Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 58

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

x2-Dx · 30.10.2010, 01:32

Boryan, В программировании не силён, но если чем смогу помочь - смело нагружайте, дамп там снять какой, правда у меня прошивайка, но более-менее под рукой есть 3000.
Спасибо вам за ваше хобби и проделанную работу, читал тему практически от корки до корки, очень захватывающе, 2 ночи не спал)
Спасибо что не лень публиковать здесь отчёты о проделанной работы и выносить обсуждение чтобы могли ознакомиться все желающие!

Boryan · 30.10.2010, 13:51

lport3, Глянь мыло! Ты ошибся заморочившись на верефикацию целого блока 256 байт

Alex706 · 30.10.2010, 15:13

Boryan, я так и не понял, твоя идея с побайтной верификацией работает? или пока еще софтина не готова?

Boryan · 30.10.2010, 15:38

Идея и прога пока в разработке ...пока удалось законнектить чип нормально..но лоханулись с верефекицией не изучив до конца доки

думали что можно верефицировать только поблочно....256байт....а это до второго пришествия не перебрали бы...а оказывается есть верефикация любого количества байт от 0 и до 256

Alex706 · 30.10.2010, 15:42

Boryan, так ведь это в даташите и написано что верификация происходит от 0 до 256байт. А что вы писали про первые 700 байт? с какого они должны затереться? или речь шла не про верификацию?

Boryan · 30.10.2010, 16:13

Alex706, Нет, не про неё. Один чел преложил свои услуги ( он нашёл свою дырку в нэках) за 500$ вытащить прошиву...при его методе теряется около 700 байт в начале. Но могут и не потерятся. В принципе в них нет ни чего ценного для нас ..там настройки чипа и всё. Ещё он сослался на то что верефикацией мы ни чего не вытяним и это он проходил..но нашёл другой способ. Короче для подстарховки я ему отослал 501 чип. Вытащит -зплатим не вопрос. А пока будем сами пытаться достать.

Alex706 · 30.10.2010, 16:29

Boryan, я конечно не программер, и вопрос может быть и глупым, но откуда вы знаете что в этих 700 байт нет важной информации. Ведь никто не снимал дамп прошивки и не знает на 100% что в этих 700 байтах

Boryan · 30.10.2010, 16:42

Alex706, обычно прошива в нэках начинается и 0х800 ..

Boryan добавил 30-10-2010 в 04-42
Alex706, обычно прошива в нэках начинается и 0х800 ..а за нерабочий дамп ему ни кто и не заплатит..есно сначала всё тщательно проверим

hax0r · 30.10.2010, 16:45

Alex706,программером быть не обязательно, нужно только знать принцип работы микроконтроллеров или процессоров.) в начале текста прошивки всегда пишут начальную конфигурацию и инициализацию контроллера, а дальше уже - то что он должен делать после инициализации.

hax0r добавил 30-10-2010 в 04-45
Boryan, опередил)

dron11 · 03.11.2010, 19:22

ребята хочу присоединится к вашим разработкам,и внести не много ценной информации выведонной у народного умельца.Вобшем долго общался с ним и в конце концов он мне сказал что даунгрейд и анбрик псп производится комплектом док-станция+пандор карта из офф сервиса(psp 300x),и специальная батарейки пондоры+таже магическая карточка(psp 2008 ta88v3).про двухтысячную псп больше ничего не спрашивал,речь шла в основном о трешке-он сказал что к док станции псп подключаетсявместо акб и постоянно поддержывается связь с сервером сони,про карточку шла реч что там особые ipl коды которые помогают зыз договорятся с акб пондорой и док станции,дальше он кудато ушел,но сказал что ответит еще на несколько моих вопросов,вы мне эти вопросы задавайте а я их задам ему....

Yoti · 03.11.2010, 20:03

dron11,
всё написанное (и даже больше) нам ДАВНО известно. Хочешь помочь - потрудись прочесть последние 3 страницы и узреть, в чём действительно нужна помощь.

dron11 · 03.11.2010, 20:11

да я вродебы прочитал практически все но про док станция не нашел ни слова...вы не моглибы дать ссылочку на страницу разработки волшебной карточки?

Yoti · 03.11.2010, 20:25

dron11,
может ещё и ключи с паролями от ВебМани, где деньги лежат?

dron11 · 03.11.2010, 20:35

я помойму нормально попросил дать ссылку?почему сразу таккая огрессия?

**DIIGMO** · 03.11.2010, 20:51

dron11,

Сообщение от dron11

я помойму нормально попросил дать ссылку?

Ты это серьёзно или прикалываешься?

lazard · 03.11.2010, 21:02

Сообщение от dron11

я помойму нормально попросил дать ссылку?почему сразу таккая огрессия?

То что ты сказал, знают все, кто в "танке". Только сейчас нужно исследовать прошу нека. Прочти 3 последние страницы.

А о разработке такой карты ничего нету, и даже если есть, то никто тя в такую тему просто так не пустит. Зачем те это? Ты разработчик?

lazard добавил 03-11-2010 в 08-54
Кстати, я уже предлагал слить всю инфу в первый топик. Будет меньше глупых вопросов, и соответствено меньше гемора для администрации

lazard добавил 03-11-2010 в 09-02
dron11, кстати, а он имеет доступ к этому девайсу?

**Alex14435** · 03.11.2010, 21:21

Тема про карту памяти недоступна для простых пользователей

да и сейчас не об этом речь, мы батарейку делаем, карта давно позади

Alex14435 добавил 03-11-2010 в 09-21
Док станция это тоже не вариант, сама по себе она ничего не делает

Yoti · 04.11.2010, 00:49

dron11,
а что ты можешь предложить в обмен на инфу о карте? "Твои" ответы? Так они нахрен не сплющились.

Boryan · 04.11.2010, 01:35

кста у кого руки чешутся

и кто умеет проги для контроллеров писать и имеет светлую голову. Есть ещё один верный (верефикация пробуемая нами пока не айс) способ вытаскивания прошивок из контроллеров NEC. Эти контроллеры позволяют стирать/записывать блоками. т.е. без затрагивания всей флешки. Это офигительная дыра при всей защищённости NEC. Программеры по контроллерам знают что основная прога начинается как правило не с нулевого адреса. Как правило с нулевого адреса стоит переход на начальный адрес программы..а после 0х002 байта как правило идёт чисто описание программы, кто автор, какие порты используюстся..и бла..бла ..фигня всякая. В нэках это обычно 0х800. Нужно написать прогу размером не более 800 байт..желательно минимальным объёмом. И залить её в чип с 0х000 адреса. Предварительно изучив все доки по чипу, задача проги вытащить на любой из портов содержимое флехи контроллера. Сделав реверсинг дампа можно будет точно уточнить с какого реального адреса начинается прога. И затем взять точно такой второй чип и в него записать прогу граббер но уже с того адреса который мы вычислили. Этой прогой прочитать ту область в чипе где первый раз сидела прога. Таким образом мы получим два хекса, первый с 0х800 адреса и до конца флехи, а второй с 0х000 по 0х800. И склеив их получип полный дамп. Но для реализации этого варианта нужно спаять простенький программатор и найти или написать прогу которая позволит стиратьи прошивать чип блоками. Известный Флашпрог от питерского товарища этого не умеет.