Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .
Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?
Код Описание Данные Ответ от батареи Примечание
0x01 запрос оставшегося заряда нет energyleft_mAh:u16
0x02 запрос температуры нет temperature:u8 cercius degree, min/max value unknown
0x03 запрос напряжения нет voltage_mV:u16
0x04 запрос тока нет current_mA:short positive if charging battery
0x07 запрос ёмкости нет capacity_mAh:u16
0x09 запрос оставшегося времени нет timeleft_min:u16 XMB showing not this value
0x0c запрос серийного номера нет serialno:u32 suspected
0x80 запрос аутентификации? 9byte 16byte encrypted data/reply
0x81 запрос аутентификации? 8byte 8byte encrypted data/reply
0x05 ответ от батареи нет NAK, BCC error and so on??
0x06 ответ от батареи да ACK, with reply data
Другие консоли: Все PSP, все PSV, SCPH-1002, SCPH-102, SCPH-77008, CECH-4208C, SCPH-1000R
Регистрация: 19.03.2008
Адрес: Россия
Сообщений: 5,736
Вы сказали Спасибо: 819
Поблагодарили 3,837 раз(а) в 2,014 сообщениях
Сила репутации: 1
Репутация: 3837 
(репутация неоспорима)
respecteg,
эта тема не для тебя. Аккум тебе жалко, тему читать не желаешь (один я это два раза написал) и ты даже не в состоянии понять, что есть псар дампер. Он ничуть не декомпилятор, и даже не дизассемблер. Учи матчасть и не отвлекай серьёзных людей.
Итак TA-088v3 !!! (Ребенок вернулся с дачи и я решил таки воспользоваться случаем, раз никто больше не хочет пожертвовать свою консоль для экспериментов, даже брикнутую :-()
Автобут (00000000) прошел на ура, никаких дополнительных ответов давать не пришлось, только заряд и серийник
Сервисный режим они изменили, передача серийника и заряда ничего не зажигает
ЗАРАБОТАЛО !!! горит зеленый диод и долго горит... вырубаем батарейку и он погас, смотрим лог и видим что после правильного ответа на 8008 был 81 запрос на который тоже давался ответ, но вот для чего проскальзывали другие за просы и 8002 команда в частности я не понял, но на нее моя тонкая батарейка ответ не знает, но точно знаю что знает толстая, но толстая не знает ответ на 8008 - вот так сони разделяет и властвует :-)
Теперь немного опровергну идею Бориса, что при включенной зарядке сервисный режим не запустится :-)
Все запустилось, просто диод моргал зеленым\оранжевым, после выключения батарейки остался гореть зеленым, после отключения от сети все погасло....
В логе снова видно запрос 8002 и другие команды, так же видно кучу сбойных моментов, не проходит иногда по тайм-аутам корректное считывание из порта и запись в порт, но и с этим можно поиграться...
Но на мой взгляд вывод категоричный, начиная с TA-088v3 для захода в сервисный режим обязательно нужны ответы на 8008, а вот у 3000-й это заменили на 80D9 или убрали вообще...
ANDPSP добавил 30-06-2010 в 15:12
Так ну и к необходимому, в свете последних исследований, вскрытию чипа батарейки, нашел инструкции по работе с процом http://www.eltech.spb.ru/pdf/nec/78K0_User_Manual.pdf , не знаю поможет это нам или нет и вот еще программатор для работы с нашим чипом http://eldigi.ru/site/nec/index.php , он вроде uPD78F0102H и есть в списке поддерживаемых микроконтроллеров, может еще кто что нароет, может у кого то есть знакомые спецы в автомобильной сфере или чинящие стиралки, холодильники - просто это ходовой чип и применяется во многих сферах, может кто то уже пытался вытаскивать прошивку из него или ему подобных... Неужели все так заняты что не могут пошерстить про простором интернета, зарегиться на сторонних специализированных форумах и поспрашать тамошний народ... всем лень ? все ждут готового решения ? так его не будет если все забьют, кто то хотел идей, так вот направление для поиска....
Последний раз редактировалось ANDPSP; 30.06.2010 в 15:12.
Причина: добавил, подумав
Итак TA-088v3 !!!...
Сервисный режим они изменили, передача серийника и заряда ничего не зажигает
Не знаю, что они изменили, но от любой запандоренной батарейки, запускается спец-комплект Пандоры и прошивает. Точно такой-же подход, как в обычной Пандоре, только идёт проверка на подпись файлов.
Есть ещё один прикол...
PSP включить в сервисный режим Пандоры, ессно от комплекта с волшебной картой и волшебной батареей.
Подключить зарядку.
Вынуть волшебную батарейку!
Выключить PSP выключателем, не вынимая зарядку.
Всё! Можно входить 1000+ раз в сервисный режим и соответственно выходить рычажком выключения или пунктом Shutdown. И при этом, не имея волшебной батареи. То есть, никакого разговора с батарейкой не требуется.
Какой-то сервисный байт сохраняется в кэше или в прошивке сискона, пока полностью не обесточить консоль.
Правда не думаю, что в прошивке сискона изменяется этот байт, скорее всего пишеться во временную память (кэш).
Прошу любить и жаловать, Ваш Добро пожаловать в наш Чат в Telegram
Последний раз редактировалось ErikPshat; 30.06.2010 в 23:12.
Не знаю, что они изменили, но от любой запандоренной батарейки, запускается спец-комплект Пандоры и прошивает. Точно такой-же подход, как в обычной Пандоре, только идёт проверка на подпись файлов.</p>
вот они ключевые слова... а ты попробуй без батарейки консоль с компа запустить, т.е. эмулировать батарейку компом и увидишь нужен разговор консоли с батарейкой или тебе будет достаточно серийник передать... прога есть и k-line тебе тоже сделали...
ANDPSP добавил 01-07-2010 в 19:28
и спец-комплект Пандоры даже не нужен для опыта, главное зажечь с компа зеленый диод - ведь изначально именно такая задача ставилась, запустить консоль в сервисном режиме... а уж то что TA-088v3 теперь проверяет подписанный загрузчик, а не просто грузит пандору как раньше - это уже как бы давно очевидный факт и именно по этой причине забугорный народ перестал мучить батарейки для перевода новых консолей в сервисный режим, поскольку никто не захачил подпись загрузчика, не было видать у них доступа к спец-комплекту Пандоры как у некоторых....
Последний раз редактировалось ANDPSP; 01.07.2010 в 19:28.
Причина: добавил, подумав
Не знаю, что они изменили, но от любой запандоренной батарейки, запускается спец-комплект Пандоры и прошивает. Точно такой-же подход, как в обычной Пандоре, только идёт проверка на подпись файлов.
Это давно такая информация появилась?
И зачем тогда надо было мутить с батарейками?
Тяжело искать темную кошку в темной комнате.
Да, затупил, много пропустил и читал "по диагонали"
Ну что касается 3000, то у меня лампочку зажечь не получилось,
параллельное чтение ответов с батарейки не канает..
Здесь мысль прозвучала, что старые батарейки знают ответы на
запросы, которые не знают новые, да как вариант можно было бы
проверить (3 к-лайника..)) подцепить 2 батарейки, но коды-тайминги не
позволят..надо с ними разбиратся первым делом.
lport3, ХЗ с чем разбираться я пока вообще в ступоре не знаю куда дальше лезть. Либо нужно ответ на 80D9 искать ....либо это лажовая команда и это подтверждают все существующие у меня батарейки. А их не мало. А если искать ответ на 80D9..... то вообще не понятно как его искать. Даже зная алгоритм ответа на другие 80хх команды нам и это ни чего не даст. Уж наверное соня постаралась и алгоритм ответа на 80D9 абсолютно другой от 80хх. У меня есть батарейка которая отвечает на 80D9 алгоритмами 80хх....но зыза это не хавает. Выходит по этой идее пока тупик. Есть ещё вариант шупать батарейку другими командами ...вернее искать новые команды которые могут перешивать сам контроллер батарейки. Ведь не может соня тупо клепать спец батарейки для 3000. Всё должно решаться на месте, в какой нибудь тьме-таракане, что бы их инженер по сервису, с помощью какой нибудь официальной сервисной проги, смог из обычной батарейки сделать пандору програмно. Иначе тереятся смысл сервисного обслуживания. Ведь батарейки это расходный элемент....а посему только на месте они должны превращаться в пандоры. ну как то так....а там фиг их знает что они намутили....Лично у меня остался последний вариант, который я откладывал как заначку в случае не удачи программного взлома.....это апаратный взлом. Видать время его настало....но и там могут быть подводные камни...но пока надежда есть. Начинаю потихоньку заниматься им Но скорых результатов не ждите. Сначала отдохнуть хочу на свежем воздухе в деревенской тишине Возможно там и начну ковырять аппаратно зызу. Удачи всем! Желаю качественно отдохнуть этим летом ))...ну а потом есно со свежими головами снова в бой.
Борян, немного не верно, даже в столицах не факт, что есть такие комплекты. Тк недавно, паренек из Минска брикнул 200х непрошивайку, так ее водили кто его знает где с месяц, в итоге вернули деньги. Так это 200х, где фактически нужна только спец. карта. Так что не думаю, что для работы с 300х есть все, что нужно "на местах". Схема наверно такая же.
Репутация: 157 
(весьма и весьма положительная личность)
Ну что ж. Теперь и я переехал в Москву. Могу подкинуть идею. Возможно, Сони не парилась и просто сменила название команды чтоб застать в расплох батарейку. Короче. Нужно написать программу на комп которая будет следить за общением батарейки и приставки через два к лайна и при обнаружении команды 80D9 будет подменять её на 8008. У кого есть идеи на реализацию?
Alex14435, Превед )) Идея интересная и заслуживает внимания. действительно а что нам мешает через два к-лайна отвечать на 80D9 ответом от 80хх. Нужно попробовать. ANDPSP, займись этим ...пока только у тебя два к-лайна ага.
Alex14435, Превед )) Идея интересная и заслуживает внимания. действительно а что нам мешает через два к-лайна отвечать на 80D9 ответом от 80хх. Нужно попробовать. ANDPSP, займись этим ...пока только у тебя два к-лайна ага.
Мне кажется подмена 80D9 на 8008 ничего не даст, потому что D9 и 08 совсем разные указатели и если в батарейке реально XTEA и в ней же таблицы дельт или ключей, то 256 вариантов однозначно разные... и вообще чтобы подтвердить это или опровергнуть нужно вскрывать чип батарейки, пока никто в мире не сделал этого, ну разве что китайцы которые клепают свои батарейки, но и то не известно как они это сделали - то ли им кто то за бабки слил алгоритм и протокол общения то ли просто удалось сдампить один в один прошивку соневского чипа...
Парни вы мега монстры!!!!!
читаю сейчас 9ю страницу. крышу рвет от радости!!!!
сори за спам! не удержался. лучше любой книги читать
дай боже, чтобы к 16й странице вы уже ханули её
я сам когда то Укртелекомовские телефонные карточки эмулировал. Даже диплом по этому был
я отличный программер и с интерфейсами тоже дружу. вот моя прога на сайте http://www.hackersrussia.org/Cards/cards.php (Программы
Программа Smart W/Reader v.3.0 by Kolio) это для того, чтобы не думали, что я понтуюсь и ничего не знаю.
я был просто в ужасе этих 2 дня когда вы смогли понять и разобрать по пакетам протокол общения батареи и псп.
не буду отвлекать. буду читать дальше. работу нах забросил - читаю не отрываясь
может к концу тоже чем смогу-помогу. я готов тоже подсоединиться к испытаниям