最近逛闲鱼发现这个WD AN1500非常便宜，本身这个卡是捆绑两个WD NVMe固态硬盘卖的，卖家把SSD拆了之后，外壳+板子只要80块钱

插电，开机，RGB拉满

它有PCIe 3.0 x8的端口，下面通过两个PCIe 3.0 x4接两个M.2 NVMe 2280固态硬盘

这个卡不是PCIe Switch, 是NVMe HBA/Raid控制器

1. 通电瞅瞅

PCIe信息如图，其中pid vid是Marvell 88NR2241控制器，sub pid vid是WD的，vid=1b96，pid=4000。Option ROM禁用了

因为它并不是PCIe Switch，所以呈现给系统的只是一个NVMe设备。通过id-ctrl可以看到控制器信息

因为没有装硬盘所以没显示容量

2. 看看怎么玩

这个卡原本是捆绑两个WD的NVMe盘开raid0用的。固件写死了raid0

但是这个主控方案能做的远远不止raid0 。超微 惠普 联想 还有一些国产厂商用这个芯片设计了2盘甚至4盘的NVMe raid控制器，有的用于服务器系统盘raid1高可用，有的用于JBOD大容量扩展，有的用于raid0高性能。而且部分卡还有BIOS配置界面，可以方便的创建阵列。例如

ThinkSystem M.2 RAID B540i-2i SATA/NVMe Adapter https://lenovopress.lenovo.com/lp0769-thinksystem-m2-adapters

Supermicro NVMe M.2 RAID Carrier Riser Card AOC-SMG3-2M2-B https://www.supermicro.com/products/accessories/addon/AOC-SMG3-2M2-B.php

HPE NS204i‑p x2 Lanes NVMe PCIe3 x8 OS Boot Device https://buy.hpe.com/us/en/options/boot-devices/os-boot-devices/boot-cards-devices-drives/hpe-ns204i‑p-x2-lanes-nvme-pcie3-x8-os-boot-device/p/p12965-b21

这样看来，80快钱的AN1500虽然有RGB加成，但是缺少

1. Option ROM/BIOS菜单
2. raid1
3. JBOD

3. 搞定固件刷写

拆了看看，显然这个卡有一个SPI Flash用来存储固件，量了一下是1.8V的，而且编程器夹子读起来怪怪的，可能是直接把主控部分逻辑带起来了，影响固件读写。所以想要折腾，首先要搞定固件方便的刷写

因为夹子不能用，我既懒得用风枪拆，又懒得焊flash emulator座子，所以研究一下怎么从PCIe设备上刷固件。作为一个正常的设备，支持从PCIe固件更新应该是个非常常见的功能

3.1 搞到刷写工具

上面几家厂商的扩展卡不仅开放了固件下载，还附送了固件刷新工具/命令行管理工具，例如联想的在这里

https://support.lenovo.com/us/en/downloads/ds547074-mnvcli-command-line-tool-for-linux

H3C的在这里

https://www.h3c.com/cn/BizPortal/DownLoadAccessory/AccessoryDetail.aspx?ID=aa0abafe-8f95-4fc4-a57c-365fc7ccab05

解包瞅瞅，可以拿到两个工具

1. mvf_64：这个东西用来直接操作SPI控制器，读写flash。看起来是给研发用的，即使固件坏了也能直接通过操作MMIO控制SPI读写固件

2. mnv_cli：这个东西用来配置raid信息，看起来是给用户用的，能刷固件，但是没找到在哪读

3.2 回读固件

那么首先，用mvf_64备份固件。从flash丝印可以看到这个卡是16M的flash,所以

./mvf_64 mvf -rfb an1500_backup_20241107.bin -addr 0x00000000 -sz 0x1000000

成功回读

4. 分析固件结构

其实这个卡还有个串口，不过接了看了一眼没啥东西，也没有cli，跳过

这种东西的固件大概率是个bootloader+rtos的结构

和上面几家不同厂商的卡的固件对比了下，发现

1. 有多级bootloader,多个region

这个卡在0x1_0000 0x2_0000这种地方有很规律，很明显的头部结构特征

2. AN1500在0x60_0000缺少UEFI Option ROM

前面的那个legacy ROM也没有配置菜单，只管让BIOS能把卡当作启动设备

3. 没找到哪里控制了raid0/1的支持情况

大概率不是硬件熔丝，因为Marvell通常不是License收钱大师

5. 如果直接把别的卡刷进去呢

直接说结论，刷进去之后PCIe Option ROM能出来，BIOS能出菜单，也能配置raid0 raid1 jbod

但是

不 认 盘

不认盘通常有这几种可能

1. serdes配置不对。比如不同卡因为硬件设计差异，部分pcie ep或者rc支持复用
2. GPIO小信号不对。比如PERST或者时钟开启这种信号，也是因为硬件设计差异

6. 先把Option ROM改出来

合理猜测，原厂AN1500固件里面写了针对AN1500的外设分配/初始化代码，所以必须基于原厂固件修改

通过之前的分析，发现option rom在固件的0x60_0000位置

所以找个别家的卡，把option rom搬过去即可

7. 把固件刷回去

7.1 直接刷一下

卧槽，俩工具都不给刷。这个时候应该吹flash下来刷了，但是我还是懒。所以逆一下咋回事

看起来就是4字节小端加一遍，看看是不是0。这校验也不是CRC32 ，就是个土制checksum

另外注意到其他卡（戴尔，惠普等）固件都是7MB，而且正好在7MB末尾有个4字节的东西

合理猜测，这个卡是AB分区，前8M和后8M各一个固件

1. mnv_cli：给卡上固件发指令，把固件传输到卡上，卡固件验证CRC并操作SPI刷入
2. mvf：程序内验证crc ，然后直接通过mmio操作卡的spi控制器，刷固件

7.2 制作一下固件

这样来看，只需要把AN1500固件前7MB切出来，并在最后面塞个CRC就行了，写个脚本

from struct import unpack, pack
import sys

filename = sys.argv[1]

with open(filename, "rb") as f:
    d = f.read()

crc = 0
for i in range(0, len(d)-4, 4):
    dd = d[i:i+4]
    crc += unpack("<I", dd)[0]

print(pack("<I", (0x100000000-crc&0xffffffff)).hex())

发现改完以后mnv_cli就能刷了

刷到最后100%会卡比较久，别急

重启瞅瞅

成功免拆+把option rom干出来了

8. 解锁其他raid模式

ida启动，逆固件，然而看了半天没找到哪里判断的

还是猜一下，看到一个有意思的命令dump hba

结果是

看命令帮助，这个"hba info data structure"很有可能存了raid支持信息。既然都读出来了，直接去原始固件里面搜，开头这几个4e 45 56 4f

发现在0x20000 ，合理猜测这里就是hba info data。故技重施，找个别的功能全的卡把这个区域搬回来，然后重新算一下checksum

刷完重启，发现raid开全了，raid0 raid1 jbod都支持

这样就能开raid1扔服务器里当系统盘了

9. Tips and Release

1. mvf_64工具需要改内核cmdline,加一行iommu=relaxed 。原因是这个工具直接open /dev/mem访问的设备mmio
2. 没研究明白怎么改serdes分配，例如改成4个x2端口，解锁四盘和raid10

修改好的固件，以及工具放在

https://github.com/naivekun/wd_an1500_mod

使用方法参考仓库里的README.md