Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 34

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

Aunoor · 30.07.2010, 10:00

Сообщение от Alex14435

И что нам даст прошивка чипа батареи? Если у сони спец батарея с отдельной программой то это нам не поможет.

Про сискон уже сказали. Скажу про батарею. Даже в обычной батарейке очень много интересного (про команды-убийцы напоминать не надо?

), получив дамп с чипа мы узнаем почти полный алгоритм взаимодействия. К тому же может быть приятный сюрприз в виде не задействанного куска кода для сервиса. Этого мало?

**Alex14435** · 30.07.2010, 18:11

SYSCON с 200х плюс плата-переходник позволит восстанавливать брикнутые 3000. Хотя и не за пару минут но всё же заработок будет довольно приличный

kolio · 31.07.2010, 09:27

Сообщение от Alex14435

SYSCON с 200х плюс плата-переходник позволит восстанавливать брикнутые 3000. Хотя и не за пару минут но всё же заработок будет довольно приличный

ну так вперед! кто тебя держит? или тебе подарить 2000ку и 3000ку для тестов? я понимаю - чужими руками жар загр***** легче. Но если хочешь помочь - действуй! Все только ЗА!

**Alex14435** · 31.07.2010, 12:04

Я вот и ищу где бы заказать подобный переходник... Знакомый с завода вечно занят, а Боря на отдыхе, распиновку контактов ищу

Yoti · 02.08.2010, 20:53

Немного инфы насчёт хардварного метода:
lan.st/showpost.php?p=12076&postcount=9
Или же сама тема: lan.st/showthread.php?t=1799

kolio · 04.08.2010, 13:14

Boryan, проверь личные сообщения. я тебе написал

**Alex14435** · 08.08.2010, 19:10

Борис куда то исчез... Кто нибудь может подкинуть распиновку контактов сискона 2000 и 3000? Нашел того кто сделает переходник. Осталось найти какие ноги куда переставлять чтоб заработало. Хотя не знаю что будет после пересадки, попробовать можно

**erutan** · 08.08.2010, 22:04

удачи вам, ребят! скрещу пальцы
"все, что написано, можно взломать"

ZallZall · 17.08.2010, 02:17

Сообщение от Alex14435

SYSCON с 200х плюс плата-переходник позволит восстанавливать брикнутые 3000. Хотя и не за пару минут но всё же заработок будет довольно приличный

Кто нашел datasheet на SYSCON с 200х и SYSCON с 300х (MB44C018 и MB44C015 получается) дайте ссылку.

Yoti · 17.08.2010, 13:51

А ты нам что? =)

kolio · 17.08.2010, 16:35

Правильно Ёти! Так держать

простой закон физики - ничто не рождается из ничего. Чтобы просить - нужно сперва, что-то дать.

Yoti · 17.08.2010, 17:26

Интересная информация про "железный метод": http://lan.st/showthread.php?t=3013&page=8
Буржуи слегка поделились своими мыслями и действиями.

ZallZall · 18.08.2010, 01:18

Сообщение от Yoti

А ты нам что? =)

Ну как знаете...
Я переходник мудрить собирался вообще то. Помоему и так должно быть понятно, если даташиты а не разводку прошу.

ZallZall добавил 18-08-2010 в 01:09

Сообщение от Yoti

Интересная информация про "железный метод": http://lan.st/showthread.php?t=3013&page=8
Буржуи слегка поделились своими мыслями и действиями.

Ничего железного я там не прочел... если есть еще предложения по железному методу - предлагайте - железно могу много чего сделать.

ZallZall добавил 18-08-2010 в 01:13

Сообщение от Alex14435

Я вот и ищу где бы заказать подобный переходник... Знакомый с завода вечно занят, а Боря на отдыхе, распиновку контактов ищу

Я не прошу распиновку - дайте мне даташиты там вся распиновка есть - дальше я сам разберусь и без знакомого с завода и без Бори.

ZallZall добавил 18-08-2010 в 01:18

Сообщение от kolio

Правильно Ёти! Так держать

простой закон физики - ничто не рождается из ничего. Чтобы просить - нужно сперва, что-то дать.

Заметить не трудно, это мои первые сообщения в этой ветке, читаю ее с самого начала - дали идею - хочу попытаться ее реализовать - все законы в равновесии получаются, не беспокойтесь, я не прехлебатель... просто кидать сообщения ни о чем считаю для себя плохим тоном. Спасибо.

Yoti · 18.08.2010, 03:41

Плохо читал, значит. Там есть информация, относящаяся к вышеуказанному методу и ранее упомянутому предложнию.

Oper.kh · 18.08.2010, 11:25

ну, вот, взяли обидели ZallZall. Он вам очень хорошую помощь предлагает, а вы его так отвергаете. Создать BGA переходник довольно трудоемкая работа, требующая спец оборудование (фен и трафареты, при чем китайские трафареты не катят) + трудоемкая работа развода дорожек.

З.Ы. Облазил кучу поисковиков, в том числе и множество японских, в поисках даташитов, но к сожалению ничего не нашел.

**Alex14435** · 18.08.2010, 15:02

Так нет нигде даташита. Я даже разводку не могу найти. Это всё соневские тайны, фиг кто даст

Yoti · 18.08.2010, 18:05

Oper.kh,
а в чём проблема то? Было предложение железно достучаться декапом, по моей ссылке обсуждение: кто бы этим мог заняться, как к ним обратиться и т.д. Если человек не смог этого увидеть в тексте - это его проблемы. На что тут обижаться? На то, что я лучше английский текст воспринимаю? Да ради гипножабы, пускай обижается.

**VanSardis** · 18.08.2010, 22:20

...какое то смутное предчувствие, что тему можно закрывать ...
:-)))))))))

kolio · 19.08.2010, 08:43

Сообщение от Yoti

Oper.kh,
а в чём проблема то? Было предложение железно достучаться декапом, по моей ссылке обсуждение: кто бы этим мог заняться, как к ним обратиться и т.д. Если человек не смог этого увидеть в тексте - это его проблемы. На что тут обижаться? На то, что я лучше английский текст воспринимаю? Да ради гипножабы, пускай обижается.

не горячись. я сегодня буду звонить далекому знакомому. он связан с микрухами с ногами и руками.
мы как раз с ним и хотели провести аттаку на PIC микроконтроллер.
поговорю с ним. авось согласится принять участие
------------------------------------------
почитав диссертацию Скоробогатова. Я увидел, что он ломал защиту NECов с помощью атаки Power glitch. В трех словах.
При старте микрухи на определенном такте просаживается напруга и резко повышается. В тот момент микруха должна как раз вычивать бит защиты. В итоге нифига оно его не считает и будет думать, что его не выставили.
Нормальные микрухи имеют защиту от такого подхода. Но эта как видимо не имеет. Он сказал, что это старая микруха как свет земной.

и 2й вариант когда можно обмануть: подаем команду стереть прошивку. и в тот момент когда она сотрет бит защиты нужно погасить напругу. и микруха не успеет стереть сами данные.
но этот момент тоже нужно найти

есть еще защита - микруха случайным образом иногда выполняет команды в 3-4 раза дольше. и тогда происходит смещение по времени. это уже как повезет получается
---------------------------
увы знакомый в нашем деле не поможет. но это не повод сложить руки

sasiska12 · 22.08.2010, 14:21

Господа, заканчивайте срач, тема не об этом!