Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 57

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

pronvit · 28.10.2010, 23:06

Сообщение от x2-Dx

segacool, толк есть, точнее будет когда будет найден ключ шифрования чтобы можно было эти запросы подделать. Зато, когда ключ будет найден, уже не надо будет разбираться в принципе общения сискона и контроллера батарейки, а уже сразу можно будет сделать эмулятор с возможностью введения зызы в сервисный режим.

как будто кто-то знает, каким образом она вводится в сервисный режим..

Boryan · 28.10.2010, 23:14

pronvit, я знаю как та90 и как та93 вводятся ..кстати по разному...но это пока мой секрет

hax0r · 28.10.2010, 23:27

Сообщение от Boryan

но это пока мой секрет

вот поэтому мы и занимаемся тем, что другие уже делали... и еще много людей будут заниматься повторением того, что другие уже сделали... ведь люди не хотят делиться информацией просто так...
я подозреваю, что различие заключается только в номерах ключей и количестве команд...

Boryan · 28.10.2010, 23:32

hax0r, не в том дело что хотят или не хотят ..просто это нельзя светить в сетке...по известным причинам...потому что за нами следят

. тем более что я уже писал в этой ветке что ТА90 переводится серийником FF и известной командой 80D9.....а ТА93 ...8004 и 8097...и ещё 16 запросом ...Читать нужно внимательней...Не понимаю почему всем лень читать? В этой ветке столько ценной инфы что больше ни где её нет во всей сетке..и людям лень читать...

hax0r · 28.10.2010, 23:40

никто за вами не следит) можно подумать, сони больше заняться нечем) PSP все равно уже свое отжила)
да мы то читаем, читаем) я и сказал про разные команды и их количество)
ну а чтоб в сетке не светить есть свои способы) самый примитивный - архив с паролем. никто в мире пока не смог его взломать.

hax0r добавил 28-10-2010 в 11-40
да, кстати, наконец-то раздобыл сегодня кабель на PL-2303, только там почему-то отсутствует DC-DC преобразователь с обвязкой... ну да ладно, думаю, ничего страшного. и сразу скажу, что кабель мне нужен не для повторения ваших результатов) просто хочу работать с конкретным девайсом и проверять на нем свои идей, так сказать, не отходя от кассы)

Boryan · 29.10.2010, 15:32

Мужики! Скоро мы будем иметь дамп прошивки контроллера...возможно целиком -если метод верефикации прокатит. Но есть второй вариант....правда за него придётся заплатить хорошенькую сумму...но суть не в этом..Главное что он реальный ..но при этом методе начальная часть прошивки порядка 700 байт потеряется..Других вариантов нету. В принципе эти 700 байт не несут важной инфы...там начальная инициализация контроллера. Ну а дальше нужно будет сделать реверсинг этого дампа..найти алгоритм в нём...реализовать это всё на компе +клайн...это первый вариант. Второй вариант...восстановить..дописать потерянные байты в прошивке и добавить в неё ответы на 80D9...и залить обратно в батарейку. В итоге мы получим реальную батарейку пандоры 3000. Я чисто физически это всё не потяну..ну и знаний в этой области у меня маловато. Нет, я конечно могу и самостоятельно разобраться, подучить кое чего..мозгов хватит..но на это уйдёт много времени. Короче, кто готов реально помочь в этом деле отпишитесь сюда.

Boryan добавил 29-10-2010 в 03-32
Второй вариант вытаскивания дампа основан на дырке в нэках...Есть в них возможность записи поблочно, но для этого нужен специальный софт и программатор. Соответсвенно пишется микропрограмма которая вытащит дамп из контроллера и заливается в начало дампа...поэтому и теряются 700 байт..Я самостоятельно сделать это не осилю...да и зачем, если есть люди которые это всё уже сделали..и готовы нам помочь...но есно не за спасибо. Поэтому если дамп будет добыт этим методом то паблика не будет. Так что если у кого руки чешутся и есть желание помочь нам

вот вам метод для экспериментов

hax0r · 29.10.2010, 15:57

Boryan, чтобы дописать ответы на 80D9 нужно в любом случае делать реверсинг и искать алгоритм. сделать реверсинг при наличии дампа не сложно, с этим я могу помочь при наличии даташита на контроллер... ассемблер-мойродной язык) а вот с аппататной частью-никак, т.к. не имею программаторов и соответствующего ПО..
Без паблика как-то уж не очень интересно получается..)

hax0r добавил 29-10-2010 в 03-57
и еще... мне кажется, программа ответов на недавно появившиеся команды (типа 80D9) основана на патентах сони от 2009 года, которые здесь выкладывались. А в качестве алгоритма шифрования используется скорей всего либо AURORA, либо CLEFIA их же разработки... единственная тонкость может заключаться в том, что эти алгоритмы могут быть немного модифицированы...

Boryan · 29.10.2010, 16:11

hax0r, Без паблика ..для тех кто ждёт халявы и ни чего не делает. Есно тот кто будет работать и помогать реально, тот получит дамп. Ссылки на доки по контроллерам тут выкладывали. Нам нужен 501...http://zalil.ru/29888681 качай и изучай.
PS...для этого и тащим дамп что бы понять алгоритм....а затем на его основе нужно вытащить заветный ключик из логов...но об этом пиши в личку

hax0r · 29.10.2010, 16:15

в принципе, если изучить досконально даташит, то можно и программатор построить... но лично мне не очень хочется все это рассчитывать, т.к. это будет очень долго и муторно... да и средств на его постройку я не найду..
так что, лучше уж дамп поковырять)

Boryan · 29.10.2010, 16:53

hax0r, Ну вот и ты уже сливаться начинаешь..

т.к. это будет очень долго и муторно... да и средств на его постройку я не найду..

...Все хотят халявы...А как ты думаешь сколько я трачу на взлом батарейки?

скупил все возможные батарейки...даже не знаю сколько штук...и ещё дохрена чего покупал..вот теперь за дамп (если не удастся вытащить его верификацией) вывалю более 500$....И о каком паблике тут может быть речь? Так мало того я не зажимаю инфу и готов её дать но только тому кто реально будет работать....но чота поработать ни кто не хочет

Реально помимо меня тут работают ещё 2 человека и всё!!!Вот и ты жалуешся на то что трудно....а я не жалуюсь, а просто беру и делаю...и я тоже не родственник рокфеллера...но мне это интересно..это хобби...а на любое хобби нужно тратить финансы.

x2-Dx · 29.10.2010, 17:10

Boryan, Создай счёт в яндексе, вэбмани и подобных системах чтобы форумчане могли посылать донейты на оплату дампа чипа, я тоже готов помочь материально и посильно технически.

hax0r · 29.10.2010, 17:14

Boryan, да я не сливаюсь. Просто, раз уж решили ковырять дамп - то давайте ковырять дамп. Даташит я изучу и помогу конечно, на сколько моих умственных способностей и знаний хватит. Для меня это тоже хобби). Предыдущий пост был к тому, что теоретически по даташиту можно собрать программатор, но это может и на год затянуться, к тому же к программатору понадобится софт, а написать я его не смогу. А ковыряние дампа-процесс куда более быстрый, тем более договорились уже так делать. Так что, я в строю и с вами на амбразуру батарейки)

Boryan · 29.10.2010, 17:15

x2-Dx, Я очень сомневаюсь в этом ...тут просто так поработать ни кто не хочет...а ты про деньги говоришь....не хочу связываться...потом буду последней какашкой если чего не получится...

Boryan добавил 29-10-2010 в 05-15
hax0r, Отлично! будем надеятся что так и будет.

**Alex14435** · 29.10.2010, 17:59

Сообщение от x2-Dx

Boryan, Создай счёт в яндексе, вэбмани и подобных системах чтобы форумчане могли посылать донейты на оплату дампа чипа, я тоже готов помочь материально и посильно технически.

Увы, на своем опыте убедился что в России признают лишь халяву. За полгода пока мои инет кошельки висели в профиле (не здесь), никто не кинул. Хотя помогал всем (~250 человек в год), человек 10 обещало кинуть. Короче, донейт в России - бесполезное дело.