BaryonSweeper - эмулятор сервисной батарейки JigKick для анбрика PSP-3000

[khubik]

sweeper.css

Baryon Sweeper

Эмулятор сервисного инструмента JigKick

с возможностью восстановления PSP-3000 на базе TA-090 и TA-092

За чуть более, чем десять лет все пользователи PSP-3000 и позднее свыклись с тем, что их консоли не поддаются восстановлению в домашних условиях из соображений "безопасности" Сони. По сей день владельцы этих консолей боятся брика, как огня. Поскольку гарантия на все PSP уже закончилась, брикнутые PSP поздних моделей отправляются разве что на запчасти, либо в долгий ящик, откуда бы не вернулись никогда... если бы не существовала эта тема

Благодаря усердному труду известных хакеров сцены PlayStation (zecoxao, Proxima, Mathieu Hervais) на костях до недавнего времени закрытой темы по взлому батарейки Пандоры на PSP-3000 было продолжено дело Бори - были успешно сдамплены прошивки системных контроллеров некоторых поздних моделей, а из них были получены ключи системного контроллера, используемые для генерации шифрованных запросов 0x80 и 0x81, отсутствие которых в потребительских батарейках поставило крест на легкодоступной Пандоре.
Proxima создал скрипт, позволяющий генерировать требуемые ответы.
Применить это к физическим PSP можно только при наличии эмулятора контроллера батарейки - того, что мы всей командой хотим Вам представить.

Видеоинструкция по анбрику PSP-3000 (доступны русские субтитры!)

Демонстрация работы BaryonSweeper на 3000 TA-090 (спасибо Yoti за снятие проклятья безэкрания!)

BaryonSweeper стал возможен благодаря:

• M4j0r - помощь в эксплуатации глюка Voltage Fault Injection сискона;
• Wildcard, Sean Shablack aka Kyp40 aka FBIsoBOT - Эксплуатация глюка и дамп сискона;
• Proxima - обратная разработка прошивки сискона, скрипт генерации ответов на запросы аутентификации;
• khubik - код эмулятора батарейки, порт скрипта генерации ответов, дизайн интерфейса;
• dogecore - порт скрипта генерации ответов, починка потоков, код интерфейса;
• Mathieu Hervais - код хоумбрю decrypt_os2, decrypt_sp;
• SSL/Zerotolerance - возможность обратного шифрования для расшифрованных файлов;
• zecoxao - порты decrypt_os2 и decrypt_sp на ПК, обеспечение платами, помощь в порте скрипта генерации ответов;
• Yoti - улучшения decrypt_sp, MSID Dumper, PSP-3000 для тестов (<3), участие в теме взлома Пандоры PSP-3000;
• EriKPshat - информация о JigKick, участие в теме взлома Пандоры PSP-3000, инструкции по созданию комплектов Пандоры, создание официального сервисного комплекта JigKisk PSP-100x/200x из дампа оригинальной сервисной карты;
• Boryan, lport3, dx3d, stasik007 и многие другие из темы взлома Пандоры PSP-3000 - записи коммуникации батарейки и PSP, обратная разработка протокола коммуникации, схемы аппаратного обеспечения для взаимодействия с PSP и многое другое...

PSP-1000: поддерживаются все модели, необходимости в клоне официальной карты JigKick нет.
PSP-2000: поддерживаются все модели; клон официальной карты JigKick или DdC V9 необходим только TA-088v3 (DATE CODE 8C).
PSP-3000: частичная поддержка, матплатам от TA-093 и старше требуется официальной карты JigKick - 90v2 и 92 могут использовать DdC V9!

• TA-090v2 (DATE CODE 8C, 8D, 9A, 9B) - поддерживается
• TA-092 (DATE CODE 9B, 9C) - поддерживается начиная с R6
• TA-093 (DATE CODE 9D, 0A, 0B, 0C) - поддерживается
• TA-095v1 (DATE CODE 0C, 0D) - поддерживается в pysweeper, требуется клон карты JigKick
• TA-095v1 (DATE CODE отсутствует) - поддерживается в pysweeper, требуется клон карты JigKick
• TA-095v2 (DATE CODE 1A, 1B, 1C, 1D) - поддерживается в pysweeper, требуется клон карты JigKick

PSP-N1000 (PSPgo) - не поддерживается
PSP-E1000 (PSP Street) - поддерживается, но отсутствует образ карты

Поддержка моделей, указанных в списке как неподдерживаемые ожидается и вводится по мере дампа и обратной разработки прошивок системных контроллеров. Точных дат нет, просим вас не требовать добавить новые консоли - это будет сделано сразу же, как только будут получены ключи для конкретной модели.
Также идёт поиск решения проблемы с отсутствием дампов карт JigKick, способных восстанавливать консоли с минимальной версией прошивки 6.30 и выше - скорее всего, поддержка таких консолей появится в последнюю очередь.
Решение нашлось - уважаемые draanPSP и balika001 смогли создать собственную карту Пандоры со своим IPL, поэтому теперь зависимости от официальных карт JigKick у нас больше нет
https://twitter.com/balika011/status...917561345?s=20

Создание аппаратной части эмулятора батареи

Для изготовления потребуется конвертер из USB в TTL (подойдёт Arduino с замкнутыми RESET и GND), резистор на 10 кОм, диод 1N4148 и немножко креатива с тем, как подключить землю и сам однопроводный UART (он же K-Line) к PSP, причём не допустив к среднему контакту родную батарею PSP
Авторский метод - через жертвенную батарею либо изоляцию контакта на уже существующей. Не забудьте соединить земли USB-TTL с PSP, иначе ничего не заработает.

Альтернативу реализовал dee098 - вам не потребуется компьютер и USB-TTL-адаптер, лишь Arduino, что делает возможным реализацию портативного инструмента восстановления. Пока только для продвинутых пользователей, способных без посторонней помощи поменять ответы на требуемые запросы, скачать здесь - pspSerial_v01_20210116 (1).7z
Если хотите превратить вариант с Arduino / ATMega328p в конечный продукт и у вас хватает на это усидчивости и терпения - Valera0141 с некоторой помощью от dee098 сделал свой проект портативной сервисной батарейки.

Что такое USB-TTL преобразователь?

USB-TTL преобразователь определяется в системе как последовательный порт, обеспечивая согласование уровней и, собственно, связь с устройствами, использующими UART (как в нашем случае). Может быть исполнен в схожести в флешкой или как кабель.

1-USB-TTL.png

Коммуникация с устройствами происходит через пины RX (как правило - белый) и TX (как правило - зелёный). Также обязательно соединять землю. Для общения с PSP нам требуется объединить 2 провода в 1 - для этого необходимо сделать переходник на однопроводный UART. Схемы даны ниже.

Предельно простая схема переходника на однопроводный UART (K-Line) и подключение к USB-TTL на диоде и резисторе

ApplicationFrameHost_RLJtJKtjC8.png

Более надёжные схемы на логических элементах И-НЕ

Схема переходника на однопроводный UART (K-Line) и подключение к USB-TTL для К561ЛА7, CD7400 и их полных аналогов

NgeRL37.png

3.3 - 5V - питание
Ground - земля
PSP middle contact - однопроводная шина, идущая в средний контакт PSP
Не забывайте про цоколёвку микросхем (дуга слева). Не забудьте соединить резистором на 200-300 ом замкнутые нижние крайние две ноги с третьей справа верхней ногой.

Схема переходника на однопроводный UART (K-Line) и подключение к USB-TTL для CD4011 и её полных аналогов

3-CD4200.png

Выполняется по аналогии с предыдущим за исключением чуть другого расположения выводов.

Если вы собрали всё правильно, убедились в наличии общей земли между адаптером, консолью и компьютером, желательно всё прозвонили - попробуйте запустить COM-терминал (например, Termite), подключиться к USB-TTL и вставить псевдобатарею (если у вас нет возможности чем-то заменить контактную группу батарейки, можете попробовать такой способ - использовать родную батарею, изолировав средний контакт и поместив на его место проводок от однопроводной шины). Если увидите пакеты типа 5A 02 01 A2 - поздравляем, собрали правильно, можете приступать к следующему шагу.
Если что-то не заработало - убедитесь в работоспособности USB-TTL адаптера, в правильности и надёжности подключения и в том, что земля адаптера соединена с землёй PSP - это обязательно! Если не заработает, можете попробовать поменять TX и RX местами - они могут быть перепутаны на самом адаптере
В противном случае, собирайте один из двух вариантов с микросхемой.

Насчёт этого вам следует обратиться за инструкцией в любую из этих тем:

• Здесь пункт: "Подготовка" и "Создание"
• Здесь пункт: "Шаг 6 - подготавливаем волшебную карту памяти Pandora" (наглядно с картинками)
  Либо вы можете воспользоваться моей утилитой Jig Replicator.7z (для создания карты Пандоры а-ля Despertar Del Cementerio, выбирайте кругляш с девятой версией)
  
  

1. Вставьте карту памяти (с обычной Пандорой или клоном официального JigKick по необходимости) в PSP.
2. Подключите свой USB-TTL преобразователь, к которому прилажен переходник на однопроводный UART (K-line), ведущий в PSP.
3. Скачайте и распакуйте архив с программой последней версии и откройте baryonswp.exe. Как правило, он лежит в папке baryonswp/bin/Release.
4. Убедитесь, что земли всех звеньев в цепи связаны, иначе ничего не выйдет!
5. Нажмите на кнопку Start Service и подключите вашу PSP. Соединение будет логироваться в Connection Monitor.
6. Для запуска в сервисный режим укажите серийный номер FFFFFFFF.
   Если PSP или COM-порт будут отключаться при подключении батареи к PSP - вероятно, не хватает тока.
7. В сервисном режиме дождитесь надписи "OK" на весь экран. Процесс восстановления завершён.

Всем удачного поднятия кладбищ, ждите вестей о более поздних моделях. В архиве с каждой версией- исходный код на растерзание.

Критические обновления (с поддержкой новых моделей) будут отмечены зелёным цветом.

• pysweeper (Git) - https://github.com/khubik2/pysweeper
  
• Baryon Sweeper R10 - R10(210221).7z
  
  Что изменено:

  • Логирование эха настоящего ответа вместо ожидаемого
  • Исправлено форматирование ответа при выводе
  • Добавлен ключ 08 для PSP Slim (2000)
  • Уменьшено потребление ЦП
• Baryon Sweeper R7 - R7(230121).7z
  
  Что изменено:

  • Теперь чексуммы не выводятся одной цифрой вместо правильного хекс-байта
  • Добавлена возможность отключить оповещения о отсутствующих ключах
  • В случае отсутствия ключа 08 оповещение теперь другое, так как его отсутствие некритично
• Baryon Sweeper R6 - R6(180121-2).7z
  
  Что изменено:

  • Убран COM-монитор, по непонятной причине нарушавший работу эмулятора
  • Эмулятор переведён на старую схему ожидания сообщения в буфере
  • Добавлены ответы на запросы, необходимые для перехода к шифрозапросам 80-81 на TA-092 и выше
  • TA-092, похоже, случайно заработала
• Baryon Sweeper R4 - R4.cliFix(170121).7z
  
  Что изменено:

  • Исправлены фактические ошибки:
    • Добавлен сколько-то правильный монитор COM порта
    • Бывший "монитор" переименован в Program Log
  • Теперь эмулятор ждёт только следующий байт в пакете, а не весь пакет целиком
  • Теперь входной и выходной буфер порт перед началом эмуляции очищаются
  • Обновлён About
• Baryon Sweeper R3 - R3(170121).7z
  
  Что изменено:

  • Исправлено неправильное поведение при запуске с пустой графой COM-порта
  • Добавлены кнопки для быстрого выбора режима эмулируемой батарейки
  • Мелкие исправления интерфейса
• Baryon Sweeper R2 - R2(150121).7z
  
  Что изменено:

  • Добавлена блокировка всех кнопок, кроме остановки во время работы
  • Добавлен ответ на запрос 0x16 (нужно для поддержки всех PSP-3000 в будущем)
  • Вторая часть ответа на 0х80 теперь случайна (аккуратная имитация поведения сервисной батарейки)
  • Обновлены благодарности в About, добавлена ссылка на английскую тему в Restore Guide
  • Добавлен вывод отладочных сообщений генератора ответов на шифрозапросы (галочка в правом нижнем углу)
  • Теперь случаи, в которых ключи для консоли отсутствуют, обрабатываются правильно
• Baryon Sweeper R1 - начальный релиз (поддержка только TA-090) - baryonswp.7z

Источник: https://t.co/jI0HeeGaks

[khubik]

Сообщение от dee098 Кто нибудь пробовал портировать алгоритм на микроконтроллеры ? Хотелось бы уместить это в корпусе от батарейки без всяких внешних проводов.

пытался сделать на арду но усердия немного не хватило на это. но если этим заниматься, надо идти до конца с повторением максимума из функционала заводского контроллерач чтобы не стыдно было но постоянку воткнуть

[Valera0141]

Если проект доведут до ума, то готов перенести всё это на ардуино и разработать плату для изготовления компактного устройства. У самого есть в наличии psp с мат платой ta-093. Можно ли её оживить данным способом?

[khubik]

Сообщение от Valera0141 Если проект доведут до ума, то готов перенести всё это на ардуино и разработать плату для изготовления компактного устройства. У самого есть в наличии psp с мат платой ta-093. Можно ли её оживить данным способом?

где довести до ума-то? если вы видите изъян или иной признак "неумного" поведения - говорите сразу, не заставляйте переспрашивать
поддаются восстановлению на данный момент только ta-090

[dee098]

Вопрос по автобуту на PSP2000 и выше работает нормально но на PSP1000 (тестировал на 3х материнках) начинает стартовать и затыкается.Они еще не поддерживаются?

Initialized port COM6 Using serial number 00000000 Service ready. Please connect your PSP™. 5A 02 01 A2 A5 05 06 10C306 76 5A 02 0C 97 A5 06 06 00000000 4E 5A 0B 80 0023DA5564BC2DE551 45 A5 12 06 3882A70C0ACE1E2A AAAAAAAAAAAAAAAA 65 5A 0A 81 E587BF558BBE463E CD A5 0A 06 785AA8BC4B94BC26 A5 Initialized port COM6 Using serial number 00000000 Service ready. Please connect your PSP™. 5A 02 01 A2 A5 05 06 10C306 76 5A 02 0C 97 A5 06 06 00000000 4E 5A 0B 80 004C2FA0A0FA3CF538 FC A5 12 06 A886A5DD9FC82A8C AAAAAAAAAAAAAAAA 25 5A 0A 81 E587BF558BBE463E CD A5 0A 06 785AA8BC4B94BC26 A5 Initialized port COM6 Using serial number 00000000 Service ready. Please connect your PSP™. 5A 02 01 A2 A5 05 06 10C306 76 5A 02 0C 97 A5 06 06 00000000 4E 5A 0B 80 00EDB4B3633B9956D5 64 A5 12 06 D45B0E0EE4FEF0A3 AAAAAAAAAAAAAAAA 32 5A 0A 81 E587BF558BBE463E CD A5 0A 06 785AA8BC4B94BC26 A5

[khubik]

Сообщение от dee098 Вопрос по автобуту на PSP2000 и выше работает нормально но на PSP1000 (тестировал на 3х материнках) начинает стартовать и затыкается.Они еще не поддерживаются?

работа автобута не проверялась на 1000, но на ключевые запросы отвечает правильно, по крайней мере 0х80. консоль не включается, даже с рычажка?

[dee098]

Сообщение от khubik консоль не включается, даже с рычажка?

Да. Не включается( ни с нуливым серийником или просто нормальным серийником).

[zecoxao]

VIDEO (Brazil)

[Valera0141]

Сообщение от khubik где довести до ума-то? если вы видите изъян или иной признак "неумного" поведения - говорите сразу, не заставляйте переспрашивать поддаются восстановлению на данный момент только ta-090

Я про то, что доделают работу со всеми моделями

[poopman]

Any idea when newer motherboards like TA-093 will be supported?

Thanks

[Valera0141]

Подскажите пожалуйста. Пробовал запустить на трёх псп (одна 3008 на ta-093 рабочая, другая такая же, только брикнутая во время прошивки, и третья 2008 рабочая непрошивайка на мамке ta-088) в сервисный режим (FFFFFFF) и автобут (00000000). Коды в терминале в ответ бегут, типо всё ок. Но ни одна из них не заводится, светодиод питания не загорается. Куда можно покапать? Пробоал на 2 акб, оба исправные. Так же пробовал подключить 3.7 вольт с источника питания на контакты батареи, но это не помогло. Я так понимаю, что ещё коды для этих плат не добыты?

[megaman07]

Пока работает с та-090... скорей всего та, которая была в донорах у авторов... в исходниках софта алгоритм такой: считывание данных о приставке - формирование пакета перевода в сервис.режим и отправка. Для разных плат свои данные формирования пакетов, поэтому придется подождать...

[dee098]

Сообщение от dee098 Вопрос по автобуту на PSP2000 и выше работает нормально но на PSP1000 (тестировал на 3х материнках) начинает стартовать и затыкается.Они еще не поддерживаются?

Если кому интересно для PSP1000 вторая половина ответа на Sys_con Challenge 1 не должена быть промаскированна AAAAAAAAAAAAAAAA и тогда тело заводится. Так что как раз таки 0x80 и отвечает не верно.
Рабочий пример на PSP1000

>> 5A0B80000C7A405F7E786EE5AC + 000C7A405F7E786EE5 << A51206820EB92AE928206157D238A0ED05D288F0 >> 5A0A81A93ACCA8B9AECFD0BD + A93ACCA8B9AECFD0 << A50A069EC3755C1A4ABF7A7B

[khubik]

Сообщение от dee098 Если кому интересно для PSP1000 вторая половина ответа на Sys_con Challenge 1 не должена быть промаскированна AAAAAAAAAAAAAAAA и тогда тело заводится. Так что как раз таки 0x80 и отвечает не верно. Рабочий пример на PSP1000

вторая часть ответа на запрос 0х80 может быть абсолютно любой - она не проверяется в контексте этого запроса, она используется только для генерации запроса 0х81. шифроответ - только первая часть. сам факт того, что вы у себя дошли до 0х81 означает, что 0х80 ошибки быть не может. раскомментируйте строчку 363 и скомпилируйте программу самостоятельно - сможете увидеть ожидаемый запрос 0х81. если не совпадает с тем, что приставка на самом деле выдаёт - скорее всего, используется другой алгоритм. если это случится - у нас нет на руках psp-1000 и дампа её сискона, чтобы это исправить.

khubik добавил 14.01.2021 в 16:12

Сообщение от Valera0141 Подскажите пожалуйста. Пробовал запустить на трёх псп (одна 3008 на ta-093 рабочая, другая такая же, только брикнутая во время прошивки, и третья 2008 рабочая непрошивайка на мамке ta-088) в сервисный режим (FFFFFFF) и автобут (00000000). Коды в терминале в ответ бегут, типо всё ок. Но ни одна из них не заводится, светодиод питания не загорается. Куда можно покапать? Пробоал на 2 акб, оба исправные. Так же пробовал подключить 3.7 вольт с источника питания на контакты батареи, но это не помогло. Я так понимаю, что ещё коды для этих плат не добыты?

I really, really advise against asking for ETAs since we don't know them either.
Whenever the guys get the boot block from 95's syscon dump, actually. PSP-3000 dumper guy got unlucky with the boards he ordered, so this may take a little longer, but we REd this board's new quirk and all we need now is the key.

khubik добавил 14.01.2021 в 16:13

Сообщение от Valera0141 Подскажите пожалуйста. Пробовал запустить на трёх псп (одна 3008 на ta-093 рабочая, другая такая же, только брикнутая во время прошивки, и третья 2008 рабочая непрошивайка на мамке ta-088) в сервисный режим (FFFFFFF) и автобут (00000000). Коды в терминале в ответ бегут, типо всё ок. Но ни одна из них не заводится, светодиод питания не загорается. Куда можно покапать? Пробоал на 2 акб, оба исправные. Так же пробовал подключить 3.7 вольт с источника питания на контакты батареи, но это не помогло. Я так понимаю, что ещё коды для этих плат не добыты?

Посмотрите в список поддерживаемых консолей, ради Бога. На данный момент поддерживается только TA-090!

khubik добавил 14.01.2021 в 16:24

Сообщение от megaman07 Пока работает с та-090... скорей всего та, которая была в донорах у авторов... в исходниках софта алгоритм такой: считывание данных о приставке - формирование пакета перевода в сервис.режим и отправка. Для разных плат свои данные формирования пакетов, поэтому придется подождать...

"данные формирования пакетов"? "пакет для перехода в сервисный режим"?
Пакеты на всех консолях формируются по одинаковому плану - отличаются только коды операции (и то добавлением всего одного опкона на платах старше 090). Врагом номер один, не дающим запускать приставку в сервисный режим являются различные для разных консолей наборы ключей, которые используются для генерации шифрозапросов 0х80 и 0х81 и проверки ответов на них. Про "пакет для перехода в сервисный режим" от истины ушли недалеко - это серийник 0xFFFFFFFF, который передаётся одним пакетом, правда, потом надо правильно ответить на 80-81. А с донорами сисконов в лице TA-092 и выше у нас действительно напряг.

[dee098]

Сообщение от khubik вторая часть ответа на запрос 0х80 может быть абсолютно любой - она не проверяется в контексте этого запроса, она используется только для генерации запроса 0х81. шифроответ - только первая часть. сам факт того, что вы у себя дошли до 0х81 означает, что 0х80 ошибки быть не может. раскомментируйте строчку 363 и скомпилируйте программу самостоятельно - сможете увидеть ожидаемый запрос 0х81. если не совпадает с тем, что приставка на самом деле выдаёт - скорее всего, используется другой алгоритм. если это случится - у нас нет на руках psp-1000 и дампа её сискона, чтобы это исправить.

Я не могу это проверить так как переписал код под питон (не люблю я винду, а питон он везде питон) и на вскидку заметил только это отличие.
И да PSP вешалась после 0x81

[khubik]

Сообщение от dee098 Я не могу это проверить так как переписал код под питон (не люблю я винду, а питон он везде питон) и на вскидку заметил только это отличие. И да PSP вешалась после 0x81

могу попробовать старый китайский способ и последние 8 байт ответа на 0х80 (то что у меня заменено на AAAAAAAA) заменить на двойное AES по методу Proxima, проверьте будет ли работать

[dee098]

Сообщение от khubik могу попробовать старый китайский способ и последние 8 байт ответа на 0х80 (то что у меня заменено на AAAAAAAA) заменить на двойное AES по методу Proxima, проверьте будет ли работать

Где скачать?

dee098 добавил 14-01-21 в 0:Jan p

Сообщение от khubik пытался сделать на арду но усердия немного не хватило на это. но если этим заниматься, надо идти до конца с повторением максимума из функционала заводского контроллерач чтобы не стыдно было но постоянку воткнуть

Если возможно глянулбы твои наработки под ардуину может доведу до рабочего.
В любом случае хотел под него писать но Си не Питон прийдется попариться.

[khubik]

Сообщение от dee098 Где скачать? dee098 добавил 14-01-21 в 0:Jan p Если возможно глянулбы твои наработки под ардуину может доведу до рабочего. В любом случае хотел под него писать но Си не Питон прийдется попариться.

Уже можно пробовать. Только там не двойной AES, а рандом - как и должно быть.
Мои наработки под Ардуино закончились на приёме и парсе пакета - думаю, вы это в силах сделать самостоятельно.

[dee098]

Да парсить не проблема. Меня скорее волнует какую либу юзать по AES и влезит это все с ключами в 32К если компилить под Arduino или лучше сразу писать под gcc и не париться.

[zecoxao]

anyone test on TA092 yet? (if you have board)
please test!
thanks!

[dee098]

Сообщение от khubik Уже можно пробовать. Только там не двойной AES, а рандом - как и должно быть. Мои наработки под Ардуино закончились на приёме и парсе пакета - думаю, вы это в силах сделать самостоятельно.

PSP1000 - Baryon Sweeper R2 полет нормальный.