Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .
Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?
Код Описание Данные Ответ от батареи Примечание
0x01 запрос оставшегося заряда нет energyleft_mAh:u16
0x02 запрос температуры нет temperature:u8 cercius degree, min/max value unknown
0x03 запрос напряжения нет voltage_mV:u16
0x04 запрос тока нет current_mA:short positive if charging battery
0x07 запрос ёмкости нет capacity_mAh:u16
0x09 запрос оставшегося времени нет timeleft_min:u16 XMB showing not this value
0x0c запрос серийного номера нет serialno:u32 suspected
0x80 запрос аутентификации? 9byte 16byte encrypted data/reply
0x81 запрос аутентификации? 8byte 8byte encrypted data/reply
0x05 ответ от батареи нет NAK, BCC error and so on??
0x06 ответ от батареи да ACK, with reply data
Другие консоли: Все PSP, все PSV, SCPH-1002, SCPH-102, SCPH-77008, CECH-4208C, SCPH-1000R
Регистрация: 19.03.2008
Адрес: Россия
Сообщений: 5,733
Вы сказали Спасибо: 819
Поблагодарили 3,835 раз(а) в 2,013 сообщениях
Сила репутации: 1
Репутация: 3835 
(репутация неоспорима)
lport3,
поступил заказ на еепромы - выкладываю =)
---
Собсно, последний архив от меня. Осмелился изменить версию до 0.61, ибо функционал действительно расширен. Но вы помните, что это 0.60 МОД3 =) http://slil.ru/29034077
Может повторюсь (лень читать 7 страниц коментов), не смотря на то, что батарейку нельзя запондорить (и дело тут никак не в мат.плате, хотя и не без этого) Серийный номер можно отдампить и он имеет такую же структуру что и у предшественниц. Другими словами, дело в архитектуре (или же в программном коде) команда нашего сайта (можно найти по нику кому интересно) как раз работает над этим. Есть несколько идей. Могу сказать одно. Мы встали в тупик. Все бояться ломать аккум. Если у кого есть, сфоткайте плату батарейки в хорошем качестве. Это сильно поможет.
Так как номер поменять пока нет возможности, надо смотреть что там внутри.
команда нашего сайта (можно найти по нику кому интересно) как раз работает над этим
А чё тут стесняться и что там искать?
Все и так знают супер-модератора с детского садика PSPISO.tv
Cайта, прописанного в правилах (пункт7.7), где копипастят чужие факи и статьи, без ссылок на первоисточник. И плюс к каждому такому факу, написанному не ими, прикрепляют свой логотип "PSPISO.TV" на чужие скрины, сделанные не ими, да ещё в конце делают приписку:
"Уф, всю ночь писал, старался чисто для вас, ради PSPISO!!!
Не забудьте все поставить мне спасибки!"
Ну так что ваша команда нарыла-то? Вы людей старше 14-ти в команду берёте?
Прошу любить и жаловать, Ваш Добро пожаловать в наш Чат в Telegram
Последний раз редактировалось ErikPshat; 27.04.2010 в 09:49.
stasik007, а как реагирует батарейка на ТА-088v3 с обычной пандорой?
Какой лог выдаёт?
Я имею ввиду, что раз на PSP-3000 читает номер FFFFFFFF, но обращения к карте не происходит, как вы говорили.
Так-же хочется проверить, на PSP-2000 TA-088v3, ведь тоже подсовывается номер FFFFFFFF и если стоит обычная пандора, то что происходит, ведь тоже вроде реакция, как будто нет обращений к карте. Вот и интересно, обращение к карте идёт или так-же, как на 3000?
Прошу любить и жаловать, Ваш Добро пожаловать в наш Чат в Telegram
Последний раз редактировалось ErikPshat; 27.04.2010 в 10:27.
ErikPshat, На ТА88V3 обращение к карте идёт после того, как sys con схавает код батарейки FFFFFFFF, и запустит контроллер питания, и подаст все нужные напряжения на консоль, и sys con даст команду ЦП делать загрузку с картридера. Всё зарыто в Sys con, если он подружился с батарейкой, то запускает всю консоль....а если не подружился, то фигу вам. Аналогично происходит если батарейка перезаряжена....то зыза не запустится. В 3000 sys con ни как не может подружиться с батарейкой.....вот и не запускает зызу....
Boryan добавил 27-04-2010 в 12:39
Вывод.....их нужно подружить )))))принудительно )))
Boryan добавил 27-04-2010 в 13:08
очень интересная батарейка у обычной батарейки с обычным серийником, отрываем 1-ю ногу епрома (Chip Select Input) и батарейка превращается в пандору
Boryan добавил 27-04-2010 в 13:12 ErikPshat, Понятно про NutStorm.....детский садик решил показать себя крутыми перцами по взлому батарейки 3000.....но они упёрлись в тупик....и батарейки им жалко ломать А нам чота не жалко...я уже 7 штук распотрошил
Boryan добавил 27-04-2010 в 13:14
Так как номер поменять пока нет возможности, надо смотреть что там внутри.
))))) пацтулом а вот мы можем менять и не только номер.... итам внутри всё уже знаем и посмотрели....
Boryan добавил 27-04-2010 в 13:19
а внутри там ППЦ ))
Последний раз редактировалось Boryan; 27.04.2010 в 13:19.
Причина: добавил, подумав
Ins|der, мы не соримся..но понтовщиков ненавижу...что сделал этот малец? пришёл понтанулся и отметился в ветке и всё? что реально дельного предложил? ...номер он оказывается поменять не может
А по делу про ТА88V3 ....там стоит новый проц CXD2988 и он проверяет всё что ему предлагают на цифровую подпись от Сони. Для загрузки с карты нужен IPL подписанный сонями для стика....а его нету. Ну и есно с карты ты фиг чего сделаешь. В 3000 зызах стоит тот же ЦП CXD2988...
Boryan добавил 27-04-2010 в 14:07 lport3, давай всем миром будем брутить батарейку...опиши процесс технологический что и как и куда
Последний раз редактировалось Boryan; 27.04.2010 в 14:07.
Причина: добавил, подумав
Для загрузки с карты нужен IPL подписанный сонями для стика....а его нету
понятно, то есть для стика нужен спец. лоадер, отличный от лоадера в нанд, и, насколько я помню, он каким-то образом привязан к серийнику карты, так? (заранее извиняюсь за глупые вопросы, приходится на ходу в теме разбираться)
хотел почитать прошлую тему "Размышления о взломе TA-88v3", память освежить, но так и не нашел её(
Какие настройки порта в терминале вы выставляли?
-------------------------
Все, разобрался..
-------------------------
Особо впечатлительным лучше не смотреть,
заинтересовавшиеся и желающие помочь, стучитесь в личку.
А все же, расскажите поподробней куда подключаться все же нужно, я собрал кабель на базе PL2303HX - RX прицепил на средний контакт, GND прицепил на минус - он левее, если консоль лежит на экране шифтами вверх - в настройках порта скорость - 9600, четность - None, дата бит - 8, стоп бит - 1 - вроде бы все правильно , но я не получаю тех байтов что описывались тут - у меня совсем все по другому :-( вот вставляю запандоренную батарейку в фатку и получаю какую то хрень
хрень
1 раз
00 00 13 10 7C 91 7E F6 13 F2 5C F1 FE 3E FE 33 18 DF 3A 7E 93 E3 9C
91 A5 8A 86 91 83 94 72 F5 F2 13 98 1D E6 E9 12 FF 1C F1 B0 7A 64 13
13 10 7C 11 7E FA 33 18 3A 38 DC 20 DD 9C F1 1E BE 66 5B A0 55 BD CA
C5 13 98 9B B9 E1 BE FC 1C D1 96 5F 96 7F FF 13 10 7C 11 7E FA 33 18 1C
55 3C 77 F4 9C D1 2E 63 45 54 12 1E F6 3F DF 13 78 3A A8 50 22 FE 1C D1
DF 93 74 E5 13 10 7C 11 7E FA 13 D1 FF 5C D1 85 FF 13 93 5C B1 D0 13 92
FF 5C 91 10 FF 13 31 3C 91 F6 13 F0 FF 5C F1 3E FE 13 11 FF 5C F1 87 FD
00 13 10 7C 91 7E F6 00 01 00 FF 00
2 раз
00 00 13 10 7C 91 7E F6 13 F2 5C F1 FE 3E FE 33 18 32 DF 99 F8 DF 9C B1
B8 A3 D0 DF B3 D4 39 DB FC 13 78 90 11 D6 A3 FC 1C B1 1B 26 3D B5 FE
13 10 7C 11 7E FA 33 18 19 BC 16 FB EA 9C F1 28 63 C5 A3 97 10 B6 13 C7
13 58 76 9D 56 27 F9 1C F1 6C 13 6D F6 FD 13 10 7C 11 7E FA 33 18 3B 9C
3B F7 F1 9C 11 B6 4B A1 D1 EE 01 69 F6 D1 13 78 BA 5D 1B D5 FF 1C D1 8D 0B C1 D2 F7 13 10 7C 11 7E FA 13 D1 FF 5C D1 85 FF 13 93 5C B1 D0 13 92 FF 5C 91 10 FF 13 31 3C 91 F6 13 F0 FF 5C 71 5F 13 11 FF 5C 31 26 FF 00
тут два прогона, начало вроде похоже друг на друга, но все равно хрень - почему так ? Или нельзя напрямую подключаться к среднему контакту поскольку он объединяет RX и TX сигналы в один контакт ? Тогда куда нужно подключаться ?
чтобы как-то систематизировать, предлагаю на рассмотрение след. план действий:
при наличии одной батареи
1.
Сообщение от stasik007
проверить одинаковые запросы по 80D9, 8008, 8004, 8002 - будут ли ответы отличаться?
2. проверить одинаковые запросы по 8002/8008 на батарее с оригинальным, измененным, 00000000, ffffffff серийником, чтобы выяснить его роль в формировании ответа;
3. если SN не влияет на ответ, последовательно изменять участки кода EEPROM батареи с выдачей одного и того же запроса, чтобы вычислить области, критичные для формирования ответа
как-то так)
Последний раз редактировалось Ins|der; 27.04.2010 в 18:01.
Так не заработало тоже, но вот с параметрами 19200 8E1 None стало то что нужно :-) теперь и эмулятор опробовать можно :-)
у меня с 1 стоп-битом error проскакивает а с 2 идеально и по дкументации 2 надо
stasik007 добавил 27-04-2010 в 18:27
Сообщение от Ins|der
так вот похоже в том и проблема, что даже на ta-88v3 так до сих пор ничего не подписали)
просьба тему в сторону не уводить - если интересен ipl - то и обсуждайте его в ipl-ном месте!
он тут потоптался, поистерил и дальше пошёл на другой форум ipl обсуждать и говорить им что батарейки у них нету и ничего не получится
Последний раз редактировалось stasik007; 27.04.2010 в 18:34.
Причина: добавил, подумав
Немного работал, не мог дальше грабить,
сегодня вечер посвящу батарейке.
Сегодня попробую поподкидывать команды из ваших
логов, но уверен, что они совпадут. Кстати, если сразу
спрашивать $8002 батарейка не отвечает. Все таки не так просто
будет понять длинные команды (возможно вообще не получится).
Хотел считать еепром в батарейке, но логов вы не сделали, а жаль
по известному методу считывания можно было бы попробовать считать
озу (тут ведь неизвестно где можно нарыть дыру ).
Батарейку читаю через к-адаптер (автомобильный стандарт к-линия,
питание адаптера 7в), програмку сварганил сам.
Сегодня если ничего не получится по раскрипту длинных команд,
то мысли у меня кончились.
lport3 добавил 27-04-2010 в 19:06 Ins|der
при наличии одной батареи
1.
Цитата:
Сообщение от stasik007 проверить одинаковые запросы по 80D9, 8008, 8004, 8002 - будут ли ответы отличаться?
Попробовать надо, но даже судя по командам разным, отличия будут.
А разглядывать крипт в нескольких командах, только путатся, и
увеличивать объем работы.
2. проверить одинаковые запросы по 8002/8008 на батарее с оригинальным, измененным, 00000000, ffffffff серийником, чтобы выяснить его роль в формировании ответа;
Для этого надо, вам делать адаптеры, поскольку у меня только одна
батарейка (3.6,1200,брайт,ориг.)
3. если SN не влияет на ответ, последовательно изменять участки кода EEPROM батареи с выдачей одного и того же запроса, чтобы вычислить области, критичные для формирования ответа
Пальцем в небо, совершенно не реально. Тут уж точно запутатся можно
Только если с нулевым еепромом батарейка запускается, имеет смысл.
Последний раз редактировалось lport3; 27.04.2010 в 19:06.
Причина: добавил, подумав