Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 11

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

**t0rm3nt0r** · 24.04.2010, 11:48

MODEL PSP: 110
BATTERY PACK: 3.6V 1800mAh
Код батареи: 5520BWB
Мелкий код внизу: 2-581-225-02
Заряд на момент снятия дампа: 27%
eeprom_110_1800mAh_5520BWB_2-581-225-02_27%_t0rm3nt0r.bin

MODEL PSP: 110
BATTERY PACK: 3.6V 1800mAh
Код батареи: 6605EWQ
Мелкий код внизу: 2-581-225-16
Заряд на момент снятия дампа: 97%
Дамп снимался в запандоренном режиме.
eeprom_110_1800mAh_6605EWQ_2-581-225-16_97%_t0rm3nt0r.bin

MODEL PSP: 110
BATTERY PACK: 3.6V 1800mAh
Код батареи: 6619EWG
Мелкий код внизу: 2-581-225-16
Заряд на момент снятия дампа: 43%
eeprom_110_1800mAh_6619EWG_2-581-225-16_34%_t0rm3nt0r.bin

Boryan · 24.04.2010, 12:28

ErikPshat, http://slil.ru/29010619 дампы 7 штук батареек в архиве

Boryan добавил 24-04-2010 в 12:28
у батарейки eeprom_S110_1200_08X27WJB3351_3-268-513-03_70%_Boryan дамп чисто одни 0000000 но она работает

Но она как автобут не работает ....а работает как обычная батарейка

ErikPshat · 24.04.2010, 13:15

t0rm3nt0r, что-то странное с твоими ссылками "400 Bad Request", когда должна начаться закачка.

Возможно из-за длины названия. Положи все дампы в один архив с коротким названием.

В общем, данные начинают накапливаться =)
Первые два байта в дампе явно указавают на заводскую ёмкость батареи и эти данные видно, что отсылаются в терминале:

0807 = 0708 = 1800mAh батарея от фатки.
E204 = 04E2 = 1250mAh батарея от слимки.

Борян...

eeprom_S110_1200_08X27WJB3351_3-268-513-03_70%_Boryan.bin - весь пром нулевой. Странно.
eeprom_S110_1200_08320WDA3221_3-268-514-01_63%_error_Boryan.bin - вместо дампа батареи, картинка BMP 100-пудово, только не вся, а первые 256 байт

**t0rm3nt0r** · 24.04.2010, 13:20

Сообщение от ErikPshat

t0rm3nt0r, что-то странное с твоими ссылками "400 Bad Request", когда должна начаться закачка.

Возможно из-за длины названия. Положи все дампы в один архив с коротким названием.

Пожалуйста. Скорее всего это точно из-за имен.
http://slil.ru/29011353

ErikPshat, есть две так называемые "совместимые" батарейки для фаток. Попробовал снять дамп - он на удивление снялся. Выложить или не стоит?

Правда при снятии дампов обеих выдает ошибку addr 0x27 (0x802500b8)

Boryan · 24.04.2010, 13:37

ErikPshat, нулевой дамп это видать батарейку уронили и микруха епрома отвалилась....но батарейка рабочая

А вот так которая с ошибками это видать кто то над ней поиздевался

)) Просто я тупо взял первые попавшиеся батарейки под руку и слил с них дамп

если нужно ещё солью...батареек хватает

Зызок в ремонте дофига

ErikPshat · 24.04.2010, 13:54

Сообщение от t0rm3nt0r

Выложить или не стоит?

Правда при снятии дампов обеих выдает ошибку addr 0x27 (0x802500b8)

Странно, в 0х27 у всех стоит FF. Выкладывай посмотрим.

Boryan, ты тогда в ту батарейку с BMP залей дамп от другой, схожей.
А которая нулевая, может дорожка перерезана, странно, как она пашет )). Может она китайская подделка? Ведь со временем данные на заряд корректируются и должны изменятся в EEPROM-е.

Ещё странно, что у stasik007 вся область EEPROM забита данными, тогда как у всех других в основном всё забито FFFF.

**t0rm3nt0r** · 24.04.2010, 14:06

ErikPshat, вот

Обе батарейки на 2100 mAh. Текущий заряд в названии дампа присутствует.

ErikPshat · 24.04.2010, 14:11

Сообщение от t0rm3nt0r

Обе батарейки на 2100 mAh. Текущий заряд в названии дампа присутствует.

А такие бывают на 2100?
Ну почти идентичные дампы с одинаковым серийником: 8A003D86
Всё остальное полностью забито нулями, кроме двух FF в середине.
Первые два байта должны указывать на ёмкость батареи, но там нули.

Кстати, 5-6 байты на что могут указывать? Я указал просто процент заряда, по нему можно определить какой это дамп.

5C0D = 0D5C = 3420 (97%)
B40A = 0AB4 = 2740 (27%)
C50C = 0CC5 = 3269 (97%)
D30C = 0CD3 = 3283 (34%)
740F = 0F74 = 3956 (57%)
FA0E = 0EFA = 3834 (87%)
6410 = 1064 = 4196 (64%)
BA10 = 10BA = 4282 (85%)
350F = 0F35 = 3893 (74%)
320D = 0D32 = 3378 (stasik007)

Yoti · 24.04.2010, 14:39

От меня дампы нужны?

Digger_HLDV · 24.04.2010, 14:48

друг рассказывал, который чипует в лужникаХ, он говорит что там специальный мемори стик из которого идёт какой то шлейф, кто нибудь знает про это? он говорит что так и шьют 3000 после брика...

stasik007 · 24.04.2010, 14:56

5A 02 01 A2
A5 05 06 00FA02 53
5A 02 03 A0
A5 04 06 610E E1
5A 0B 80 0438764969D66456F0 36
A5 12 06 92F3F9EB9C58532604C993C58BB817D9 14
5A 0A 81 732917DEE482E388 B8
A5 0A 06 9FF9831007682634 56
5A 02 01 A2
A5 05 06 00FE02 4F
5A 02 03 A0
A5 04 06 660E DC
5A 0B 80 0472DDB63198ED10E7 64
A5 12 06 3A3194D207F9E10B66C644F9AEA589B8 88
5A 0A 81 7E5000BBCF9A7FCD DC
A5 0A 06 CD245BAB11E52859 DC
5A 02 01 A2
A5 05 06 000203 4A
5A 02 03 A0
A5 04 06 660E DC
5A 0B 80 0414055960EEE45F38 DB
A5 12 06 B5ED4B6D9C9477CD20502DD93A293A8D D4
5A 0A 81 65A7A2E43697BCF4 0B
A5 0A 06 E3717C7B4C29928D 6B
5A 02 01 A2
A5 05 06 000603 46
5A 02 03 A0
A5 04 06 660E DC
5A 0B 80 045B0366DE6E350DFC C8
A5 12 06 315471737C9622E46223A2EA85958CBA 50
5A 0A 81 D5A0D59497344B5A CC
A5 0A 06 687120B3E7BF3C85 37
5A 02 01 A2
A5 05 06 000A03 42
5A 02 03 A0
A5 04 06 660E DC
5A 0B 80 0443AB3F442D33F004 51
A5 12 06 C915B3B12390B1F8117F7437DF48ED76 DF
5A 0A 81 7D61BABA22A6A17A E5
A5 0A 06 FDB883E7CA7FD107 0A
так выглядит процесс зарядки обычной бат
интервал опроса 30 сек
с пандорой труба - не 31 запрос на рукопожатие а безконечно в цикле

Yoti · 24.04.2010, 14:58

Digger_HLDV,
спасибо за инфу, кнешна, но! Это точно друг, а не знакомый? Он сам видел или за кем-то повторил? И т.д.
Тем более, мы про аккум рассуждаем.

stasik007 · 24.04.2010, 15:10

5A 02 01 A2
A5 05 06 006D03 DF
5A 02 03 A0
A5 04 06 7A0E C8
5A 0B 80 0480B431ACE46D1E46 50
A5 12 06 D417E30D6813F629A554FD7CB13B33A9 93
5A 0A 81 AEE309BF20329BA9 2B
A5 0A 06 7E63037F68BB5BFC 6D

после этого сообщения слил дамп 5и6 байты 440D - батарейка рапортует 7A0E

Digger_HLDV · 24.04.2010, 15:12

Сообщение от Yoti

Digger_HLDV,
спасибо за инфу, кнешна, но! Это точно друг, а не знакомый? Он сам видел или за кем-то повторил? И т.д.
Тем более, мы про аккум рассуждаем.

я тебя понял, сорри за оффтоп.

ErikPshat · 24.04.2010, 15:28

Сообщение от stasik007

после этого сообщения слил дамп 5и6 байты 440D - батарейка рапортует 7A0E

Да уж, что-то не сходится. Или идёт какая-то корректировка. А если ещё позже снять дамп, может в 4 и 5 байте значения поменяются? Но это явно не вольтаж в 4-5 байтах, т.к. выше я расписал проценты заряда и там и так видно, что не соответствует процент - значениям.
А хотя, вольтаж вроде мало чем связан с процентом заряда. Ведь если даже батарея полностью разряжена, то напряжение она всё равно будет давать 3-5V.

А вообще верно, код 8004 что-то запрашивает. Явно 04 не имеет отношения к остальному коду. И правильно, там код 8-байтовый должен оставаться.
Поэтому нужно рассматривать как код не просто 80, а 2 байта 8002, 8004, 8008...

Yoti · 24.04.2010, 15:42

Слимовская, инфа в архиве.
http://slil.ru/29012628
З.Ы. Умники вы, файлы с "%" в имени кидать =)

ErikPshat · 24.04.2010, 15:48

Yoti, а толку, что ты там серийники менял. Где они записываются мы и так знаем.
Твои все 3 дампа идентичны =) только серийники разные.

stasik007 · 24.04.2010, 15:52

интересно :
запрос auth 80 если рассматривать как двухбайтный
запросы на разных батарейках
в сервисном режиме
1- 80D9
2- 80D9
ИТД...
на обычной бат
1 - 800a
2 - 8004
3 - 8004
на 2 батарейках одинаково.
Судя по логам на 2000:
пандора бат
1 - 8008
2 - 8002
3 - 8002
4 - 8002
5 - 8002
обычн бат
1 - 8008
2 - 8002
3 - 8002

ВСЕ ЗАПРОСЫ К БАТАРЕЙКАМ С СЕР 00000000 И FFFFFFFF ОДИНАКОВЫЕ

можно допустить что это инструкция к комманде 80 - область еепром для вычисления ответа

Yoti · 24.04.2010, 15:54

ErikPshat,
шоб было. Ушёл играть в шаттеред меморис - заряд понижать =)

ErikPshat · 24.04.2010, 16:17

stasik007, получается даже на обычной батарее у 3000 уже запросы изменились ровно на 2 единицы.

Было 8008, стало 800A
Было 8002, стало 8004

Но почему на сервисный номер так реагирует, что сразу D9. И не перестаёт запрашивать.
Всё-же она получает номер и ищет загрузчик с карты. Не найдя его, снова запрашивает батарею, а получив сервисный номер опять ищет загрузчик. Думаю только так, из-за этого непрерывный цикл.

Кстати, даже когда идёт обращение к карте, то лампочка не обязательно должна моргать. Всё может быть и в тихом режиме.

Может и серийник поднять на 2 единицы: 01010101 =)