Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 60

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

Yoti · 06.11.2010, 04:49

Сообщение от ErikPshat

Хотя вроде в чипе он и так в бинарном формате лежит

В каком же ещё =) Скомпилированный асм или типа того.

Yokel · 06.11.2010, 05:24

Сообщение от Alex14435

Я думаю что происходит считывание с флешки через программатор (контакты программатора внизу)

Alex14435 добавил 05-11-2010 в 09-17
Или просто контакты флехи припаяны к нормальным контактам к которым можно подключить что угодно, опять же программатор

Дак а просто так эти контакты не были выведены на ноги микрухи, чтобы не вурывать камень?

**Alex14435** · 06.11.2010, 10:01

Выведены были все кроме одной. В итоге, микруху не прочтешь пока микропроцессор не захочет. (статус 0х72/0х73)

Yokel · 06.11.2010, 11:12

Сообщение от Alex14435

Выведены были все кроме одной. В итоге, микруху не прочтешь пока микропроцессор не захочет. (статус 0х72/0х73)

а когда ты ногу вывели то стало возможным прочитать?

dron11 · 06.11.2010, 11:18

достать кислоту у меня нет проблемм ,щас сделаем, фото результата выложу....

Boryan · 06.11.2010, 12:14

тренируйтесь на кошках

Вот http://zalil.ru/29924734 демо файлик (.bin) для контроллера NEC 78 серии...Кому интересно в сфере предстоящей реальной работы с оригинальным файлом из контроллера батарейки...может потренироваться пока на этом файле сделать реверсинг/дизасм/заново скомпилить....мож кому удастся найти в просторах нета среду разработки под контроллеры NEC....но на данный момент можно поковырять его и с помощью IDA Pro...

**Alex14435** · 06.11.2010, 12:39

Сообщение от Yokel

а когда ты ногу вывели то стало возможным прочитать?

И как ты её выведешь, не вскрывая чип?

**hexcsl** · 06.11.2010, 14:11

Boryan,
Файлик нормально реверситься в иде.
Для NEC78K здесь есть ASM и Си http://slalex.chat.ru/micro.htm
Демо версия ограничена 8кб, но этого думаю хватит или в конце концов ограничение думаю уберем.

P.S. Файлик приатачил не бинарный, а hex. Хотя конечно пофигу в каком виде =)

Boryan · 06.11.2010, 14:15

aaa111, Спасибо! ну что будешь ковырять оригинальный от батарейки? Сможешь вытащить оттуда алгоритм преобразования запросов 80хх?

**hexcsl** · 06.11.2010, 15:28

Boryan,
Если снимете прошивку, то гляну что к чему. А писать "дампер" без макетки и программатора как то не удобно

Кстати почему заглох вариант с верификацией? Побайтно можно верифицировать? Если да, то мне кажется уже быстрее бы прочли. 501 нек - 16KB соответственно получается максимум комбинаций для перебора 16K*256=4096K что по моему не так уж и много. Если даже черепашей скоростью 2 варианта в секунду будете проверять, то за 23 дня вы все прочли бы. Соответственно если 10 вариантов в секунду, то за 4 дня уложитесь.

Boryan · 06.11.2010, 16:06

aaa111, с побайтной верефикацией обломались

Я в доки глубоко невникал..но мы с одним челом попробовали..он написал прогу попробовали ей перебирать ...он твёрдо утверждает что там нет побайтной верефикации

..только поблочная 256 байт

Boryan добавил 06-11-2010 в 04-06
вот кусок лога попытки побайтной верефикации....чип проглатывает всё и не даёт отрицательных ответов что верификация не прошла....на всё положительный ответ что всё ок.
send: 01 01 00 FF 03
get_com_1: 02 01
get_com_2: 06 F9 03
send: 01 05 90 04 00 00 04 63 03
get_com_1: FC
send: 01 07 13 00 00 00 00 00 FF E7 03
get_com_1: 02 01
get_com_2: 06 F9 03
send: 02 01 00 FF 03
get_com_1: 02 02
get_com_2: 06 0F E9 03
send: 01 07 13 00 00 00 00 00 FF E7 03
get_com_1: 02 01
get_com_2: 06 F9 03
send: 02 01 01 FE 03
get_com_1: 02 02
get_com_2: 06 0F E9 03
send: 01 07 13 00 00 00 00 00 FF E7 03
get_com_1: 02 01
get_com_2: 06 F9 03
send: 02 01 02 FD 03
get_com_1: 02 02
get_com_2: 06 0F E9 03
send: 01 07 13 00 00 00 00 00 FF E7 03
get_com_1: 02 01
get_com_2: 06 F9 03
send: 02 01 03 FC 03
get_com_1: 02 02
get_com_2: 06 0F E9 03

Alex706 · 06.11.2010, 17:57

Boryan, об этом еще страницы 3 назад писали что нет там побайтной верификации. Мне кажется что декап, последний способ выдрать прошивку

Boryan · 06.11.2010, 19:06

Alex706, я описал верный способ вытащить прошивку чуть выше..сейчас один чел нам вытаскивает именно этим способом..других способов нет!!!

dreamwait · 06.11.2010, 23:30

Ну раз есть необходимость читать писать контроллер - попробую помочь, опыт есть - на спутниковом тренировался, когда карты +++ только ленивый не прошивал...Будет результат - отпишусь.
Только здесь обсуждается несколько контроллеров - какой мучить?

Alex706 · 07.11.2010, 00:43

dreamwait, nec501 мучай

Alex706 добавил 07-11-2010 в 12-43
zero248, в москве делают, стоит около 2тр

Boryan · 07.11.2010, 11:58

dreamwait, только не всё так просто...501 продаются в москве 120 руб штука. Но сложности с программатором хотя по UART чип зацепить легко..но нет софтины соответствующей ....пока из доступных только флашпрог..но он пишет целиком всю микруху..а нужно писать выборочно блоками. Пока в это всё и упирается.

lport3 · 07.11.2010, 14:12

Сообщение от Boryan

dreamwait, только не всё так просто...501 продаются в москве 120 руб штука. Но сложности с программатором хотя по UART чип зацепить легко..но нет софтины соответствующей ....пока из доступных только флашпрог..но он пишет целиком всю микруху..а нужно писать выборочно блоками. Пока в это всё и упирается.

Уже есть код, который хотите лить?

Oper.kh · 07.11.2010, 15:56

Есть бредовая идея. В общем встречал такое, что некоторый софт для контроллеров не записывает байты прошивки, которые равны 0xFF, типа у стёртой памяти все биты равны "1" и их незачем переписывать. В общем можно попробовать тестануть: купить 501, залить туда какуето тестовую прошивку, потом в ней оставить начало несколько байт, а остальные забить FF, залить вторую(без стирания), считать контроллер и посмотреть вышло или нет.

Yokel · 07.11.2010, 16:25

Сообщение от Oper.kh

Есть бредовая идея. В общем встречал такое, что некоторый софт для контроллеров не записывает байты прошивки, которые равны 0xFF, типа у стёртой памяти все биты равны "1" и их незачем переписывать. В общем можно попробовать тестануть: купить 501, залить туда какуето тестовую прошивку, потом в ней оставить начало несколько байт, а остальные забить FF, залить вторую(без стирания), считать контроллер и посмотреть вышло или нет.

он не считывается!

Boryan · 07.11.2010, 17:27

lport3, пока кода нет...но его можно написать

Есть на примете у меня люди которые могут это сделать..но нужно софтину написать которая будет блоками шить/стирать 501 чип..а это уже к тебе...на тебя вся надежда

Boryan добавил 07-11-2010 в 05-27
Oper.kh, 78 серия нэков не имеет функции чтения извне ..только запись и стирание