Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 59

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

**Alex14435** · 04.11.2010, 08:34

Сообщение от timurmurmur

то-то я смотрю добрых приятелей развелось, звонят, хвастаются)... человек 5 по москве уже как сливки снимают.

Пять?? Чот многовато...

Boryan · 04.11.2010, 13:04

timurmurmur, У них нет карт можешь спать спокойно! Просто они все собирают зызы и возят их в одно место ..и там их прошивают и возвращают обратно.

Yoti · 04.11.2010, 13:11

Boryan,
а куда дампер проши контроллера будет дамп писать?

**hexcsl** · 04.11.2010, 13:38

Yoti,
Писать не обязательно. Главное выдать результат чтения прошивки на какую нибудь ногу(и), а считать с неё(их) уже не проблема.
Для примера можно воспользоваться простыми протоколами UART или I2C.
UART реализация например для AVR спокойно укладывается в 490 байт.
Так как нам полной реализации UART не нужно, то приемную часть можно вообще выкинуть и тем самым еще уменьшить размер.

Boryan · 04.11.2010, 14:31

Yoti, нужно писать в 501 чип ..они сейчас используются во всех батарейках кроме галимых где используется 9202 чип. Сейчас выложу все доки по 501

Boryan добавил 04-11-2010 в 02-05
aaa111, да, правильно! использовать нужно UART..по нему легче всего законектить чип...сейчас у меня 501 подключен к компу именно по этому протоколу..

Boryan добавил 04-11-2010 в 02-31
все доки по 501 чипу http://zalil.ru/29917279 там есть схема программатора и интерфейса UART.....я использовал всё тот же клайн. Вернее шнурок на PL2303...распайка такая...Tx-1я нога...Rx-5 нога....DTR-2 нога...питалово для NEC берём с внутреннего источника питания у пэлки...это либо 17, либо 4 нога. Нужно написать прогу которая по UART сможет инициализировать чип ...работать с ним поблочно ..стирать и записывать. И ещё обрабатывать инфу с чипа когда с него будем тащить дамп... Ну и написать прогу дампер для чипа ... Единственно пока под вопросом нужно узнать как снимается бит защиты. В нэках бит защиты ставится не для защиты от чтения ,а для защиты от стирания и перезаписи либо блока, блоков, всей флешки. Время не было на подробное изучение доков...но вроде как этот бит снимается программно и легко.

**Alex14435** · 04.11.2010, 20:17

Подожди, получается в батарейке 501 контроллер и 501 флешка? Или писать будем в то откуда считывать (опять у меня бред получился)

Boryan · 04.11.2010, 20:58

Думай прежде чем писать и не будет бреда

нет 501 это и есть всё в одном и флешка и контроллер...Блин, ну ты чего чудишь? ...Есно раз есть контроллер он наверно работает по какой то программе ..а прога эта пишется в флеху контроллера...Я же тебе советовал доки посмотреть...а то выходит что ты даже не имеешь представления малейшего что есть контроллер...

**Alex14435** · 05.11.2010, 10:18

Доки то глянул мельком, посмотрел на объем и терминологию, закрыл

Получается мы читаем программу с флешки и следуя твоему предыдущему посту, пишем в флешку... Глюк выходит, либо там две флешки

ldraculal · 05.11.2010, 10:39

Про запись дампа во флешь ничего не написано в посте Boryan`а, пишется во флешь только сама прога, данные же о считанном дампе выводятся на ногу...

Boryan · 05.11.2010, 13:37

Alex14435, ты знаешь что такое бутлоадер? Это маленькая прога которая пишется во флеху и тем самым даёт доступ к её содержимому. В качестве примера можно взять сотовые телефоны. Вот аналагичную фичу можно применить и в нэках.

Boryan добавил 05-11-2010 в 01-20
Зы флешка одна. Структура написания программ для микроконтроллеров такова. В начале как правило текстовая инфа..Типа кто и когда писал прогу, какой контроллер, назначение проги, назначение портов...и т.д и уж дальше идёт сама прога. Но это описание занимает какой то объём памяти. И есно его нужно выделить в памяти контроллера. При старте контроллера он начинает читать свою флеху с нулевого адреса и далее последовательно читая её содержимое ...выполнять прогу которая находится во флешке. Но нам нужно куда то поместить наше описание и так что бы оно не мешало. Для этого существует общее правило. В нулевом адресе пришется адрес куда нужно перескочить. Например пишем 0х100....и соответсвенно при старте контроллера он увидит в самом начале что ему нужно перепрыгнуть на 0х100 адрес и он это незамедлительно сделает пропустив при этом около 100 байт. И в итоге в нашем распоряжении есть около 100 байт для резерва и засовывания туда нашего описания. Иными словами есть область памяти которая ни как не влияет на работу контроллера. Вот в неё и пишется бутлоадер с самого нулевого адреса...ну что бы он сразу стартовал.

Boryan добавил 05-11-2010 в 01-37
Возможен и более плохой вариант...прога начинается с нулевого адреса без всяких там описаний и резервных байт. Тогда как и в первом варианте пишем наш бутлоадер и читаем флеху. Если наш бутлоадер хорошо оптимизирован и занимает меньше 256 байт..то мы потеряем от исходной прошивки всего 1 блок=256 байт. Думаю это не смертельно. А если он занимает например 256х3...то есть три блока, то мы уже потеряем прилично от исходной прошивки. В этом случае нам потребуется второй аналогичный чип. В первый блок. в нулевой адрес мы пришем адрес перехода в чистое место флешки ..который мы узнали из первого дампа...и в этот адрес пишем наш бутлоадер....читаем флеху и в итоге теряем 256 байт как и в случае с оптимизированным бутлоадером. Потеря 256 байт в этом случае неизбежна.

Yokel · 05.11.2010, 13:55

Мужики что думаете насчет того чтобы записать игры в нанд PSP GO программатором ?

Boryan · 05.11.2010, 14:17

а что это даст...без файла лицензии под твой аккаунд..бредовая идея

hax0r · 05.11.2010, 14:22

Сообщение от Yokel

Мужики что думаете насчет того чтобы записать игры в нанд PSP GO программатором ?

а какой в этом смысл? без подписи они все равно не запустятся.
к тому же, они вроде и так там хранятся... хотя, может я и ошибаюсь..

hax0r добавил 05-11-2010 в 02-22
по поводу бутлоадера... на первый взгляд-не сложно на асме написать. Только вот отвык я что-то на аглицком доки читать) после 20 минут голова пухнуть начинает) по поводу UART-ни разу не писал,ниче сказать не могу..

Boryan · 05.11.2010, 14:26

hax0r, вспоминай

работа то интересная и для мозгов зарядка...

hax0r · 05.11.2010, 14:28

Boryan,согласен)

Boryan · 05.11.2010, 14:37

мозгам нельзя давать сочковать...жиром заплывут

А черепушка не пузо..от жира не растягивается...

))

**Alex14435** · 05.11.2010, 15:43

Тьфу ты, только сейчас понял, ЧТО нужно писать... Думал бутер будет дампить прошивку и куда то её записывать

Yokel · 05.11.2010, 19:13

Сообщение от pronvit

За 5000 они сказали мне могут избавить чип от корпуса.

Я умею декапсулировать корпус микрухи!Вот только с дальнейщим чтением пока проблемма!

Yokel добавил 05-11-2010 в 07-13

Сообщение от Alex14435

crashnok, зачем стачивать? Дымящаяся азотная кислота в ванночке - за 5 часов будет нечто вроде этого

это разобранный чип от привода Xbox 360 Slim

Расскажи плиз что происходит на нижней фотке ???

**Alex14435** · 05.11.2010, 21:17

Я думаю что происходит считывание с флешки через программатор (контакты программатора внизу)

Alex14435 добавил 05-11-2010 в 09-17
Или просто контакты флехи припаяны к нормальным контактам к которым можно подключить что угодно, опять же программатор

ErikPshat · 05.11.2010, 21:26

Ну да, похоже это кроватка программатора. И судя по количеству контактов, они идут на программатор.

Не думаю, что у флехи есть место под бутлоадер, хотя скорее в чип умышленно не льётся бут, т.к. нафиг это никому не нужно в целях безопасности. А тем более скорее стоит бит защиты.

Вообщем. На сисконе не нужно заливать бутлоадер, т.к. по любому придётся сливать прошивку через программатор. А затем HEX можно перекомпилировать в BIN, тогда код станет читаемым. Хотя вроде в чипе он и так в бинарном формате лежит.