Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 32

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

Yoti · 09.07.2010, 16:28

Триллер про пакеты-убийцы уже был? В теме есть и такое.

kolio · 11.07.2010, 19:36

Сообщение от Yoti

Триллер про пакеты-убийцы уже был? В теме есть и такое.

прочитал всё. конечно на 15 странице уже грустно было читать. долбанный алгоритм мать его

увы все ссылки на сайт slil.ru ведут к "Файл не найден". если можно выложите в шапку файлы схемы k-лайна. Борис вылаживал её, но повторюсь файлов на сервере уже нет.

поискал по инету: никто больше не занимался анализом протокола общения между батарейкой. (китайцы не в счет)

вижу несколько вариантов развития:
1. действительно программно можно сделать батарейку, которая выдаст magic ключ для перехода в сервисный режим
ИТОГО: проекту пока, что до этого очень далеко, чтобы знать что отвечать приставке (шифрование пакетов 80--)
2. действительно существует батарейка на СЦ Сони, но специальная. и знает, что и как ответить приставке по "особому", чтобы она перешла в сервисный режим (для 3000)
ИТОГО: помоему тупик для проекта
3. аппаратный взлом syscon ну или хотя бы контроллера батареи. незнаю является ли syscon обычной программируемой микрухой, но допустим да.
мы когда пытались вытянуть прошивку с микрухи от Укртелекомовского таксофона - паяли схему которая генерила на землю микрухи высокочастотные импульсы. таким образом микруха сходила сума. и естественно была вся надежда на, то что бит защиты не сработает. но на том я и закончил. незнаю спаял ли напарник схему или нет. но я тогда переехал в киев и всё забросил.
ИТОГО: выход, но реально ли - может смогут ответить на это Борис или lport3 по этому поводу - они сильны в железе

если от меня нужна помощь - говорите. буду делать. у меня работающая 3006я с 6.20 прошивкой. батарейка родная

Yoti · 12.07.2010, 06:28

Архив с инструкцией весит метров 30, вроде, и в шапке его не будет. Вообще, там были дубли, насколько помню (в документе и просто картинки).

kolio · 12.07.2010, 09:51

Yoti, дело в том, что всех файлов на slil нет ни одного файла

Yoti · 12.07.2010, 11:01

Собери со всей темы, что нужно и запости сюда - перевыложим.
З.Ы. Я тебе в аську ответил, но в ответ пришел лишь антиспам.

kolio · 12.07.2010, 11:16

Yoti,https://www.pspx.ru/forum/showpost.ph...&postcount=452
вот пост Бори со схемой. но файл на сервере удален уже
если можно закиньте плиз её на депозит или летитбит. там не удалят

мне нужна только схема. проги уже скачал с ветки
если требуется доработать вашу программу по общению с psp/battery - присылайте исходник - допишу, что угодно

вопрос по PSP железяке: ребят, а где хранится время? в приставке или батарейке? увы приставка у жены сейчас (на работе фильмы смотрит

). просто мысль проскочила на счет того, что если время на аккуме, то он его передает приставке. Если на приставке, то оно забывается при вытягивании батарейки и мой вопрос автоматом снимется

chel12 · 12.07.2010, 11:52

kolio, Время хранится внутри psp. В одном из чипов.

ErikPshat · 12.07.2010, 16:08

Сообщение от kolio

вот пост Бори со схемой. но файл на сервере удален уже
если можно закиньте плиз её на депозит или летитбит. там не удалят

На депозите ограничение в 40 мб/с. Лелитбит - помойка для выкачивания денег для pspinfo и т.п.

А вот Народ предложу: K-line (30.43 МБ)

kolio · 12.07.2010, 19:33

ErikPshat, Спасибо. файлы получил. буду искать дата-кабель и паять устройство

Yoti, вот держи пример как быстро прочитать файл в память, и потом быстро пробежаться по буферу с содерижмым этого файла.
вывод на экран сделал чисто для показухи работоспособности функции
функция принимает на грудь имя файла и имя переменной в которую будет происходить запись данных. результатом функции является длина переменной(оно же размер файла)
программлю на Delphi 2010. если у тебя не откроется проект - ищи исходник в файле Unit1.pas

Yoti · 12.07.2010, 21:20

kolio,
ауч, нафих эти депозиты. На слил всё кидай, на слил. Я на семёрке, пас-файлы открывать умею (чай не просто так текстовые редакторы с подсветкой синтаксиса есть). При необходимости могу и экзешник пробить, анпачить, ресхакером разобрать аль декомпилить.
З.Ы. На правах оффтопа.

kolio · 12.07.2010, 22:35

Yoti, оке оке. след разы буду скидывать на слил.ру
хотя не понимаю зачем, там удаляют быстро. вам виднее

ErikPshat · 13.07.2010, 00:17

kolio, в данной теме нам не нужны долгие хранения, т.к. общение идёт в реальном времени, почти. Нам это наоборот выгодно, чтобы побыстрее файлы удалились, чтобы не следить за ними и не оставлять следов =)
www.slil.ru и www.zalil.ru в этом плане в самый раз.

Weekend · 17.07.2010, 04:06

Даташит скачайте на контроллер батарейки и если в ней есть нога на которую подается питание и контроллер переходит в режим прошивания то можно слить прошивку. если даташита нет то только осциллографом. у меня его нет.

**Ins|der** · 19.07.2010, 13:01

Сообщение от chel12

kolio, Время хранится внутри psp. В одном из чипов.

значит ли это, что на матплате установлен автономный источник питания (по аналогии с таблеткой в компе)?

p.s. извините за оффтоп, для общего развития

emalex · 19.07.2010, 18:26

Действительно. Так и есть. Небольшая батарейка на мат плате.

sasiska12 · 19.07.2010, 23:17

Ins|der,
ну если вытащить батарейку то, время не сбивается, делаем вывод

Aunoor · 20.07.2010, 10:40

Кто нибудь дамп с чипа батарейки снял?

kapellan2000 · 20.07.2010, 16:41

Сообщение от emalex

Действительно. Так и есть. Небольшая батарейка на мат плате.

там ионистор, можно разрядить без выпаивания

Boryan · 20.07.2010, 20:47

Сообщение от sasiska12

Ins|der,
ну если вытащить батарейку то, время не сбивается, делаем вывод

Ты приятель ****ал чес слово своими мега выводами

Молчи лучше, и читай..читай..читай...Я понимаю твоё желание помочь нам ....но пустая болтовня тут не нужна.

Лично для тебя и толковых ребят вновь прибывших в наши круги. За временем в зызы следит тот же самый зловредный syscon

Он питается от маленькой батарейки которая стоит в зызе. И если эту маленькую батарейку сдёрнуть, то время слетит тоже. Но зыза будет работать нормально.

Aunoor · 21.07.2010, 10:50

Ребят, ну так что, никто не пытался до контроллера батарее железно достучаться? Судя по даташиту, чип должен поддерживать отладку, но наврят ли можно найти нужный отладочный девайс...

Но его можно ведь эмулировать... Видимо так китайцы прошивку чипа и сдампили.

Кстати, контроллер батарейки может сам себя перепрошивать, так что команды-убийцы не такой уж большой бред.