Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 15

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

Boryan · 28.04.2010, 01:06

Сообщение от lport3

_ttp://chiptuner.ru/content/kline/

----------------------
А брики не читают карточку?
Вообще, кто нибудь реально видел батарейку сервисную на 3000?

Реально и карточки сервисные на 3000 ни кто не видел

Но суть в том, что ТА90 (3000) и ТА88V3 (2000) почти одинаковые консоли всё одинаково кроме: добавлен микрофон, более качественный дисплей, новый sys con и power control и всё! И у тебя могут быть сомнения что соня решила в корне переделать переход в сервисный режим? Сомневаюсь....зная политику сони в ревизиях их консолей ещё с PS1....развитие идёт в сторону удешевления затрат на производство консолей...обединение нескольких чипов в один корпус....и т.д. я с сони начиная с PS1 работаю....и все ревизии их всех консолей проходили через мои руки....весь прогресс сони, это удешевление и максимум прибыли. Так что вкладываться в 3000 на корневое изменение алгоритма перевода в сервисный режим Сони ни когда не станет! Это её политика при неизменной цене на консоли удешевлять их себестоимость. Сравни внутри 1000 и 3000 и ты поймёшь что с 1000 сони имели минимум прибыли ..а с 3000 максимум выжимают....и вкладываться в существенные разработки и изменения они не станут....подкорректировать могут...

А посему старт только с батарейки

stasik007 · 28.04.2010, 01:23

надо попробовать побрутить запрос по 8009 и 800A - если батарейка вернёт одно и тоже тогда дело в японском юникоде - потомучто я раскопал что 8002, 8004 и другие комманды похожи на японские символы в юникоде - ниже перевод
8009:宁珂Дугу
800A:宁珂Дугу
80d9: дикие обезьяны

3 из剑传轩辕: Нориюки шрам ремонт техники改代码秘небес
http://www.5igames.net/xgwzll.asp?NewsID=1605 источник

может они на японском болтают ;-)

вот таблица юникода ашttp://www.okinawa.oiu.ac.jp/okinawa-cgi/cgi-bin/uni-kanji/8000.htm

Yoti · 28.04.2010, 01:39

stasik007,
они... РАЗГОВАРИВАЮТ???
---
Сорри, но имхо путь ложный... Хотя... Who knows...
---
> перевод пруфа на русский <

Boryan · 28.04.2010, 01:54

stasik007, эдак мы сами скоро узкоглазыми станем и балакать будем по ихнему

))) и иероглифы строчить научимся....а интересно как ипонцы спохмела умудряются писать свои закорючки....сложное наверно это занятие

)))

**Ins|der** · 28.04.2010, 02:32

Сообщение от stasik007

может они на японском болтают ;-)

=) а вдруг? мож раньше они просто по-японски базарили в довесок к полезной инфе, а теперь кодовое слово на японском используют)

Boryan · 28.04.2010, 02:47

Ins|der, ага...

и цифровая подпись сони которую все ищут ....есть ни что иное как : Все козлы а ипонцы колошие

)))

ANDPSP · 28.04.2010, 15:26

Сообщение от lport3

Цитата:
Сообщение от Boryan

lport3, схему девайса мне дай которым ты батарейку мучаешь и я сам 3000 помучаю...у меня есть немножко бриков 3000

_ttp://chiptuner.ru/content/kline/

По ходу нужно что то делать железячное с объединением RX и TX в один контакт, поскольку в лоб не заработало :-( если тупо повесить TX вместе с RX на центральный разъем, то в ответ будет тишина... А этот K-Line как раз и объединяет их.... Есть конечно второй вариант - на разобранных батарейках подпаяться непосредственно вблизи выходов RX и TX с контроллера - потом они объединяться в центральный контакт... ну а от контроллера изолировать или оба или RX - слушать он уже не сможет, значит и передавать ничего не будет...

Boryan · 28.04.2010, 17:47

ANDPSP, Самый простой вариант объеденить Rx и Tx через резисторы по 300 ом

GVr · 28.04.2010, 23:19

вот что-то похожее, не пригодится?
http://4pda.ru/forum/index.php?showt...post&p=1657539
http://4pda.ru/forum/index.php?showt...post&p=2749009
если нет картинок, нужна регистрация, как усех

Boryan · 28.04.2010, 23:34

GVr, Спасибо! очень ценная инфа! оказывается не одни мы мучаемся с батарейками

Ребята мож кто зареген на том сайте скиньте сюда схемку что в последней ссылке... в лом регится там

GVr · 28.04.2010, 23:43

http://slil.ru/29052129

Boryan · 29.04.2010, 02:50

ещё раз спасибо...

уже зарегился ..пригодится наверное

Схемку доработать (в выходные займусь этим) нужно и зацепить к эмулятору USB>COM на PL2303. Проверю как она работает с 3000 и если всё нормуль, то выложу доки как самостоятельно всё повторить... и будем тогда всем миром брутить зызу

Boryan добавил 29-04-2010 в 02:50
Мужики вот только в одном загвоздка....нужна прога терминал которая эмулирует батарейку...логи работы батарейки есть ...на их основе нужно прогу написать под винду..есть тут такие спецы? Я хочу зацепить Rx и Tx от PL2303 к батарейке вместо Rx и Tx которые идут с контроллера батарейки. Тем самым и зызы курочить не нужно будет ...правда придётся пожертвовать одной батарейкой

Думаю смысл моей задумки понятен....нужно полностью ответ батарейки эмулировать компом...ну и что бы в проге была возможность редактировать ответ батарейки...Понимаю сложная задача написать такую прогу....но всё же...мож кто возьмётся?

stasik007 · 29.04.2010, 13:27

на http://www.rxtx.org/ есть исходники к этой проге - может помочь.

Boryan · 29.04.2010, 17:26

Кто по буржуйски шпарит хорошо вот ссылка http://www.maxim-ic.com/app-notes/index.mvp/id/3358 на софтину которая батарейки от наладонников ковыряет.

ANDPSP · 29.04.2010, 18:26

железка нужна нормальная прежде чем софт ковырять, а то то есть контакт то нет контакта :-(
и еще намучаемся мы видать с таймаутами, потому что как не тыкался в начале а при считывании с ком-порта ( ReadFile(PortHwnd, bRead(0), 256, RetBytes, 0) ) в первом же ответе уже лежит куча байт соответствующая нескольким запросам-ответам... А при изолированном среднем контакте сразу 31 запрос выдается - начал ковырять COMMTIMEOUTS вроде удалось как то разделить запросы, т.е. получаю раздельно по 4 байта 5A 02 01 A2 и наверное смогу на них ответить, но зато количество запросов сократилось в итоге - вместо 31 всего живых 16-17.... куда остальные пропали фиг знает...
так что или так или все 31 запроса сразу..... и скорее всего эти 31 попытки и рассчитаны на какой то внешний дивайс или на полудохлый контроллер в батарейке который не будет таймауты выдерживать...

lport3 · 29.04.2010, 19:42

Скажите конкретно, что вам надо.
Я напишу.. не сложно.

Boryan · 29.04.2010, 19:55

lport3, Нужна прога которая работая через USB>COM на PL2303 подключенной по Rx и Tx к батарейке в точки Rx Tx вместо контроллера батарейки. Есно так как контроллер батарейки уже не сможет в таком варианте базарить с зызой по центральному контакту, то это должна делать прога. Есно она должна полностью эмулировать запуск батарейки до запроса серийника... Плюс у проги должны быть возможности редактирования ответа серийника и возможности ввести серийник 8 байт

Boryan добавил 29-04-2010 в 19:55
ну есно она ещё и слушать должна уметь

Boryan · 29.04.2010, 20:45

нашёл в своей коллекции батареек интересный экземпляр

серийник есть а епрома нету...

(не читается псп тулом) будем её изучать. .. Вообще принципиально новая схема контроллера батарейки..

**Ins|der** · 29.04.2010, 20:52

Boryan, может в самом контроллере ПЗУ есть, где намертво серийник вшит?

Boryan · 29.04.2010, 21:00

Сообщение от Ins|der

Boryan, может в самом контроллере ПЗУ есть, где намертво серийник вшит?

Вообще непонятка U3 это ключ защиты по току батарейки и от короткого замыкания....остаётся U4.....чота мало напоминает контроллер....мож новая разработка...весь урезанный с минимумом функций ? Есть 5 точек подключения наверняка Jtag ...через него и пишут в контроллер ...мож это то что нам нужно и если бы у него был серийник ff то 3000 запустилась бы. Завтра батарейку дам Стасу пусть с неё лог снимет..или позже сам сниму..