Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 5

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

Saros · 22.04.2010, 23:07

Внесу свою лепту в благое дело старым добрым копипастом. Нагуглил данную информацию(!!!требуется ее проверка, инфа 2007 года!!!):

Packet Types:

type  descri ption          data    reply from battery   remark 
0x01  request status       none    unknown_flag:u8      
                                   energyleft_mAh:u16    
0x02  request temperature  none    temperature:u8       cercius degree, min/max value unknown 
0x03  request voltage      none    voltage_mV:u16        
0x04  request current      none    current_mA:short     positive if charging battery 
0x07  request capacity     none    capacity_mAh:u16 
0x09  request timeleft     none    timeleft_min:u16     XMB showing not this value 
0x0c  request serialno     none    serialno:u32         suspected 
0x80  request auth?        9byte   16byte               encrypted data/reply 
0x81  request auth?        8byte   8byte                encrypted data/reply

type  descri_ption          data    remark 
0x05  reply from battery   none    NAK, BCC error and so on?? 
0x06  reply from battery   *       ACK, with reply data

На сколько вижу дампы протокола, таблица типов подходит. Единственное - непонятен алгоритм "рукопожатия" 0x80 - 0x81

ErikPshat · 22.04.2010, 23:11

ivan_helsin, а что там расследовать. Там контроллёры питания одинаковые, что и на предыдущих матплатах. Так что аккумуляторы одинаково реагируют. Разница только в PRE-IPL проца на 88v3, который контролирует IPL пандоры на подлинность. А в 3000 другой контроллёр питания.

Saros, ух ты, это похоже на что-то. Проверка серийника совпадает по 0С

lport3 · 22.04.2010, 23:30

мда.
Saros, гдеж ты был 2 часа назад...гы
все совпадает, кроме $04 , по моему это
16 бит статуса зарядки батареи, в %

На сколько вижу дампы протокола, таблица типов подходит. Единственное - непонятен алгоритм "рукопожатия" 0x80 - 0x81

ну тут врят ли кто то скажет (соньковцы не в счет )).

Saros · 22.04.2010, 23:42

Сообщение от lport3

все совпадает, кроме $04 , по моему это
16 бит статуса зарядки батареи, в %

Не соглашусь. Пример из дампа:
запрос
5A 02 04 9F
ответ
A5 04 06 9A FF B7

0xFF9A - многовато для %, а current_mA:short- в самый раз

lport3 · 22.04.2010, 23:49

Сообщение от Saros

Не соглашусь. Пример из дампа:
запрос
5A 02 04 9F
ответ
A5 04 06 9A FF B7

0xFF9A - многовато для %, а current_mA:short- в самый раз

FF9A/FFFF*100=99,..%
Впрочем, не настаиваю )
Это не самое интересное, главное, что длинные сессии
все криптованные, а значит, эта метода не имеет большого интереса.

Saros · 22.04.2010, 23:55

Согласен, но результат дампа 3000-ой заслуживает внимания

**Ins|der** · 22.04.2010, 23:55

Saros прав, похоже мы тут придумываем велосипед: http://forums.ps2dev.org/viewtopic.php?p=57634#57634
(для тех, кто не силен в английском: подробно рассказывается о том, как была создана Пандора)

хотя тема все-равно нуждается в развитии =)

Boryan · 23.04.2010, 00:24

Ребят только что Стас был у меня и я дал ему 3000. Через часок ждите лог батарейки с 3000

Boryan · 23.04.2010, 00:52

Стас все ждут тебя

Boryan добавил 23-04-2010 в 00:52

Сообщение от ivan_helsin

Сорри, что вклиниваюсь, но, ребят, а вы параллельно будете обследовать аккум от ta-88v3 ?

Нету и не бывает АКБ для 2000 и 3000 и уж тем более для ревизий материнских плат

stasik007 · 23.04.2010, 01:25

добавил, подумав ПЕРЕДЕЛАЛ ПЕРВЫЙ ДАМП - Т**ЕРЬ ВСЁ С ОДНОЙ БАТАРЕЙКИ
3000===========30000========normal mode
connect battery serial - 0x3C0FB5E8
005A0201A2A50506100807305A020C97A506060F3CE8B5665A0B800A5EDD24BD1FAD15749FA51206
602E7B6CBAC1966E0F70A4BE1B71FBFCEA5A0201A2A50506100807305A020C97A506060F3CE8B566
5A0B8004E31135708809FDA748A51206A3F83CAC4078B2CB762256D2586D6AC2D95A0A811DF1367B
B45A90C7F6A50A0657A99BC4A88CA6E62B5A0201A2A50506000807405A0B8004EC919942D764D38D
23A5120630F2A3409FBDEAA7F15AAFEF25025792575A0A8172C9F2DD336099E202A50A06E511FC35
CD8B54EF8800

power on
5A0201A2A50506100807305A0203A0A504064510FB5A020C97A506060F3CE8B5665A0B800A16A25E
9ECDA0F77682A51206A988AACE43C2B3C06C4EE1730A8C31ED5F5A0201A2A50506100807305A0203
A0A504064510FB5A020C97A506060F3CE8B5665A0B80043BA522830074830E8CA5120663A988C046
B1BD68CC0CCFC8A1364A89B95A0A81063324BAB902721ABCA50A06D0334493071615330B

00

stasik007 добавил 23-04-2010 в 01:25
SERVICE MODE
CONNECT BATTERY

5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9C831D9C81C1D8429C1A51206FA
1A4CA5E46184DA2C5E52CFEE8CC2C6ED5A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D969E5C14C988C80350DA51206243826E65DC2CD99E58489AEA94C7392BB5A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D9C0FCFE119DE93DAE05A51206724258A8B31FF0D8DB
155DA9BB9B3018605A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9D1ECA40451
98BFBD77A512061D0D809D7165532B4215E6F4A1321F8FF55A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D9E581B9AE4E48C04AD4A512060AE741F44C7B2BC7A05E9BF31890B44A31
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9429979D16FCAB970BAA51206AC
CD4E05A1F8DE29C44ABC365F43F70C315A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D94BFB64EF6F9221FF87A5120687E8DA93C57D7A279B5ACF3AECB6264D705A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D9FAD52E9C88F787C8DAA512060131E5A757321EC456
CB7EAF286A3114F45A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D92C4D5E2FCA
0C19FA52A51206ECA0CFDF1F70DDAB19C8308DAA5D1359E05A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D969C88730B8D6CE52ABA512064B4FAE9C29D5E9D830D258A79DE2B5C2A8
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9FE55C83A54CA3FBCD3A51206D2
74C8F7AA5A1C30EAAB1FCEBAE64D700E5A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D98B805814E2783E37FBA51206BD0CB4F6B29F55052212BF22D1CD5831E85A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D9E20139E8D85719876EA51206BFC3C400E76474E828
80C0760B95F404DF5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9AC01EC14CD
3ECBD4EAA5120612941D64AAD7FCA6D9112D917BD77D1C655A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D9595DB82326E74BAEAAA51206FDA8B9B77B284D99C2E1910AB85DBC9EF7
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D98B4BCE3CAD1E4396BDA512063E
3FD172E2A2385731A5B371BD093FC3AD5A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D9A242F580F8582E5E0CA512064EF14C7989B6320407C67003088DD84AD25A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D95C5693CDBF3191109EA512065E55D47B0513A8AE60
2CE8A413E1F6D1FF5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D93BF6AE6DA1
560F618EA51206E8B9E7AA81EE052FCD1772CF24ED3DE7135A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D925BAFE264208B072D2A512060C257BFF0719D301609E8046E152FC852B
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9B185F1453E41A71B94A51206DB
A5449168C61901585AABF80FADDE12A45A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D91CA99014E364D2D3ECA51206EB7A6C62B5DD7063204F359A82693715355A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D9992CF94D557CF8026BA51206D3FA891C236A18BD13
62B95A4B7819CA405A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9B30A03705C
B1E3F928A51206CA3A651C0BB0E78D9B1EA6DC78AC75C8F25A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D986FA98B3F070CB1F2CA51206108E4AA908BC42D1F4E523ECEFDB1E56B4
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9661942E20888CE53EDA512066B
B6CA77EC96E820DBF2483AB93BB662FB5A0201A2A50506100707315A020C97A50606FFFFFFFF525A
0B80D9E8724B673F042F2A99A51206054B593FA194D01599B0CE00F13EE8D73B5A0201A2A5050610
0707315A020C97A50606FFFFFFFF525A0B80D9430FB0B611BE45E392A512066CA78E5EF9455FB724
8189359C8A94735F5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D9617677D1B8
CAEA2294A5120638CEA21B45D46DA4833E0D135A8657B08D5A0201A2A50506100707315A020C97A5
0606FFFFFFFF525A0B80D9B34F847D9232908C5EA51206687C1F0DE0A87ECC2C5E52CFEE8CC2C6B3
5A0201A2A50506100707315A020C97A50606FFFFFFFF525A0B80D910DC394A2A11DE1D9CA51206D3
563ED3F1BC2990E58489AEA94C73920800
=========================================================================
====3000=======3000==========AUTOBOOT=SN=00000000
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D993EAA3AAD2BB0C4B93A512060C
9AA8179FF33C032EFC650352D37C31A85A0201A2A50506100807305A020C97A50606000000004E5A
0B80D9928992A2EC0197F777A51206A65F9F3DB76879FDC44A94A42137B8FD795A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D9912EE503C3D4EF20F4A5120631D33A090DB77A7542
67D20257C002FBB75A0201A2A50506100807305A020C97A50606000000004E5A0B80D9D594A5D6B8
CE8CB695A51206F8DBEFF0CF4E32D4C716BAF8A54D9BDB765A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D92151979CFDCE2DABF9A512061354E301823BFA223668819A0A51F46BAB
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D9C5EBF69F1E4F48DA6DA512062E
5E4E89E3CFF7DADFEAF659A464D0FB715A0201A2A50506100807305A020C97A50606000000004E5A
0B80D9497828D161382E4080A5120621AAB3E7A04F9C70F6E5AC9914F2697DD65A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D9D387A864F680A9DDDFA5120636C909099A3BB63271
88B2509FB22649B95A0201A2A50506100807305A020C97A50606000000004E5A0B80D9ED611DB1AC
68F7B961A5120661488D73502D2ED731C3C4BFF14BE9BBC05A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D9F2666C7615A6C35534A5120625E76C052F3E8CAA688A4E2876C729ADA7
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D940B1F02F71C2C7D166A512069D
87C98C157976536C75DB2404EB807BA85A0201A2A50506100807305A020C97A50606000000004E5A
0B80D957A06DA5EAC8F50F82A512064BD27AF36DD0AF44AA6B9CDB7CB64108815A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D955DE87C34AEFD8466DA512061FCDE896117018FFE3
FBD8A5867CB71D0F5A0201A2A50506100807305A020C97A50606000000004E5A0B80D92064CCD3A8
D62497E5A512062A6B587F7376E2259FFB6BB2143F271D985A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D98CE557BAF359744BB4A51206926EE2871DAE78EB99E57B0B33957C7FE4
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D97A6F89B2F916CD2E13A51206C7
5632593D29B03C59AE45929A646F4EAF5A0201A2A50506100807305A020C97A50606000000004E5A
0B80D9883F4A2DE04050FD96A512060A73C54816F390F6B0AD2FDCA970FB5B525A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D956671569E37E268BF4A51206ACEB26F359D830BC92
F49532F3A911215A5A0201A2A50506100807305A020C97A50606000000004E5A0B80D9CAB27AD9F3
BCE336AAA51206EF0F4156D6FB046FCFCAE3FE12DED7BB6D5A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D99CA69F7F92B0DFEDD3A512068DD9711A5241AB820389F16A13DA740C3D
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D94E39BBB26135CE5297A5120699
218F2F8086470ED9FB171C680AF620E05A0201A2A50506100807305A020C97A50606000000004E5A
0B80D9B37C99961D1294EB35A51206D81714B1BA0D248E3A9B360F3BDA08C5195A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D9C071DFBDB487376D95A512061BD4EAA7315CF2C106
984BF2C7754E110C5A0201A2A50506100807305A020C97A50606000000004E5A0B80D9B3BE699DC4
C720E13EA512069E42E98E2903E1D2A777334E07CC560E365A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D9E6F46C9A9E94230705A5120695C837CE73D450FDDD9C5EF059589C8BAD
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D940542DDCDB14B29370A512064D
C54B1C63FB90C481476D421CEE211B5A5A0201A2A50506100807305A020C97A50606000000004E5A
0B80D952B612147E9ABE310CA51206D991A38AF4694479CB19880359F0B03FEA5A0201A2A5050610
0807305A020C97A50606000000004E5A0B80D9E72426A21EBB73889AA51206D3593C3DD810A4FF4B
D9BAE9E5609D4B1E5A0201A2A50506100807305A020C97A50606000000004E5A0B80D98733E0B0A4
47B17CDFA5120657E22A7533EB01FAFDEA68AD5CD4029A895A0201A2A50506100807305A020C97A5
0606000000004E5A0B80D9536AD3C1927002D517A51206A6506DF35390BF349FFB6BB2143F271DC8
5A0201A2A50506100807305A020C97A50606000000004E5A0B80D965BA35F93C7DF3B791A5120679
620B3D044CD0D399E57B0B33957C7F6500

Boryan · 23.04.2010, 01:37

Стас выложи хекс с автобут батарейкой

Saros · 23.04.2010, 01:40

Перевод в читаемый вид.

PSP-3000 с нормальной батарейкой.
Вставили АКК:

5A02 01 A2
A505 06 10F50248

5A02 0C 97
A506 06 A6B5C25ED3

5A0B 80 0ACE1E537CF79B52A0D1
A512 06 95A09C5118088D72A8AB64331A96B1E4D2

5A02 01 A2
A505 06 10F50248

5A02 0C 97
A506 06 A6B5C25ED3

5A0B 80 041E6855C3F5F0DCE1D6
A512 06 A58728AE08F07243A86ED563AD15C8D9E2

5A0A 81 75A6003A4656AFBEBC
A50A 06 D9378A8AD832EF9A93

5A02 01 A2
A505 06 00F50258

5A0B 80 045EB82EAB8066B9D2B6
A512 06 E0B4E8D460E5DE486884153DE7782E4E6E

5A0A 81 0FA1BEE2C2D3C40170
A50A 06 512457136FFD90B1BE00

Включили приставку:

5A02 01 A2
A505 06 10F50248

5A02 03 A0
A504 06 3F0E03

5A02 0C 97
A506 06 A6B5C25ED3

5A0B 80 0AD333BDA53475575553
A512 06 2D190FCAD0867FD9F85337715CBFE2A5 E0

5A02 01 A2
A505 06 10F50248

5A02 03 A0
A504 06 3F0E03

5A02 0C 97
A506 06 A6B5C25ED3

5A0B 80 04E501FF5C44836DFAA7
A512 06 6370E4490FF204B8E164AF51005910B225

5A0A 81 6520A0B70EFCE482CE
A50A 06 F1B654EE4326007187

stasik007 · 23.04.2010, 01:43

A50606A6B5C25ED3 - СЕРИЙНИК А ПОТОМ D3! А БЫЛО 77 НА 2000

A50606A6B5C25ED3 - СЕРИЙНИК А ПОТОМ D3!

ЧТОБЫ Н**ЫЛО ПУТАНИЦЫ - БАТАРЕЙКИ РАЗНЫЕ ИСПОЛЬЗОВАЛ

Saros · 23.04.2010, 01:49

Сообщение от stasik007

A50606A6B5C25ED3 - СЕРИЙНИК А ПОТОМ D3! А БЫЛО 77 НА 2000

A50606A6B5C25ED3 - СЕРИЙНИК А ПОТОМ D3!

ЧТОБЫ Н**ЫЛО ПУТАНИЦЫ - БАТАРЕЙКИ РАЗНЫЕ ИСПОЛЬЗОВАЛ

это норм. последний байт - чексум. на 2-й странице про него. сейчас пересчитал - все сходится

stasik007 · 23.04.2010, 01:57

точно - подцепил 2000 - с этой батарейкой A50606A6B5C25ED3 - тоже - самое

Boryan · 23.04.2010, 02:01

непонятка зачем 3000 столько много базарит с сервисной и автобут батарейкой

Какие мысли по этому поводу?

Saros · 23.04.2010, 02:05

Про сервис моде 3000: сразу видно, что что-то крутится 31 раз подряд. И что процесс "рукопожатия" НЕЗАВЕРШЕН! Примерный перевод языка PSP -акк
5A02 01 ЗЫЗ: Живой?
A505 06 Ак: Живой

5A02 0C ЗЫЗ:Дай серийник
A505 06 Ак: Держи

5A0B 80 ЗЫЗ: А ты кто? )
A512 06 Ак: Я Ак

Дальше должно быть 5A0A 81(продолжение знакомства), ан нет, ЗЫЗа что-то палит...
5A02 01
A505 06

...... и все по кругу. ИМХО ответ на 0х80 - кривой

Boryan · 23.04.2010, 02:19

Saros, нада их подружить канкретна

Boryan добавил 23-04-2010 в 02:19
Зыза не зря столько много базарит....хочет ведь собака подружиться с батарейкой ....

Saros · 23.04.2010, 02:20

эх... мнеб хотябы бинарники контроллеров(в любом виде) =))

еслиб я писал этот хэндшейк, то такого-бы туда понаворотил... т.ч. простой логикой тут не обойтись

Boryan · 23.04.2010, 02:22

чую зыза просит от батарейки 8 байт FF....

Boryan добавил 23-04-2010 в 02:22
Saros, да где их взять то