PC (5150) 时，由 David Bradley 主导的设计团队在面对标配仅 32 KB（0x0000 ~ 0x7FFF）物理内存的极其严苛条件下，做出了精密的算术倒推：

0x0000 +--------------------------------------------------+
       | 中断向量表 (IVT) & BIOS 数据区 (BDA)              |
0x0500 +--------------------------------------------------+
       | 可供 OS 使用的大片连续低端内存                    |
       | (从 0x0500 延伸至 0x7BFF，约 29.75 KB)            |
0x7C00 +--------------------------------------------------+ <-- MBR 最佳加载点
       | MBR 扇区代码 (512 字节，物理磁盘 1 扇区最小单位)     |
0x7E00 +--------------------------------------------------+
       | MBR 运行时的栈空间 (512 字节，向下增长)           |
0x7FFF +--------------------------------------------------+ <-- 32 KB 物理内存顶端

1. 1. 磁盘物理特性：早期软盘/硬盘的物理最小读写单位是 512 字节（CHS 寻址 0 柱面、0 磁头、1 扇区）。因此 MBR 大小必须为 512 字节（0x0200）。
2. 2. 顶端算术倒推：

• • 32 KB 内存的最大物理地址为 0x7FFF。
• • 留出 MBR 扇区代码空间（512 字节）：0x8000 - 0x0200 = 0x7E00。
• • x86 栈向下增长。为防止 MBR 运行时压栈（PUSH）覆盖自身代码，预留 512 字节栈空间：0x7E00 - 0x0200 = 0x7C00。

结论：0x7C00 是在 32 KB 物理内存限制下，**既能把 MBR 塞入内存最顶端、不发生溢出，又能为后续操作系统留出最大连续低端内存（0x0500 ~ 0x7BFF）**的算术解，后续写入 IBM PC 规范并沿用至今。

二、 QEMU 启动模式与 Direct Kernel Boot 机制

在 QEMU 模拟环境中执行 Linux 内核时，存在三种不同的启动模式：

2.1  Legacy BIOS Boot 模式的核心完整流程

[阶段 1] CPU Reset Vector (0xFFFFFFF0)
    │
    ▼
[阶段 2] SeaBIOS 主体初始化 (0xFE05B)
    │
    ▼
[阶段 3] MBR 读取与加载 (磁盘0号扇区 -> 内存 0x7C00)
    │
    ▼
[阶段 4] GRUB2 接管 (Stage 1 -> Stage 2，解析文件系统并装载 bzImage/initrd)
    │
    ▼
[阶段 5] 16位实模式内核入口 (header.S -> 32位保护模式 startup_32)
    │
    ▼
[阶段 6] 64位长模式内核入口 (startup_64 -> C语言总入口 start_kernel)

2.2 验证步骤

# 书接上文CPU 执行跳转后落回 1MB 内存顶端的 BIOS 初始化代码区
# BIOS 入口。到这里后要delete 否则会原地打转
(gdb) hb *0xfe05b
Hardware assisted breakpoint 1 at 0xfe05b
(gdb) continue
Continuing.
Program received signal SIGTRAP, Trace/breakpoint trap.
0x000000000000e05b in global_cwq ()
(gdb) delete
Delete all breakpoints, watchpoints, tracepoints, and catchpoints? (y or n) y

# MBR 引导入口
(gdb) hb *0x7c00
Hardware assisted breakpoint 2 at 0x7c00
(gdb) continue
Continuing.
Breakpoint 3, 0x0000000000007c00 in exception_stacks ()
# 0x55 0xaa 是 IBM PC 兼容机规范中硬性约定的 “MBR 有效引导魔数（Boot Signature / End-of-Sector Marker）”。
(gdb) monitor xp /2bx 0x7dfe
0000000000007dfe: 0x55 0xaa
(gdb) delete
Delete all breakpoints, watchpoints, tracepoints, and catchpoints? (y or n) y

三、 拆解 0x90200：Linux 引导入口点的终极算术来源

物理地址 0x90200 是 Linux 内核 16 位实模式初始化代码（arch/x86/boot/header.S 中的 _start）的真实起点。

物理内存空间布局 (1MB 限制内)：

0x00000 +--------------------------------------+
        | IVT / BDA (中断向量表 / BIOS数据区)   |
        +--------------------------------------+
        | 腾出的大片连续低端内存                 |
        | (用来加载真正的内核压缩镜像 vmlinux)    |
0x90000 +--------------------------------------+ <-- SETUPSEG (基地址 0x90000)
        | Kernel Boot Sector (512 字节 / 0x200) |
0x90200 +--------------------------------------+ <-- _start 入口点 (0x90200)
        | Setup Code (16位 Real-mode Setup)    |
        | Stack / Heap                         |
0x9FFFF +--------------------------------------+ <-- 640 KB 常规内存天花板 (0xA0000)
0xA0000 | 显存 / 硬件 I/O 映射区 / BIOS 固件    |

3.1 为什么基地址是 0x90000？（Linus Torvalds 的 1991 搬家策略）

在 16 位实模式下，寻址上限为 1MB。其中 0x00000 ~ 0x9FFFF 为 640 KB 常规内存（Conventional Memory），0xA0000 以上为 VGA 显存与 BIOS 固件区。

1991 年 Linus Torvalds 开发 Linux 0.11 时，为了给后续不断膨胀的内核压缩镜像腾出完整连续的低端内存，制定了“搬家策略”：

• • 将引导与 Setup 代码统一搬运到常规内存天花板（0xA0000）正下方的安全区 —— 0x90000（576 KB 处）。
• • 从 0x90000 到 0x9FFFF 拥有 64 KB 空间，足以容纳 16 位 Setup 代码以及运行时所需 Stack 和 Heap，且绝对不会挤压 0xA0000 处的 VGA 显存映射区。

Linux Kernel 文档 Documentation/x86/boot.txt 规范定义：
"The boot sector and setup code are loaded at 0x90000... To execute the kernel, the boot loader must jump to the real-mode code at X + 0x200 (where X = 0x90000)."

3.2 为什么偏移量是 0x0200（512 字节）？（bzImage 文件结构）

编译出的 bzImage 是按照 Linux Boot Protocol 拼接的二进制包。其最前方的 512 字节用于保留历史 Boot Sector 以及 Setup Header 结构体（setup_header）：

/* 源码出处：arch/x86/boot/header.S (Linux 2.6.39) */

    .section ".bstext", "ax"
    # 前 512 字节 (0x0000 ~ 0x01FF) 用于 MBR 伪装头与头信息数据

    .org 497
setup_sects:    .byte 0

    .org 510
boot_flag:      .word 0xAA55    # MBR 魔数标记

    # -------------------------------------------------------------
    # 强制对齐至第 512 字节 (文件偏移 0x0200 处)
    .section ".header", "a"
    .globl _start
_start:
    .byte   0xeb                # 机器码 0xeb (jmp short)
    .byte   start_of_setup-1f
1:
    .ascii  "HdrS"              # Linux Boot Protocol 魔数 (0x53726448)

当 QEMU 或 Bootloader 将 bzImage 文件开头装载至 0x90000 时，文件的 0x0200 偏移处（即第 512 字节）正好对应内存 0x90200，也就是真正的 16 位汇编代码入口 _start。

3.3 验证步骤

# 对内核 16 位 Setup 的入口 0x90200 下硬件断点
(gdb) hb *0x90200
Hardware assisted breakpoint 4 at 0x90200
(gdb) continue
Continuing.
Program received signal SIGTRAP, Trace/breakpoint trap.
0x0000000000000000 in irq_stack_union ()
# 查看 GRUB2 动态分配的 Zero Page 物理地址 验证该地址处的 "HdrS" 魔数
(gdb) monitor xp /1wx 0x90202
0000000000090202: 0x53726448

四、 从 16位 实模式到 32位 保护模式：内核自身的突破 (0x90200 -> 0x100000)

在 0x90200 处接管控制权后，控制权正式移交给 Linux 内核自身的 16 位 Real-Mode 代码（arch/x86/boot/main.c 与 pmjump.S）。内核将自行完成从 16 位实模式到 32 位保护模式的硬件跨越。

[0x90200] 16位实模式入口 (main.c)
    │
    ├── 1. 调用 BIOS INT 0x15 (AX=0xE820) 探测物理内存图 (E820 Table)
    ├── 2. 开启 A20 地址线 (摆脱 1MB 寻址回卷限制)
    ├── 3. 加载临时 GDT (全局描述符表) 
    └── 4. 执行 pmjump.S：将 CR0.PE 位置 1，长跳转至 0x100000
            │
            ▼
[0x100000] 32位保护模式入口 (compressed/head_64.S)

4.1 核心硬件机制：CR0.PE 置 1 与远跳转

位于 arch/x86/boot/pmjump.S 中的汇编逻辑是模式切换的关键点：

代码段

/* 将 CR0 的 Bit 0 (PE - Protected Mode Enable) 位置 1 */
movl    %cr0, %eax
orb     $X86_CR0_PE, %al
movl    %eax, %cr0

/* 切换到保护模式：通过远跳转刷新流水线与 CS 段选择子 */
jmpl    $__BOOT_CS, $0x100000

4.2 验证步骤

在 0x90200 处拦截后，可打断点至 32 位保护模式入口物理地址 0x100000（1MB 处），验证 CR0 寄存器的翻转。

# 核心验证指标：EIP 停在 00100000，CR0 末位变为 1（CR0.PE = 1），证明 CPU 寻址模式已成功升维至 32 位保护模式，且此过程由 Linux 内核汇编代码完全自主驱动。
(gdb) hb *0x100000
Hardware assisted breakpoint 2 at 0x100000
(gdb) continue
Continuing.

Breakpoint 2, 0x0000000000100000 in ?? ()
(gdb) monitor info registers

CPU#0
EIP=00100000 
CR0=00000011

五、 32位 解压器与 64位 长模式（Long Mode）跨越 (0x100000 -> startup_64)

物理地址 0x100000 运行的是 32 位内核解压器（arch/x86/boot/compressed/head_64.S）。由于现代 x86_64 内核镜像（vmlinux）经过了压缩，解压器需先将内核解压至高位内存，随后建立 64 位分页机制并激活长模式。

[0x100000] 32位解压入口
    │
    ├── 1. 执行 extract_kernel() 解压大内核 (vmlinux)
    ├── 2. 建立初始 4 级页表 (PML4)
    ├── 3. 依次开启长模式三大硬件锁：
    │       a. CR4.PAE = 1 (开启物理地址扩展)
    │       b. MSR 0xC0000080 (EFER.LME = 1, 激活 Long Mode Enable)
    │       c. CR0.PG = 1  (开启分页机制 -> 触发硬件 EFER.LMA = 1)
    └── 4. ljmp 跳转至 64 位长模式入口
            │
            ▼
[startup_64] 64位长模式入口

5.1 验证步骤

(gdb) hb startup_64
Hardware assisted breakpoint 2 at 0xffffffff81000000: file arch/x86/kernel/head_64.S, line 69.
(gdb) hb start_kernel
Hardware assisted breakpoint 3 at 0xffffffff818e8779: file init/main.c, line 457.
(gdb) c
Continuing.

Breakpoint 1, 0x0000000000100000 in ?? ()

(gdb) info registers
cr0            0x11                [ ET PE ]
rip            0x100000            0x100000
rsi            0x93e60             605792
efer           0x0                 [ ]

(gdb) c
Continuing.

# 内核c函数start_kernel入口
Breakpoint 3, start_kernel () at init/main.c:457
457     {