Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 71

Boryan · 20.04.2010, 11:38

Решил я развеять слухи о том что зыза 3000 преходит в сервисный режим с порта USB. Во первых, что бы активировался порт USB должен стартануть ЦП..., а он ну ни как не может это сделать на брикнутой консоли

Далее я просто зацепил крутой осциллограф к среднему выводу батарейки пандора и воткнул её в 3000 брик и записал их разговор. Известно, что со старой батарейкой 3000 не стартует....но ....смотрите сами http://www.youtube.com/watch?v=T4mQofU37sg, что записал осциллограф. Короче зыза общается с батарейкой упорно на предмет получения ключика для перехода в сервисмод. Делаем выводы....нужен ключик для перевода 3000 в сервис мод, но, он не FFFFFFFF.....а какой? какие будут предложения по подбору ключика? Кто силён в написании прог под винду. Нуно сварганить прогу что бы она по USB через микруху МАХ232 эмулировала флешку батарейки ....со всеми вытекающими последствиями. А точнее сгенерила ключик и дала команду электронному ключу на вкл батарейки....посмотрели... нет сервисмод у 3000....отключаем батарейку...генерим новый ключик ...и так далее до победного конца. Кто готов написать такую прогу? Электронную начинку я беру на себя .

Boryan добавил 20-04-2010 в 11:33
народ давай подтягивайтесь в тему. неужели не интересно мозгами поработать? Мои мысли по поводу батарейки для 3000....что могли в ней изменить Сони? Применить другой ключик...слишком просто...перебрать 4 байта учитывая что код только может быть типа 0хAA AA AA AA или 0хАВ АВ АВ АВ, это не сложно. Это не в правилах Сони...уж если рубить концы, то конкретно. Я думаю что они тупо увеличили код до 8 байт, и он так и остался 0хFF FF FF FF FF FF FF FF. Что это даёт? Во первых, процессор стандартной батарейки не может дать зызе код длиннее 4 байт, а вот их специальная батарейка может выдать код длинной 8 байт. В итоге... и волки сыты и овцы целы... Мужики, подумал я тут и понял эмулировать флешку батарейки пока рано. Нужно написать прогу снифер под винду, ну типа писать протокол обмена с батарейкой. Записать один протокол с 2000 а второй с 3000, и сравнить команды запроса на серийник, если они одинаковые то возможно ключик так и остался 4 байта, и тогда перебор нам поможет. А вот если разные...то нужно думать как заставить батарейку выдать 8 байт.....или тупо заставить прогу снифер поработать за батарейку и отвечать за неё ...ведь если будет записан протокол, то что нам составит труда выплюнуть его обратно с нужным нам ключиком?

Кто силён в написании таких прог?

Терминал PSP-2000

Расшифровка кодов

Данные терминала с батарейки FAT-1800mAh во всех режимах на PSP-2000 и PSP-3000

Во вложении:

"psp_bat" программа от dn3d по преобразованию ответов терминала в читабельный вид:
- Копируете весь код терминала в верхнее мемо поле и нажимаете "Convert".
- "Save to txt" - сохранить результат в txt файл. Все лишние символы и пробелы удаляются автоматом.
"Open Source Pandora Battery Tool 0.60" - программа для FULL-дампа/записи флеш EEPROM батареи и смены серийников (режимов).

EEPROM DATA Battery

hax0r · 22.12.2010, 20:21

Сообщение от Yokel

если уж говорить о доках от Скоробогатова, то про NEC в этой описано!
http://www.cl.cam.ac.uk/~sps32/ches2010-bumping.pdf

Спасибо, Yokel. Как раз читал про это на странице Скоробогатова.

Можт тут поподробней написано...
Наткнулся на китайскую конторку, занимающуюся ломанием контроллеров.. но, говорят, там много денег дерут..

Boryan · 22.12.2010, 20:23

lazard, а вот это самый верный путь

Boryan добавил 22.12.2010 в 20:23
hax0r, Ни одна китайская контора не умеет ломать NEC....это уже первым делом пробили..к китайцам по поводу нэков обращались...всё что угодно сломают но только не нэк

Alezhek · 22.12.2010, 20:58

Сообщение от ANDPSP

а вот ответ 020105FA03 (для A4 и B0) говорит про ошибку передачи параметров, но признает что команда есть...

уточни пожалуйста, ведь B0h - это как раз команда Cheksum...

перспективная команда, мне кажется A4h... уж очень похожа на security set (А0h)
был бы у меня чип, я бы попробовал поиграться параметрами, ей передаваемыми

hax0r · 22.12.2010, 22:36

Сообщение от Alezhek

перспективная команда, мне кажется A4h...

Эта команда вполне может быть командой на обновление прошивки, если программеры все же предусмотрели такой вариант... тогда становится понятным ее недокументированность.
Либо это может быть команда на обновление прошивки/снятие защиты, предусмотренная изготовителем на заводе...
В любом случае, интересная команда..

lazard · 23.12.2010, 00:47

Просто для интереса, сколько денег может потянуть по методу Скоробогатова?

Boryan · 23.12.2010, 01:11

lazard, это ты у него спроси

Но на данный момент самый действенный вариант, это написать как можно короче код по вытаскиванию прошивки из 9202...на днях я его зацеплю к компу, а ANDPSP прогу напишет..В 9202 можно писать блоками 256 байт..Пишем код по вытаскиванию прошивки на какой нибудь порт и заливаем его с нулевого адреса...и он тащит прошивку..далее смотрим дамп. И если нам повезло и оригинальная прошивка начинается не с нулевого адреса (так правильно пишут проги) то просекаем этот адрес и второй раз код по вытаскиванию прошивки пишем по этому адресу. Таким образом мы вытащим начало прошивки которое было потерянно при первой попытке. В итоге мы получим полную прошивку. Вопрос в том ..кто напишет код?

Alezhek · 23.12.2010, 10:08

а есть в наличии 9202 - не закрытый от стирания-записи бута?

Boryan · 23.12.2010, 11:08

Alezhek, найдём надеюсь..сёня девайс для 9202 соберу и протестим на защиту имеющиеся биты. А ты готов написать код..или просто так спрашиваешь..

ANDPSP · 23.12.2010, 13:26

Сообщение от Alezhek

уточни пожалуйста, ведь B0h - это как раз команда Cheksum...

перспективная команда, мне кажется A4h... уж очень похожа на security set (А0h)

Что именно требует уточнения ???

с командой A4h вчера полностью разобрался - она тащит какую то область чипа размером в 1 килобайт блоками по 256 байт, диапазон необходимо указывать с нуля а вот конечное значение может быть любым - хоть весь чип хоть окончание любого блока. Практика показала два варианта этих данных которые меняются после стирания чипа - но меняются лишь первые 4 байта, очень похоже на работу своп-области бута. Так же в этих данных отображается инфа после записи в чип (03h), но почему то малого количества байт или после установки бита защиты (03EFh) - в начале лога как раз чтение с защищенного чипа...

лог

Сообщение от Alezhek

был бы у меня чип, я бы попробовал поиграться параметрами, ей передаваемыми

Вот не понимаю я этого... был бы у меня чип... я поехал и купил несколько чипов поиграться, не понимаю ничего в микросхемах и не умею работать с паяльником - нашел чела который понимает и умеет - он собрал программатор, ведь нельзя уметь все на свете, но под лежачий камень вода не течет...

Alezhek · 23.12.2010, 18:22

Сообщение от ANDPSP

Вот не понимаю я этого... был бы у меня чип...

Моя работа - ну никак не связана ни с ПСП, ни с электроникой.. Программирование и схемотехника - так.. увлечение детства.
Сюда зашел просто потому, что купил младшему сыну ПСП и изучал все о ней.. ну показалась тема интересной.. почитал, попытался идеи вам подбросить))) , сорри

Boryan · 24.12.2010, 00:13

Alezhek, претензии не к тебе лично...а в общем ко всем ..просто реально тут ни кто ни копейки не хочет потратить на взлом батарейки.....но батарейку все хотят. Батарейка стоит 300 руб...сущие копейки разбирай её и будет тебе чип. дата кабель на пэлке -200 руб....на базе него и программатор разработан ..что бы пожелеть ваши денежки....Я для этой ветки стараюсь разработать девайсы по минимальной цене и проще некуда.....что бы всем было доступно..хотя сам работаю на дорогом оборудывании..многое из которого пришлось покупать только для взлома батарейки...вот ещё один осцил за 1000$ купил ...потому как нужно...Софт всегда новый выкладываю...Всё разжёванно до предела...БЕРИ И РАБОТАЙ! Но хрен вам ....лень или что там ещё всем мешает...Вот чуть выше я спрашивал кто напишет код...нетуникто

Я тоже не мега программист...лет 6 назад на пики писал коды....но если мне нужно, я сяду и изучу как кодить NEC...и сам напишу то что мне нужно. А в итоге получится что батарейку сделали мы двое ..я и ANDPSP....и какой смысл нам потом делиться с кем то своими наработками? А в итоге начнуться обиды что мы жмоты и т.д. Ребят я сюда выкладываю абсолютно всю инфу ..ни чего не скрываю..бери и работай и ломай батарейку. Здесь инфы достаточно. Но воз и ныне там

Ни кто не хочет реально помочь....у всех находятся отговорки...Вот об этом и сказал ANDPSP....реально всё надоело..кроме балабольства ни на йоту нет помощи...
ЗЫ Я тоже не мега мозг...и когда начинал ломать батарейку вообще ни фига не знал..но я за это время многое узнал и многому нучился...и всё это благодоря батарейке..и желанию чему то научиться в жизни...

lazard · 24.12.2010, 01:19

Народ, вам не попадалась на глаза http://www.cl.cam.ac.uk/~sps32/ches2010-bumping.pdf на русском? Мог бы попробовать...

Boryan, Поддерживаю, пиха уменя брик, так что ориг батарейки не стало жалко, правда чип у меня 501, заказывал 9202 завтра должен взять. Надеюсь, что что-то и у меня получится...

hax0r · 24.12.2010, 13:45

lazard, все публикации Скоробогатова на его странице есть, в том числе кое-что на русском. http://www.cl.cam.ac.uk/~sps32/#Publications Здесь смотри.
Boryan,не очень приятно читать подобное... или я по-вашему тоже ничего не делаю..? Про прогу уже ведь разговаривали... я говорил, что если надо, то попробую написать... но вы опять те же вопросы задаете, как будто никто ничего не обсуждал до этого... говорил, что с дампом помогу... я,конечно, понимаю, что вам побыстрее это все хочется, но... не забывайте, что люди этим в свободное время занимаются.. Мне, например, кажется, что с 9202 у вас ничего не выйдет, т.к. я не представляю, что производитель бы не поставил защиту на чип..
Лично я сейчас рассматриваю вариант декапа, т.к. только так можно либо защиту отключить, либо подключиться к памяти напрямую. И не нужно про оборудование говорить, раз уж вы говорите, что только вы на него тратитесь. Декап по методу Скогобогатова относительно дешевое занятие. все что нужно- мультиметр, осциллограф, микроскоп 1000х, пусть хотя бы учебный и,в особо тяжелых случаях, лазерный модуль 100мВт и перестраиваемый тактовый генератор. Для меня проблемой пока что является осциллограф, т.к. не имею оного... и заработка достаточного не имею, чтобы его купить, т.к. откуда у студента хороший заработок..? Планирую после окончании сессии заняться, т.е. 16-17 января, в это время как раз доступ к кислоте получу(хотя она может и не понадобиться).

hax0r добавил 24.12.2010 в 11:47
кстати, вот набросал алгоритм бута...

hax0r добавил 24.12.2010 в 13:45
Скачал все публичные работы Скоробогатова(конфиденциальные он не распростроняет). Если кому надо - пишите, скину на почту. На обменники заливать не буду, т.к. на странице автора написано

Please do not copy any of my publications onto your own Internet server for public access without explicit permission.

а я авторские права уважаю...

Boryan · 24.12.2010, 14:39

hax0r, про тебя ни кто не говорил что ты не работаешь. Наоборот я рад что ты подключился

Я в общей массе говорю что ни кто не хочет работать. Ведь у многих есть и средства и инфа тут есть вся...но нет желания....Вот я сейчас сижу проггер для 9202 разрабатываю и отлаживаю ..а ANDPSP под него прогу пишет...работа кипит вовсю

Декап не интересен в принципе...не думаю что NEC дураки и флеха у них открыта для декапа...тем более 9202 это один из последних новых контроллеров...Ну если у тебя есть желание повозиться с кислотой и поковыряться в кристалле размером 1.5х1.5 мм...то я не против ...просто пока не представляю как ты подключишся к флехе которая на самом кристалле занимает максимум 1/10 часть

в природе в домашних условиях таких тонких проводов вообще не существует...а как минимум нужно 4 шт! проводов подключить...А про биты защиты ...я уверен что 9202 всё открыто...и декапить ради снятия этих бит -это бред....Сейчас прогер соберу и узнаем про биты всё..

Boryan добавил 24.12.2010 в 14:33
Ты лучше пока попытайся код написать ...алг у тебя уже готов ..дело за малым

Boryan добавил 24.12.2010 в 14:39
ЗЫ для интереса ...корпус 9202 3.5х4 мм

но это корпус..а кристалл как правило в центре корпуса...и он очень и очень маленький...так как размер корпуса сделан под крепление в нём выводов микросхемы ...а уж от них золотыми проводочками идут к кристаллу ...

hax0r · 24.12.2010, 14:47

Boryan, прогу надо сразу под конкретный чип писать, а для это надо точно знать что он есть

чтоб не вышло как в широко известном фильме

-видишь суслика?
-нет.
-и я не вижу... а он есть..!

А насчет декапа.. зря вы так..) Суть метода Скоробогатова как раз в том, что можно все сделать в кустарных условиях с использованием дешевого оборудования) в микроскоп 1000х-1500х все отлично видно) а 501 и 102 чипы не такие уж и новые... и я не думаю что там специально прятали биты защиты поглубже...
А насчет проводов и микрощупов - то их не сложно сделать из обычных проводов и иголок с помощью любого электролита и одной пальчиковой батарейки)
В общем, декап я пока не исключаю. А прогу буду пробовать, когда точно будет известно в какой чип ее получится залить

hax0r добавил 24.12.2010 в 14:47
Как соединяют кристаллы с выводами на корпусе - знаю) У нас по программе было материаловедение и конструкционные материалы. Вот там мы и изучали технологии и методики изготовления всяческих микросхем)

Boryan · 24.12.2010, 15:49

ЧИП 9202

hax0r · 24.12.2010, 17:09

В 9202 всего 4кб... начало памяти занимают данные инициализации и различные указатели... Даже если наш лоадер будет размером в 256 байт, мы сотрем всю инициализацию и кусок программы... К тому же запись/стирание возможно только блоками, которых всего 16 по 256 байт... будем надеяться на команду "swap".. иначе можем потерять важные данные..(например, константы, если они используются в алгоритме преобразования..)
В каких батарейках стоят эти 9202, что стало возможным уменьшить необходимый размер памяти с 16кб до 4..??

Почитал про порты... Пока думаю использовать одну ногу на запуск процесса и одну ногу на вывод...

hax0r добавил 24.12.2010 в 17:09
Только что скачал HEN 6.20 у геновцев "чтоб было") Если кому надо - могу поделиться. Все удовольствие весит 100 метров (вместе с демкой патапона)