破解黑盒：反汇编 Intel 80386 微代码

数十年来，Intel 80386 是现代计算的基石，引入了驱动向保护模式和内存分页过渡的 32 位架构。然而，虽然它的外部行为有详尽的文档记录，其内部微代码——告诉硬件如何执行复杂 x86 指令的低层指令——仍然是一个完整的黑盒。

最近，一项由研究人员和爱好者共同参与的合作成功地反汇编了 80386 微代码。这一成就不仅是历史上的好奇心；它是一堂逆向工程的精品课程，结合了图像处理、神经网络以及细致的人工分析，揭示了这款传奇处理器的内部工作原理。

从硅片到二进制：提取过程

与拥有专利提供反汇编路线图的 8086 不同，80386 并未提供此类线索。该过程始于 Ken Shirriff 提供的 80386 芯片的高分辨率图像。然而，将 ROM 的视觉表示转换为二进制块是一项艰巨任务。80386 的微代码 ROM 大约有 94,720 位——几乎是 8086 的九倍。

为克服这一难题，团队采用了以下组合：

一旦二进制块被获取，真正的挑战便开始了：将位序列转换为可理解的微操作（\u03bc-ops）。

对二进制进行反汇编需要识别模式并推断 \u03bc-ops 的结构。研究人员必须确定 \u03bc-ops 的轴向、读取顺序以及位是如何划分为功能字段的。

若干关键洞见指引了该过程：

ALU 周期分析： 知道 80386 能在两个周期内执行 ALU 操作，暗示了用于第二个 ALU 输入的特定字段，使得操作数可在第一个周期加载，结果在第二个周期存储。
寄存器映射： 基于之前对 8086 的工作，团队假设某些字段对应源寄存器和目标寄存器。
指令结束标记： 团队识别出重复出现的模式，标示特定指令例程的结束。
硬件追踪： Ken Shirriff 通过追踪芯片上的物理逻辑线，帮助确认组件之间的互连方式。

最引人注目的发现之一是 8086 与 80386 在实现上的差异。8086 依赖大量微代码来实现算法，而 80386 由于对许多这些过程进行“硬件加速”，因此显著更快。

在 80386 中，微代码通常充当控制器，设置专用硬件加速器——例如桶形移位器、乘除硬件以及保护测试单元——而不是像软件那样以微步骤直接实现算法。

指令数量： 微代码包含 215 个来自解码 ROM 的入口点，远高于 8086 的 60 个。这一增长源于新指令以及基于操作数类型（寄存器 vs. 内存）和 CPU 模式（实模式 vs. 保护模式）所需的不同例程。
通用微代码： 令人惊讶的是，80386 的每一条指令都由微代码处理。与现代 CPU 常常为简单指令提供绕过微代码的“快速路径”不同，80386 始终执行一个 \u03bc-op。
潜在安全缺陷： 反汇编揭示了 IO 权限位图处理中的潜在错误。在 4 字节端口访问时，微代码可能仅检查前三个地址的权限位。如果访问发生在允许的 IO 端口空间边缘，最后一个字节可能错误地成功，从而可能授予对硬件寄存器的未授权访问。

从 8086 向 80386 的过渡标志着复杂性的飞跃。正如一位社区观察者所言，8086 给人的感觉是“一次可亲近的个人冒险”，而 80386 则像“一台工业机器”，反映出虚拟 86 模式、浮点单元和内存分页带来的复杂性爆炸。

该项目强调了低层架构知识的重要性。对于想进一步探索这些发现的人，反汇编及其支持文件（包括 fields.txt 和 microcode_10.txt）可在 x86 microcode repository on GitHub 获取。

“要解码此黑盒所需的分析极其困难，但同样也极其有趣且令人满意。”

通过剥开 80386 的层层面纱，研究人员不仅保存了一段计算历史，还提供了一个具体示例，展示了硬件和软件最基础层面的交叉方式。