Pandora (unbricker/downgrader) для PSP-200X TA-088v3

[ErikPshat]

Сервисный комплект для PSP-200X
(включая TA-088v3)

{ НИЧЕГО НЕ ПРОДАЁМ / NO SALES HERE }

После удачного взлома и последующей длительной заморозки в скрытом разделе темы:
"Размышления о возможностях взлома ТА88v3"
было решено, что настало время её разморозить и отдать "в народ".
Дабы не нарушать хронологию "размышлений по взлому", инструкция выложена в шапке отдельной темой.

Первое видео от Yoti

Новое видео подтверждение работы сервисной карты JigKick на PSP-2006 TA-088v3!

Комплект сервисной карты и MSID Dumper:

• Service_memstick_TA-088v3.zip
  
• MSID Dumper & SRC.zip

Структура папок в архиве:

• Extracted Files Original - все оригинальные извлечённые файлы с образа - по сути комплект сервисной карты (файловая копия карты).
• MSID 512mb Original - это дамп MSPro ID оригинальной сервисной карты, снятый с помощью MSID Dumper (сервисная область).
• Original Dump MS - полный образ сервисной карты в формате IMG. Можно посмотреть через WinHex (raw копия карты).
• Write IPL to MS - утилита записи сервисного IPL-загрузчика в 16-ый сектор карты памяти. Сам IPL уже там тоже лежит: multiloader_ipl.bin.

Изготовление волшебной сервисной карты:

1. Необходима карта MS PRO DUO неоригинал на 512 Мб, 2 Гб или 4 Гб.
2. Оригинал SONY не подходит, т.к. имеет свои чипы нанда и к ним нет спецификаций (даташита) и программаторов.
   
   Такие оригиналы НЕ подходят

   Это MS PRO DUO Mark2.
   Контроллёр, микросхема и плата залиты в один монолитный корпус, даташитов к ним нет и программатор к ним не найдёшь.
   
   1.jpg
   
   2.jpg
3. Скачиваем "MSID Dumper", вставляем карту памяти в PSP и запускаем программу. Видим на экране номер "Серийный номер" и MSProID вашей карточки и записываем, хотя дамп области MSID всё равно сохранится в корне карты памяти и вы можете его потом посмотреть хекс-редактором. Это вам может пригодиться, когда вы будете искать данные MSID в дампе микросхемы.
4. Тонким скальпелем располовиниваем корпус карты памяти пополам. Не поностью, а только заднюю часть и чуть больше половины по краям.
5. Затем пинцетом достаём из корпуса плату, она не приклеена, а просто лежит в пазах.
6. Из платы выпаиваем микросхему памяти (nand), которая самая большая и имеет 48 ножек. Рядом находится небольшой квадратный контроллёр памяти, его не трогаем.
   
   
   Подходящие карты памяти и nand

   3.jpg
   
   4.jpg
   
   5.jpg
   
   6.jpg
7. Вставляем микросхему в программатор с панелькой TSOP-48 под эту микросхему: http://www.soft-center.ru/reader/
8. Нужно учитывать, что с виду карты одинаковые, но внутри могут быть разные нанды, например Hynix или Samsung. Поэтому под вашу микросхему уже потом ищется программатор. Смотрим список поддерживаемых микросхем: http://www.soft-center.ru/reader/NAND_List.php.
   Hynix, насколько я знаю, практически все имеют одинаковый стандарт выводов по даташиту среди TSOP-48, поэтому если буквы или цифры немного отличаются от списка поддерживаемых моделей, то это вряд ли имеет значение.
9. Микросхема вставляется в панельку программатора очень просто. Панелька имеет конструкцию прищепки, нажимаем сверху, контакты отходят, ставится микросхема и отпускаем, контакты прижимаются к ножкам микросхемы.
10. Далее, программатор подключается к компьютеру, с заранее установленной программой и драйверами, поставляемыми с программатором. В программе указывается диапазон страниц, которые нужно сдампить и дампится часть памяти.
11. Сразу дампить 2 Гб всей памяти очень долго, да и не нужно. Сразу скажу, что нужная нам служебная область, где прописан MSID карты находится либо в самом начале, либо в самом конце микросхемы, обычно в 1-ом банке и не далее 3-4 блоков. Рекомендую сдампить сразу 4 блока - это 256 страниц или 0x100 в шестнадцатеричном виде, что и нужно указывать в диапазоне.
12. Открываем файл дампа в хекс-редакторе. Вводим в поиск, что нужно искать, а именно кусок хекс-кода MSID: 4D535053, что в буквенном выражении означает первые четыре аббревиатуры MSPS(NY0/DK0/XX0), то есть, это часть 16-значного ключа MSID, которая у всех карт памяти MS PRO DUO одинаковая.
    
    
    Скриншот MSID

    Это логическая область с MSID, снятая программой MSID Dumper, сохраняющаяся в корне карты памяти в файл. По структуре она не имеет ничего общего с настоящей областью MSID, которая находится в физическом чипе памяти.
    Требуется только для определения номера MSID для поиска в сыром RAW-дампе ципа карты памяти.
    Не путать с оригинальным RAW-дампом(снятым программатором)!
    
    MSID.png
    
    Это предварительная настройка снятия области дампа в программаторе "Тритон"
    
    HY27UY08AG5M.png
    
    Так выглядет оригинальная сервисная область MSID, сдампленная программатором.
    Обратите внимание, что она выглядет совсем иначе, нежели на первом рисунке, снятом программой для PSP - "MSID Dumper".
    
    

    • В стартовом секторе содержится серийный номер и MSID.
    • Далее идут 3 пустых сектора, полностью заполненных FFFFFFFF.
    • Затем идёт сектор, где указывается фрмат и размер карты памяти.

    
    
    HY27UH08AG5M.png
13. Найдя искомое, меняем 16-значный ID данной карты на ID сервисной. Необходимый код ID вы найдёте в папке "MSID 512mb Original" в файле ID.txt.
14. После замены ID, не забудьте сохранить файл. Затем обратно вшиваем этот дамп страницы по тому же адресу, откуда сдампили.
15. Впаиваем микросхему на место.
16. Форматируем изготовленную карту памяти на PSP.
17. Из папки "Write IPL to MS" запускаем "install_psp_ms_multi_loader_ipl.cmd"
18. Только после этого, делаем подключение PSP к компьютеру.
19. В окне консоли видим, как определяется флешка и нажимаем английскую "Y"
20. Видим сообщение "Write MS BOOT CODE" - значит всё отлично.
    • Если выдаётся сообщение "Canceled" - значит не ту букву нажали или не в той раскладке.
    • Если выдаётся сообщение "Check free reserved sector : to small reserved sectors" - значит идём изучать эту тему (Способ №2).
21. Монтируем в Хекс-редактор флешку, как физический диск и удостоверяемся, что в 16-ом секторе присутствует знакомый нам IPL.
22. Из папки "Extracted Files Original" копируем содержимое на флешку и идём прошивать брикнутые ТА-088v3 =)

---

1. 1 сектор = занимает 512 байт + 16 байт избыточного кода данных, позиционирования сектора и контрольная сумма ECC в конце каждого сектора.
2. 1 страница = это 4 сектора, т.е. 2048 байт + 64(16х4) служебных байта = 2112 байт.
3. 1 блок = 64 страницы (256 секторов), конечно же вместе с техническими данными. 131072 + 4096 = 135168 байт или 132 килобайта.

Страница спецификации

[labaz]

некоторые контроллёры замечают изменение 4-ёх байт MSID и заносят этот сектор, как бэд-блок в свою таблицу.

Может изменения остаются незамеченными контроллером, если оригинальный MSID частично совпадает с тем на который мы меняем? То есть меняем не 4 байта, а скажем 2 ))

И кстати, эти 4 байта, каторые SN, менять необходимо или нет. В теме ответа на это чёткого нет.

[ErikPshat]

Вероятность стремится к нулю, чтобы прямо попалась такая карта, где разница в MSID будет составлять 2 байта.
Не обращал внимания, но возможно так бывает, например 3 байта разница.
Это нужно спросить, кто много таких карт паял, например у Boryan'a или gregorio.
Посмотрим, что они скажут.

Кстати, вот данные рабочей карты - все 4 байта разные:

• 204D5350534E593000784400B9FF0000 - было в оригинале
• 204D5350534E593000788884C6AA0000 - сменили и долго работала

[labaz]

сменили и долго работала

А в итоге, что с ней случилось?

[ErikPshat]

Сообщение от labaz А в итоге, что с ней случилось?

Через где-то полгода она умерла по непонятным причинам.
Впрочем, китайские фейки часто умирают, даже не ковырявшись в них.

Это та самая карта, которая на скринах в шапке во 2-ом спойлере. Я её фотал уже после того, как она умерла.
Контроллёр UD1F

Если интересно, вот её дампы программатором, до смены и после: http://www.mediafire.com/?7xwqdp17jy2jpcv

[Yoti]

Сообщение от labaz И кстати, эти 4 байта, каторые SN, менять необходимо или нет. В теме ответа на это чёткого нет.

Есть ответ. Причём, ровно такой, какой бы написали повторно. Ещё одно упоминание - и РО.

[Naldas]

Здравствуйте, я по этой теме чуть ли не с самого начала. Я попробовал, и я был почти уверен, что я смогу сделать это. К сожалению, после долгих попыток я решил, что все эти семь страниц обсуждения только 0,01% по отношению к справедливому решению. Не могли бы вы уточнить? Какие карты памяти использовать для этой цели? Модель, производителя, где был приобретен, если это возможно, чтобы дать ссылку, по которой мы можем купить для этой общей цели? Программатор вы купили?

[sashapv19]

Naldas, А гугл для кого придумали? или Яндекс? Прогаммтор самая дорогая часть получается.

[Naldas]

Сообщение от sashapv19 Naldas, А гугл для кого придумали? или Яндекс? Прогаммтор самая дорогая часть получается.

Скажи, что Google может помочь в этом вопросе?

[sashapv19]

Naldas, Да вводишь купить карту ~ ms 2gb и ищешь.

[frostegater]

sashapv19, mr. КО, а вы читали, что необходимы спешиал карты?

[sashapv19]

Frostegater, Я сделал себе такую карту правда из 3-х только одна заработала ((

[frostegater]

sashapv19, тебе ещё повезло... у меня 16тая.. ну я без тутора делал. С помощью друга правда.. он программатор слепил... первоначальную схему я выкладывал. Он её упростил до одного "слота".. писалось ужасно, перед этим ещё на обычных флешках тестили. С ними всё нормально было.. ну просто писали, паяли, пашет? да, нет.. ни одной обычной флешки не померло. А MSки сцуко.. мрут падлы. Щас карты нет, а та прожила 2 суток..

[Erema36]

Сообщение от ErikPshat это контроллёр обнаруживает критическое количество ошибок - несоответствие хеш-суммы в 16-ти байтах после этого сектора, которые контролируют целостность данных этого же сектора (это как MD5 сектора). На самом деле там не все 16 байт контрольных, а кроме первых 4-ёх, которые во всех секторах одинаковые. Поэтому, я так думаю, некоторые контроллёры замечают изменение 4-ёх байт MSID и заносят этот сектор, как бэд-блок в свою таблицу. Но вот некоторые контроллёры, почему-то этого не замечают и пропускают подвох, и прекрасно дают работать сервисной карте. Frostegater, предлагает попробовать заменить только 1 байт и проверить на работоспособность карты. Если всё нормально, то заменить следующий байт и т.д.

ErikPshat, я о чем и писал выше: контроллер, сверив ЕСС измененного сектора, пытается его корректировать. Если это удается, то Вы не увидите своих изменений. Если не удается, карта более неработоспособна (пока все обратно не поменяется).
Но, не исключаю, что китайские поддельные карты с непонятно каким контроллером, при неудачной попытке коррекции ЕСС сектора, отдадут в интерфейс измененный сектор.

Это я уже проверил экспериментами. Кроме слепого поиска таких карточек, вижу следующий выход:
- изменение данных в нужном секторе;
- пересчет ЕСС этого сектора;
- запись кода ЕСС в служебную область этого сектора.
===========================================================

Сообщение от ErikPshat Контроллёр UD1F Если интересно, вот её дампы программатором, до смены и после: http://www.mediafire.com/?7xwqdp17jy2jpcv

ErikPshat, ее id (идентификатор) можете еще написать?
Я попробую с ЕСС поэкспериментировать.

[frostegater]

Erema36, то есть вы предлагаете вместе с msid корректировать EEC, я вас правильно понял?

[Erema36]

Frostegater, иного выхода нет.



Точнее он есть - найти и разобраться с тех. командами.
Я никак не могу найти полную "memorystick pro specification". В интернете болтается только урезанная.

[frostegater]

Erema36, да в инете есть только урезаная. Команды контроллера все на XXh.. Всё что необходимо для этого сделать - это найти применение командам в коде, остальное дело подбора. Команда[1] => Запись с помощью команды[1] => Check => 1 ? => если 1, то правильно если 0, значит не записалось... и так далее увеличивать переменную команды.. (КЭПую потихоньку =) ).

[ErikPshat]

Сообщение от Erema36 ErikPshat, ее id (идентификатор) можете еще написать? Я попробую с ЕСС поэкспериментировать.

MSID в шапке написан.
Его вы найдёте по аббревиатуре _MSPSNY0
Остальное - это 16 байт кода.

[Gregorio]

ErikPshat, не на всех картах он идёт как MSPSNY0. на некоторых китайках она другой.
сначала дампером лучше посмотреть, а потом уже найденное им значение искать.

gregorio добавил 27.09.2011 в 13:17
к примеру был MSPSDK0

gregorio добавил 27.09.2011 в 15:16
оффтоп

предположение. очень похоже что буквенная часть msid это сокращения.
MemoryStickProSoNY
MemoryStickProSanDisK

[Yoti]

gregorio,
мы же китайские СОНИ копаем - потому именно этот айдент и берём. У СанДисков свой, так и есть.

[Gregorio]

Yoti, у китайцев тоже они разные.