Pandora (unbricker/downgrader) для PSP-200X TA-088v3

[ErikPshat]

Сервисный комплект для PSP-200X
(включая TA-088v3)

{ НИЧЕГО НЕ ПРОДАЁМ / NO SALES HERE }

После удачного взлома и последующей длительной заморозки в скрытом разделе темы:
"Размышления о возможностях взлома ТА88v3"
было решено, что настало время её разморозить и отдать "в народ".
Дабы не нарушать хронологию "размышлений по взлому", инструкция выложена в шапке отдельной темой.

Первое видео от Yoti

Новое видео подтверждение работы сервисной карты JigKick на PSP-2006 TA-088v3!

Комплект сервисной карты и MSID Dumper:

• Service_memstick_TA-088v3.zip
  
• MSID Dumper & SRC.zip

Структура папок в архиве:

• Extracted Files Original - все оригинальные извлечённые файлы с образа - по сути комплект сервисной карты (файловая копия карты).
• MSID 512mb Original - это дамп MSPro ID оригинальной сервисной карты, снятый с помощью MSID Dumper (сервисная область).
• Original Dump MS - полный образ сервисной карты в формате IMG. Можно посмотреть через WinHex (raw копия карты).
• Write IPL to MS - утилита записи сервисного IPL-загрузчика в 16-ый сектор карты памяти. Сам IPL уже там тоже лежит: multiloader_ipl.bin.

Изготовление волшебной сервисной карты:

1. Необходима карта MS PRO DUO неоригинал на 512 Мб, 2 Гб или 4 Гб.
2. Оригинал SONY не подходит, т.к. имеет свои чипы нанда и к ним нет спецификаций (даташита) и программаторов.
   
   Такие оригиналы НЕ подходят

   Это MS PRO DUO Mark2.
   Контроллёр, микросхема и плата залиты в один монолитный корпус, даташитов к ним нет и программатор к ним не найдёшь.
   
   1.jpg
   
   2.jpg
3. Скачиваем "MSID Dumper", вставляем карту памяти в PSP и запускаем программу. Видим на экране номер "Серийный номер" и MSProID вашей карточки и записываем, хотя дамп области MSID всё равно сохранится в корне карты памяти и вы можете его потом посмотреть хекс-редактором. Это вам может пригодиться, когда вы будете искать данные MSID в дампе микросхемы.
4. Тонким скальпелем располовиниваем корпус карты памяти пополам. Не поностью, а только заднюю часть и чуть больше половины по краям.
5. Затем пинцетом достаём из корпуса плату, она не приклеена, а просто лежит в пазах.
6. Из платы выпаиваем микросхему памяти (nand), которая самая большая и имеет 48 ножек. Рядом находится небольшой квадратный контроллёр памяти, его не трогаем.
   
   
   Подходящие карты памяти и nand

   3.jpg
   
   4.jpg
   
   5.jpg
   
   6.jpg
7. Вставляем микросхему в программатор с панелькой TSOP-48 под эту микросхему: http://www.soft-center.ru/reader/
8. Нужно учитывать, что с виду карты одинаковые, но внутри могут быть разные нанды, например Hynix или Samsung. Поэтому под вашу микросхему уже потом ищется программатор. Смотрим список поддерживаемых микросхем: http://www.soft-center.ru/reader/NAND_List.php.
   Hynix, насколько я знаю, практически все имеют одинаковый стандарт выводов по даташиту среди TSOP-48, поэтому если буквы или цифры немного отличаются от списка поддерживаемых моделей, то это вряд ли имеет значение.
9. Микросхема вставляется в панельку программатора очень просто. Панелька имеет конструкцию прищепки, нажимаем сверху, контакты отходят, ставится микросхема и отпускаем, контакты прижимаются к ножкам микросхемы.
10. Далее, программатор подключается к компьютеру, с заранее установленной программой и драйверами, поставляемыми с программатором. В программе указывается диапазон страниц, которые нужно сдампить и дампится часть памяти.
11. Сразу дампить 2 Гб всей памяти очень долго, да и не нужно. Сразу скажу, что нужная нам служебная область, где прописан MSID карты находится либо в самом начале, либо в самом конце микросхемы, обычно в 1-ом банке и не далее 3-4 блоков. Рекомендую сдампить сразу 4 блока - это 256 страниц или 0x100 в шестнадцатеричном виде, что и нужно указывать в диапазоне.
12. Открываем файл дампа в хекс-редакторе. Вводим в поиск, что нужно искать, а именно кусок хекс-кода MSID: 4D535053, что в буквенном выражении означает первые четыре аббревиатуры MSPS(NY0/DK0/XX0), то есть, это часть 16-значного ключа MSID, которая у всех карт памяти MS PRO DUO одинаковая.
    
    
    Скриншот MSID

    Это логическая область с MSID, снятая программой MSID Dumper, сохраняющаяся в корне карты памяти в файл. По структуре она не имеет ничего общего с настоящей областью MSID, которая находится в физическом чипе памяти.
    Требуется только для определения номера MSID для поиска в сыром RAW-дампе ципа карты памяти.
    Не путать с оригинальным RAW-дампом(снятым программатором)!
    
    MSID.png
    
    Это предварительная настройка снятия области дампа в программаторе "Тритон"
    
    HY27UY08AG5M.png
    
    Так выглядет оригинальная сервисная область MSID, сдампленная программатором.
    Обратите внимание, что она выглядет совсем иначе, нежели на первом рисунке, снятом программой для PSP - "MSID Dumper".
    
    

    • В стартовом секторе содержится серийный номер и MSID.
    • Далее идут 3 пустых сектора, полностью заполненных FFFFFFFF.
    • Затем идёт сектор, где указывается фрмат и размер карты памяти.

    
    
    HY27UH08AG5M.png
13. Найдя искомое, меняем 16-значный ID данной карты на ID сервисной. Необходимый код ID вы найдёте в папке "MSID 512mb Original" в файле ID.txt.
14. После замены ID, не забудьте сохранить файл. Затем обратно вшиваем этот дамп страницы по тому же адресу, откуда сдампили.
15. Впаиваем микросхему на место.
16. Форматируем изготовленную карту памяти на PSP.
17. Из папки "Write IPL to MS" запускаем "install_psp_ms_multi_loader_ipl.cmd"
18. Только после этого, делаем подключение PSP к компьютеру.
19. В окне консоли видим, как определяется флешка и нажимаем английскую "Y"
20. Видим сообщение "Write MS BOOT CODE" - значит всё отлично.
    • Если выдаётся сообщение "Canceled" - значит не ту букву нажали или не в той раскладке.
    • Если выдаётся сообщение "Check free reserved sector : to small reserved sectors" - значит идём изучать эту тему (Способ №2).
21. Монтируем в Хекс-редактор флешку, как физический диск и удостоверяемся, что в 16-ом секторе присутствует знакомый нам IPL.
22. Из папки "Extracted Files Original" копируем содержимое на флешку и идём прошивать брикнутые ТА-088v3 =)

---

1. 1 сектор = занимает 512 байт + 16 байт избыточного кода данных, позиционирования сектора и контрольная сумма ECC в конце каждого сектора.
2. 1 страница = это 4 сектора, т.е. 2048 байт + 64(16х4) служебных байта = 2112 байт.
3. 1 блок = 64 страницы (256 секторов), конечно же вместе с техническими данными. 131072 + 4096 = 135168 байт или 132 килобайта.

Страница спецификации

[pannys]

Доброго времени суток. Все мы живем в разных частях света. У всех абсолютно разные карты продают. Было бы неплохо выложить фото, можно с упаковками, у кого на каких получилось прошиться.

[ErikPshat]

Инструкцию, архивы, фото карточек смотрите здесь.
Собсно в шапке ссылочки давно лежат, куда смотреть надо.

У wololo появилась статья по этому поводу: http://wololo.net/wagic/2011/07/08/p...s-in-the-wild/

[Boryan]

ErikPshat, :p попались мы с тобой хакеры макеры блин.

[ErikPshat]

Boryan, я чё-та понтуюсь, как бы соня сюда не нагрянула.

Сообщение от Yoti Did you means "волнуюсь"?

[Wes64]

Сообщение от ErikPshat Boryan, я чё-та понтуюсь, как бы соня сюда не нагрянула.

Угу лучше прикрыть да и то вряд много осталось 2000х псп

[Boryan]

И что? Какие аргумены можно нам предъявить? Образ их карты стырили китайцы...в сетке он лежит в открытом виде, если хорошо поискать...Придраться за то, что я нашёл как ломануть КИТАЙСКИЙ стик? Как изменить в нём мсид? И этим поделился с народом? Придраться за то, что нашли правильное применение образу их карты? Так при чём тут Сони? Пусть они с китайцами разбираются, что они клепют такие плохозащищённые стики
Так мало того, китайцы вообще могут нафигачить таких карт с нужным мсидом вагонами Они это умеют

[enchee]

Ну, как бы, если не было ответа на действия some 1, то, Sony, уже, наверно, всё равно. Да и с русским у них, мне кажется, не очень.

[Wes64]

Сообщение от Boryan И что? Какие аргумены можно нам предъявить? Образ их карты стырили китайцы...в сетке он лежит в открытом виде, если хорошо поискать...Придраться за то, что я нашёл как ломануть КИТАЙСКИЙ стик? Как изменить в нём мсид? И этим поделился с народом? Придраться за то, что нашли правильное применение образу их карты? Так при чём тут Сони? Пусть они с китайцами разбираются, что они клепют такие плохозащищённые стики Так мало того, китайцы вообще могут нафигачить таких карт с нужным мсидом вагонами Они это умеют

Так всех собак вешают на тех кого поймали

[Zalupdead]

сразу извиняюсь за безграмотность, так как мало что понял после прочтения этой темы. Ответьте на следующее (простым "не хакерским" языком):
1. для ввода в сервис режим с этой карточкой нужна обычная запандоренная батарея?
2. Какие действия происходят на консоли при запуске этого чудо девайса? (то есть по аналогии с пандорой- вставляешь батарею->держишь назначенную кнопку-> входит в меню пандоры-> такие то пункты-> возможные операции )
и 3й вопрос: Стоит ли ожидать возможности создания такой флэшки программно средствами самой консоли (что нибудь аля PSPTool)?

[DIIGMO]

Сообщение от Zalupdead 1. для ввода в сервис режим с этой карточкой нужна обычная запандоренная батарея?

да, но только на 88v3

Сообщение от Zalupdead Какие действия происходят на консоли при запуске этого чудо девайса?

а ты что, видео от Yoti не смотрел? Тогда гоу смотреть и этот вопрос отпадёт сразу.
А вообще, создаётся ощущение, судя по вопросам, что тема тобой не была прочитана Так как и по третьему вопросу что-то было))))

[ErikPshat]

Кстати, интересное устройство нашёл: http://www.pc3000flash.com/rus/drflash.php
Он умеет считывать нанд-память TSOP-48 любых видов, а так-же эмулировать контроллёр, для восстановления данных.

Но вот интересно, умеет ли он обратно записывать данные?

[Gregorio]

ErikPshat, не совсем дошло. насколько я знаю, это программный комплекс, который позволяет эмулировать работу устройства(при наличии дампа нанда). записать инфу в дамп нанда через эту программу можно, но это бред. так и не понял, что ты от нее хочешь?

[pannys]

С dealextreme.com вчера исчезли все pandora батарейки. Удалены, как класс.

[Gregorio]

pannys, и правда, не поверил сначала. обычные остались, а пандор нет.
с чего бы это?

[Yoti]

Сообщение от pannys С dealextreme.com вчера исчезли все pandora батарейки. Удалены, как класс.

В своё время с него исчезли флеш-картриджи для Nintendo DS.

Сообщение от gregorio с чего бы это?

Неужели из-за комментариев в моём ролике? Я там всем советовал купить на DX такой же аккум, как и у меня =) Или СОНИ подумала, что это такая хитромудрая батарейка для 088v3, а не карта?))
Эх, прособирался я заказать фатовский аккум с кнопочкой себе...

[Izotov]

На ЛайтТейк'е имеются и фатовские и слимовские, с кнопочкой, как у тебя в мувике, по 6 с копейками $

[ErikPshat]

Сообщение от gregorio ErikPshat, не совсем дошло. насколько я знаю, это программный комплекс, который позволяет эмулировать работу устройства(при наличии дампа нанда). записать инфу в дамп нанда через эту программу можно, но это бред. так и не понял, что ты от нее хочешь?

Ну как что, там программатор нандов и сама программа, причём какая-то крутая, которая эмулирует контроллёр, чтобы считать выпаянный отдельно нанд. Ведь нанд многие данные хранит в разных местах, а без контроллёра их высчитать трудновать. Потом он вроде умеет даже вычислять контрольную сумму секторов, т.к. это только контроллёр знает, по какому алоритму они высчитываются. Можешь обратить внимание, что в разных контроллёрах идёт свой способ подсчёта. Сними дамп с разных микросхем и увидишь, что у всех контрольные суммы разные, хотя сектор абсолютно идентичен.

То есть, я просто хотел сказать, что можно и таким прогером прошивать MSID, не обязательно прогером от софт-центра.

---

Хех, дай только небольшую рекламку, так народ сразу разберёт всё, мир-то теперь осведомлён )))

И чую, что программаторы в Софт-центре резко раскупят )))

[Gregorio]

ErikPshat, я тебя понял. в понедельник поеду тогда, попрошу поиграться с этим чудом. может и правда она сама сможет посчитать новую контрольную сумму, хотя хз.


Yoti, я тоже после ролика себе такую захотел)

[Yoti]

Сообщение от Izotov На ЛайтТейк'е имеются и фатовские и слимовские, с кнопочкой, как у тебя в мувике, по 6 с копейками $

Спасибо, конечно, но я понимаю, что не DXом единым =)

Сообщение от gregorio я тоже после ролика себе такую захотел)

Просто у меня нет слимки, а вот такой аккум мне вообще t0rm3nt0r подарил.

[pannys]

http://www.chinabuye.com/ - и отсель то же все исчезло. Видать кто-то взялся за это ...