Просмотр полной версии : Обсуждение взлома батарейки Пандоры PSP-3000...
Страницы :
1
2
3
4
5
6
7
8
[
9]
10
11
12
13
14
15
16
17
18
crashnok, ты чего докопался до mb44co18 ? ты думаешь это сискон? Она вообще ни чего не решает...и стартует по умолчанию сама а далее ждёт что ей сискон скажет....скажет отрубиться она и отрубится. Это контроллер питания ..так его назовём :) А сискон тот мелкий у которого рядом два кварца стоят... вот он собака и есть самый паршивый ..:)
crashnok
17.09.2010, 05:13
Ну да, вначале тупил... когда только начал читать тему начал вникать mb44co18 не посмотрев схему и плату и она у меня вечно в голове крутилась/
Так вот насколько я смотрю по схеме отдельно сискон от контроллера кажись не поменять(. Что то мне кажется что установив старый сискон в пару с 18-м псп может не включится.
Какой комплект установлен в 90v1 ?
Кп+сискон
15+2007?
18+2007?
Вот сдесь http://psps.net.ru/news/uglubljaemsja_v_psp_materinskie_platy/2010-01-26-5308
указано что 18+2008 , тоесть такие же как в 90v2 но ведь это нереально, как она бы тогда с обычного акб пандоры стартовала?
Блин, надо не писать мысли в слух а сесть и подумать, и хорошо усвоить то что за два дня узнал.
Вообщем вывод на данный момент- есть распиновка сискона 2007(взята из мануала та 88), но вот в мануале на ta-90v2 не подписаны выводы пятаков.
Тоесть прийдется отпаять все микросхемы с которыми связан сискон и прозвонить и зарисовать.
Реально задействованы 71 пятак, остальные масса. Вообщем это неймоверный обьем работы. Но всё же возможно сделать переходник один раз и пользоваться.(это при условии что он будет работать с mb44c018)
Второй вариант дальнейших действий- это читать что происходит на шинах между процессором-сискон и сискон-кп при пандореной батарее.
Но вообще для того что бы более внятно понять что происходит с псп в сервис режиме мне ее надо держать в руках и осцилографом смотреть где есть разница между сервис и нормал. Дождусь когда привезут, всё равно в голове уже каша.
Надо усвоить то что узнал за два дня, а не писать тупые(временно) мысли и догадки в слух.:scratch_one-s_head:
Буду пока в аппаратную часть вникать, где какие шины, какое их назначение и т п, может это к чему то приведёт.
crashnok,
ссылки на гуаносайты, мягко выражаясь, не приветствуются. На pspfaqs.ru есть цикл статей "Углубляемся в...", ссылайся на них, а не на личеров.
crashnok
17.09.2010, 05:32
crashnok,
ссылки на гуаносайты, мягко выражаясь, не приветствуются. На pspfaqs.ru есть цикл статей "Углубляемся в...", ссылайся на них, а не на личеров.
Ок.
Тут http://pspfaqs.ru/faqs/489-psp-moterboards.html
ведь тоже написано что в 90в1 и 90в2 одинаковые контроллеры Baryon и Pommel.
КАК ТАК?
crashnok
17.09.2010, 05:55
Инфа из pspident.
Спасибо, вот это похоже на правду. Значит mb44c018 нормально работает с 2007-мым сисконом.
Значит вариант с переходником возможен, нужно только заниматься.
Эээ, в аттаче инфа. Ты её точно посмотрел, а то там 0 загрузок?..
crashnok
17.09.2010, 06:33
Ну конечно посмотрел):thank_you:
Именно этого я и ожидал только проц и сискон другой. Скорее бы уже получить та 88, аж горит пощупать разницу в сервис и нормал.
Та ничего в ней особенного, на мой потребительский взгляд... Только продавать приходится дешевле из-за "слетающей прошивки")))
crashnok
17.09.2010, 06:57
Я думаю такой интерес к ней простителен человеку, который кроме двух та 90 ничего другого в руках не держал и только несколько дней узнает про ПСП ))
я никогда PSP в ремонт не брал(просто не было времени), и мой первый ремонт псп это замена процессора на своей 3008.
Так что пока за тупости не пинайте:tomato:, думаю через неделю освоюсь в зызаф.
"ЗЫЗаф" не держал, а шестизнак отхватил)))
crashnok, переходник под сискон делать дурное дело..шаг шаров маленький очень, да и бред это что бы зызу оживить или даун сделать..сискон на ней менять. Сейчас есть только два варианта ..первый аппаратный перевод и софтовый...софтовый это 80D9...аппаратный, это искать заветный вывод на сисконе который идёт на ЦП и отвечает за перевод его в режим сервиса...ВСё остальное пустая трата времени.
Alex14435
17.09.2010, 14:07
А как насчет создания лишь одной платы с пересаженным сисконом? И приделать к ней панельку с штырьками и зажимом типа сокета лга 775?
Alex14435, а как насчёт взять и вычислить алгоритм ответов на 80хх команды? дятел их просчитал..китайцы просчитали...а мы чем хуже....или кому то хочется с бубном поплясать и сделать переходник? Ты хоть представляешь что такое переходник с BGA на BGA...на очень маленькую BGA....это тебе не ГПУ у 360 :)
Alex14435
17.09.2010, 14:53
Насчет китайцев не слышал... Они ж там тупо платы меняли, откуда инфа про то что они вычислили алгоритм? Я думаю что взломать можно лишь составив таблицу запрос-ответ и потом из неё как из базы брать результат... В любом случае чтоб взломать алгоритм нужно хотя бы 10 запросов-ответов кода. Чем больше тем лучше. Но вот где бы эти правильные ответы взять ;) всегда найдутся криптографы которые ломанут алгоритм.
в этой ветке запросов- ответов тысячи ..бери и анализируй..чего ещё нужно
Boryan добавил 17-09-2010 в 16:25
всё дело в том что это нах ни кому не нужно....всем лень ...только потом ныть начинают что зажали инфу ..что не открываем секрет ...все ждут готового решения? Оно будет и есно и 80D9 будет взломан ...но паблика не будет!
crashnok
17.09.2010, 19:51
Мне не лень, но мне интереснее железки.
Кстати не такой уж это нереал сделать такой переходник, на 0.5 я делал. Это же не каждый проводок отдельно паять, есть ведь технология. Сложность не в переходнике, а в разводке- это блин попробуй вызвони. Гады не промаркировали шары на схеме.
Да и не то это, совсем не то, надо что бы просто было.
Насчет китайцев не слышал... Они ж там тупо платы меняли, откуда инфа про то что они вычислили алгоритм? Я думаю что взломать можно лишь составив таблицу запрос-ответ и потом из неё как из базы брать результат... В любом случае чтоб взломать алгоритм нужно хотя бы 10 запросов-ответов кода. Чем больше тем лучше. Но вот где бы эти правильные ответы взять ;) всегда найдутся криптографы которые ломанут алгоритм.
Про китайцев говоря, Boryan имел ввиду что они клепают батарейки которые успешно работают в консолях - значит они знают алгоритм преобразования байт на сложные запросы (80XX и 81), конечно ответа на 80D9 нет в этих батарейках, но Datel тоже создавали батарейки-аналоги и так же знают алгоритм преобразования и поэтому наверняка они смогли просчитать ответ на 80D9 и создать чудо-батарейку - этот свой блютулс, но сони быстренько обломали их душевнй порыв... теперь точно известно что зная алгоритм преобразования байт на запросы типа 8004, 800A и 81 можно просчитать ответ на 80D9....
Просчитывать таблицу нереально - просто физически жизни не хватит, 8 байт, 256 вариантов в одном байте и потом 81 команда - на нее тоже нужно правильно отвечать...
А мы не знаем даже алгоритм преобразования, какие действия выполняются над байтами, и не знаем сколько параметров (один ключ шифрования или еще и дельта (для XTEA)) участвуют в преобразовании, если бы мы знали алгоритм наверняка, то можно было бы пробовать вычислить эти неизвестные параметры. но мы ничего не знаем.
Этот коммуникационный протокол вида A5 - 5A встречается в инете, вчера нашел его свежую реализацию в применении к "умным домам", но там нет никакого шифрования, даже контрольной суммы пакета нету :-(
А сони реализовала все это в 2004 году и фиг знает какой они алгоритм взяли за основу - XTEA или KeeLoq или еще что и модифицировали ли они базовый под себя или оставили как есть. Это можно узнать только вскрыв чип в котором этот алгоритм заложен или же найдя точную инфу про алгоритм идентификации, используемый сони в своих батарейках - может не обязательно псп, может в мобильниках или ноутах тоже есть умные батарейки, которые общаются на одному из контактов. Но эту инфу нужно искать и рыть инет в полную силу, а не ждть пока кто то разжует и принесет все готовое на блюдечке...
Boryan глянь все же эту инфу (http://eldigi.ru/site/nec/index.php) - может загубим пару батареек, но найдем нековский чип и достанем инфу из него ? crashnok тоже посмотри - ты хотел с железками повозиться и любишь всякие дивайсы мастерить по ходу :-)
ANDPSP добавил 17-09-2010 в 20:48
А да забыл еще один документик - команды микроконтроллера Nec 78K0 (http://www.eltech.spb.ru/pdf/nec/78K0_User_Manual.pdf)
думаю сискон никто вскрывать не захочет, да и нековские чипы в батарейках все же попроще и подоступней должны быть... хотя надежда только на Боряна и его большое количество батареек...
ANDPSP добавил 17-09-2010 в 23:09
Вот кстати ссылка на что то похожее про "умный дом" http://www.linuxha.com/USB/cm15a.html, правда вчера было поинтересней но и тут есть инфа что при общении используются пакеты вида
5A <количество байт в пакете> <данные> разве что нет контрольной суммы....
ANDPSP добавил 17-09-2010 в 23:21
Boryan, помнишь ты про ключи Максим говорил, может здесь что то наподобие этого (http://www.maxim-ic.com/app-notes/index.mvp/id/4080) и правда шифрование SHA-1
crashnok
18.09.2010, 03:13
А какой толк с контроллера батареи не имеющей нужный алгоритм на создание ответа? Так что если всё же идете в сторону батареи, то вскрывать нужно именно сискон.
Я всё же буду двигаться в сторону - "после сискона"
В понедельник буду пробовать стянуть данные с протоколов I2C между кп-сискон и SPI между сискон- цп.
Интересно, новая мамка будет, или 093?
http://www.qj.net/qjnet/news/the-monster-hunter-portable-3rd-psp-is-not-a-normal-psp.html
Alex14435
18.09.2010, 11:00
А какой толк с контроллера батареи не имеющей нужный алгоритм на создание ответа?
Узнаем алгоритм ответа на 8002 и 8008, тогда можно будет поразмышлять насчет 80D9
Эрик выше скидывал сорцы сисконовские, вы гляните их..
гляньте и заплачьте..)), там куча алгов.
С чего вы взяли что 800х будет такой же как и 80д9 ?.. Ну а не имея
рабочих пар ничего вы не сделаете..
crashnok
18.09.2010, 13:33
Согласен.
Alex14435
18.09.2010, 17:09
Дамп сискона ещё никто не делал... (может китайцы разве что)
lport3, рабочие пары можно нарыть...Но пока дело в другом...я не могу добиться одинаковых ответов на один и тот же запрос на родной батарейке. Вроде на одинаковые запросы должны быть одинаковые ответы...Походу прогу твою нужно подкорректировать. Мож пошаманишь мальца? Вот пример:
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 3A 6C 0B E0 1C 22 B0 1D 35
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
Boryan добавил 18-09-2010 в 19:29
ЗЫ И ещё ..вся эта защита батарейки сделана не ради ПСП ...а для защиты Инфолитиум соневских...Соня первая кто придумал батарейки которые знают время работы...вот и защитили их по максимуму. Думаю что алгоритм авторизации батарейки в ПСП, схож со всеми соневскими девайсами..видеокамеры...фотики..и т.д.
lport3, рабочие пары можно нарыть...Но пока дело в другом...я не могу добиться одинаковых ответов на один и тот же запрос на родной батарейке. Вроде на одинаковые запросы должны быть одинаковые ответы...Походу прогу твою нужно подкорректировать. Мож пошаманишь мальца? Вот пример:
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 3A 6C 0B E0 1C 22 B0 1D 35
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
Boryan добавил 18-09-2010 в 19:29
ЗЫ И ещё ..вся эта защита батарейки сделана не ради ПСП ...а для защиты Инфолитиум соневских...Соня первая кто придумал батарейки которые знают время работы...вот и защитили их по максимуму. Думаю что алгоритм авторизации батарейки в ПСП, схож со всеми соневскими девайсами..видеокамеры...фотики..и т.д.
Boryan а тут все правильно у lport3, ведь сразу заметили что на сложные запросы, когда возвращается 16 байт ВСЕГДА совпадают лишь левые 8 байт ответа, это сверено с ответами аж 4-летней давности, с той темы с psp2dev ... а вот правая част имеет несколько вариантов - тоже не понятно что это за довесок и почему при запросе 80XX и 8 байт данных возвращается 16 байт в ответе, а при 81 запросе на 8 байт возвращается так же 8 байт, а простые команды вообще ничего не преобразовывают... значит минимум 3 вида алгоритма или же один но с хитрым преобразованием ?
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 3A 6C 0B E0 1C 22 B0 1D 35
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
Однако, однако...
Yoti, ни чего особенного....ответы повторяются и чередуются как им вздумется. Я делал 300 запросов этой командой с этим же ключём...в 300 ответах нарыл 20 разных ключей которые повторялись как им вздумается..
вот они :
первые 8 байт ответа во всех случаях были
67 A3 DD CB F5 54 68 0E
а вторые 8 байт вот:
4C 42 A6 4C F3 41 7C 0E 93
75 EE 3A F6 CA 30 12 01 31
CD 24 04 5B 1D AF 01 77 3D
C6 AB 27 63 13 7A 72 10 C7
3A 6C 0B E0 1C 22 B0 1D 35
80 65 C6 96 19 9D 11 71 58
36 B2 47 DD AC 29 62 EA A4
76 73 20 20 13 B5 82 9E C0
4B 61 C5 CA 74 8E 40 B7 9D
2E 4D B3 FC 31 9F 68 51 1E
FA DC 28 0C 00 FE F2 3E 99
DB 41 D8 7D EC 52 A0 2D 55
AD 01 3E B4 F7 51 2F 08 B2
D0 B5 F9 72 A8 8A 86 55 D4
0B 22 FA 56 5E 34 F8 5D 6D
26 16 12 F9 CD F9 94 B8 78
92 0E 41 FF 0B 17 D6 04 F5
A3 0C DB C1 D4 11 84 C6 57
3F 37 23 A9 2C 66 4F EE C0
C4 B9 FC F6 1C 3E F4 7F 95
Boryan добавил 18-09-2010 в 22:05
сдаётся мне что мы находимся на краю диапазона характеристик сигнала который зыза подаёт батарейке, потому и разные ответы на одинаковые запросы. Короткие команды проходят нормально...а вот с длиными беда. Какой это нафиг алгоритм, если на один ключ существует дофига ответов? Чота нужно делать с настройкой проги что бы добиться одинаковых ответов на одинаковые запросы...
Boryan добавил 18-09-2010 в 22:08
Можно в принципе накопить логов зыза<>батарейка и попытаться найти одинаковые запросы от зызы? и сравнить на них ответы батарейки, они должны быть иденичными. Тут ранее помню Эрик находил как то такую пару в выложенных логах.
В 20 ответах нет начинающихся на 1, 5, 6, В, Е.
ErikPshat
19.09.2010, 01:18
Boryan, потестируй ещё. Возможно диапазон закончится и будет постоянно повторятся )
ANDPSP, прикольный аватарчик )
crashnok
19.09.2010, 07:20
В помощь тем кто двигается в сторону батареи, собрал всё что необходимо для снятия дампа с микросхемы:
Если в батарее установлена uPD78F0102H как указал ANDPSP(я свою батарею не хотел колупать, дождусь уже приставки, которая будет завтра)
то в архив я собрал - схему подключения, распиновку микросхемы, программу, написал тхт с настройками программы.
Если же микруха другая, то укажите какая, также напишу как и что.
За архивом в аську, кто реально двигается в этом направлении, тому скину на почту.
Теперь тем, кто хочет помочь мне:
Методом реверс инжиниринга я вычислил почти все сигналы протокола SPI между CPU-SYSCON.
SI на R1034
SO на R3004
SCK на контрольной точке CL1097
осталось найти TACHYON_CS
Сканить вот этим http://www.xdimax.com/sub20/sub20.html?gclid=CIGAlp2UkqQCFQcsDgodLzBeGw#BUY
Кто хочет заняться скину архив с тем, как разобраться с SPI и фото платы с отмечеными контрольными точками сигналов.
crashnok добавил 19-09-2010 в 07:20
Да и кстати, Боря, ведь можно сканить прямо rx tx которые входят в сискон(уже разделённые).
в самом распоследнем китайском пылесосе
спи выключено.
Метод реверс инжиниринга - )))
ну и как вы точки вычислили?
crashnok, Да и кстати, Боря, ведь можно сканить прямо rx tx которые входят в сискон(уже разделённые). :))))
Это я знал много месяцев назад :) Ветку ты плохо читал, я об этом писал. Но наша задача была сделать самый просто девайс для скана что бы можно было сканить без разбора зызы...не каждый захочет девайс за 8 тыр курочить. Но это радует что у нас появился ещё один боец с мозгами и руками! Поздравляю! Значит дело наше не умрёт. :)
Boryan добавил 19-09-2010 в 11:58
искать батарейку с такой микрухой ....мне кажется быстрее сделаем девайс для перехода в сервис. На данный момент в батарейках стоят микрухи A01V14N05G, 780102Н, A01V13M07G
Alex14435
19.09.2010, 12:05
Ммм курю форумы ищу способ найти алгоритм по запросам и ответам... Такое ощущение что никто об этом даже не слышал. Но когда то давно читал про нейронную сеть и скачал кейген карт оплаты билайн который самонастраивается при получении очередного номера и серийника) ищу его снова
Alex14435 добавил 19-09-2010 в 12:05
http://alife-soft.narod.ru/programs.html
есть что нить стоящее?
Нейронная сеть обучается решению задачи на основании некоторой обучающей выборки – "задачника", состоящего из набора пар "вход–требуемый выход", и далее способна решать примеры, не входящие в обучающую выборку.
Если ввести на вход базу данных из сотни логов общения 80хх то может нейросеть нам поможет?
crashnok
19.09.2010, 17:08
crashnok, :))))
Это я знал много месяцев назад :) Ветку ты плохо читал, я об этом писал. Но наша задача была сделать самый просто девайс для скана что бы можно было сканить без разбора зызы...не каждый захочет девайс за 8 тыр курочить. Но это радует что у нас появился ещё один боец с мозгами и руками! Поздравляю! Значит дело наше не умрёт. :)
Boryan добавил 19-09-2010 в 11:58
искать батарейку с такой микрухой ....мне кажется быстрее сделаем девайс для перехода в сервис. На данный момент в батарейках стоят микрухи A01V14N05G, 780102Н, A01V13M07G
Ну так все эти микрухи можно прочитать, на 780102 собрано всё что необходимо. У кого есть батарея на таком мк, давайте на почту скину, вычитаете.
crashnok добавил 19-09-2010 в 17:08
в самом распоследнем китайском пылесосе
спи выключено.
Метод - )))
ну и как вы точки вычислили?
Вот как вычислить даже не имея схемы
Отпаян проц- осцил
Отпаян сискон -осцил
Интересующие пятаки прозваниваем сначала друг на друга.
Теперь прозваниваем эту линию на массу и между собой.
Линия SI звонится на землю 470к, линия SO звонится как 100 с пятака на пятак, значит сигнал проходит через резистор.
Теперь смотрим на пятак проца сигнала SI от него дорога идет прямо на этот резистор в 470к.
Дальше- если сигнал с землёй не связан и в ближайшей окружности ни с чем не прозванивается, то подаем на пятак сискона минус, а на пятак проца плюс, Очень плавно поднимаем напряжение, смотрим за нагрузкой, и вычисляем теплый резистор(например губами) так вычисляем резик на 100 через который проходит сигнал SO.
Дальше, если сигнал прямой и больше ни с чем не связан, то можно вычислить прозвонкой на близлежащие контрольные точки. Если на контрольную точко не выведен, то по нагреву дороги.
ТОЛЬКО ЭТО ДЕЛАЕТСЯ САМОДЕЛЬНЫМ БЛОКОМ ПИТАНИЯ С РЕГУЛИРОВКОЙ СИЛЫ ТОКА И НАПРЯЖЕНИЯ, что бы исключить убийство платы.
Можно конечно и каждый элемент щупать тестером и найти его, но иногда это может занять много времени, так как елемент может быть в самом неожиданном месте.
Alex14435
19.09.2010, 17:13
Суровые русские хакеры целуют PSP чтоб она выдала свой резистор :bb:
crashnok
19.09.2010, 17:27
О и ещё кому надо могу описать свои два метода создания переходника, для микросхем с очень мелким шагом и диаметром шара.
Тут выяснилось что у соней реально началась паранойя...в ТА93 переход в сервисный режим совсем отличный от ТА90,ТА92....жесть...совсем трёхнулись...с опережением работают :) Ещё сервис ТА90 ни кто не ломанул..а они уже в 93 новые команды....8097 :( добавили .
Вот аналог (воспроизведённый мной) оригинального лога перевода в сервисный режим ТА93....как видите новый запрос ...где звёздочки в конце строки...это батарейка не знает ответа...
5A 02 01 A2
A5 05 06 10 1F 01 1F
5A 02 0C 97
A5 06 06 FF FF FF FF 52
5A 02 0D 96
A5 07 06 64 10 0A 28 41 66
5A 02 08 9B
A5 04 06 E2 04 6A
5A 02 16 8D
A5 13 06 53 6F 6E 79 45 6E 65 72 67 79 44 65 76 69 63 65 73 6B
5A 0B 80 0D 11 11 11 11 11 11 11 11 85
A5 12 06 97 75 40 AB 80 47 02 C6 5B 2A 0F 8C 20 02 A1 E2 F7
5A 0B 80 04 11 11 11 11 11 11 11 11 8E
A5 12 15 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 33***
5A 0B 80 97 11 11 11 11 11 11 11 11 FB
A5 12 15 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 33***
5A 0A 81 11 11 11 11 11 11 11 11 92
A5 0A 06 E6 69 25 75 69 3A 8A E9 4B
5A 02 01 A2
A5 05 06 10 1F 01 1F
5A 0B 80 97 11 11 11 11 11 11 11 11 FB
A5 12 15 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 33***
5A 0A 81 11 11 11 11 11 11 11 11 92
A5 0A 06 C0 23 1E 71 44 2C D2 8E 08
5A 02 01 A2
A5 05 06 10 1F 01 1F
5A 02 03 A0
A5 04 06 B4 0E 8E
5A 0B 80 97 11 11 11 11 11 11 11 11 FB
A5 12 15 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 33***
5A 0A 81 11 11 11 11 11 11 11 11 92
A5 0A 06 50 7D 44 3C 62 13 CA CA F4
Boryan добавил 19-09-2010 в 20:00
но старая батарейка от фатки на контроллере 780102Н умеет отвечать и на 80D9 и на 8097....правда эти ответы зызу не устраивают :)
Boryan добавил 19-09-2010 в 20:01
crashnok, Ну так все эти микрухи можно прочитать, на 780102 собрано всё что необходимо. У кого есть батарея на таком мк, давайте на почту скину, вычитаете. Кидай в личку сюда чего ты там про этот контроллер знаешь
Ну так все эти микрухи можно прочитать, на 780102 собрано всё что необходимо. У кого есть батарея на таком мк, давайте на почту скину, вычитаете.
crashnok добавил 19-09-2010 в 17:08
Вот как вычислить даже не имея схемы
Отпаян проц- осцил
Отпаян сискон -осцил
Интересующие пятаки прозваниваем сначала друг на друга.
Теперь прозваниваем эту линию на массу и между собой.
Линия SI звонится на землю 470к, линия SO звонится как 100 с пятака на пятак, значит сигнал проходит через резистор.
Теперь смотрим на пятак проца сигнала SI от него дорога идет прямо на этот резистор в 470к.
Дальше- если сигнал с землёй не связан и в ближайшей окружности ни с чем не прозванивается, то подаем на пятак сискона минус, а на пятак проца плюс, Очень плавно поднимаем напряжение, смотрим за нагрузкой, и вычисляем теплый резистор(например губами) так вычисляем резик на 100 через который проходит сигнал SO.
Дальше, если сигнал прямой и больше ни с чем не связан, то можно вычислить прозвонкой на близлежащие контрольные точки. Если на контрольную точко не выведен, то по нагреву дороги.
ТОЛЬКО ЭТО ДЕЛАЕТСЯ САМОДЕЛЬНЫМ БЛОКОМ ПИТАНИЯ С РЕГУЛИРОВКОЙ СИЛЫ ТОКА И НАПРЯЖЕНИЯ, что бы исключить убийство платы.
Можно конечно и каждый элемент щупать тестером и найти его, но иногда это может занять много времени, так как елемент может быть в самом неожиданном месте.
Бред сивой кобылы.
но старая батарейка от фатки на контроллере 780102Н умеет отвечать и на 80D9 и на 8097....правда эти ответы зызу не устраивают :)
А эта батарейка доступна?
Возможно отличия не такие уж и серьезные, по крайней
мере сравнить надо.
crashnok
19.09.2010, 20:30
Бред сивой кобылы.
Найдите по другому.
Вот, если прям такой бред, то проверяйте http://depositfiles.com/files/n1ostdz3j
Пример:
есть шар который нам нужен, запускать провод под процессор каждый раз это слишком геморно. С пятака пистон уходит сразу в какой то слой, так же на второй микросхеме. Но возможно эта дорога проходит где то на поверхности, каким образом вы бы в это проверили, каждую дорогу бы зачистили и прозванивали??? Представляю сколько бы это заняло времени. Раз это такой бред, то давайте дельный способ проверки есть ли такая дорога на поверхности.
lport3, А эта батарейка доступна?
Возможно отличия не такие уж и серьезные, по крайней
мере сравнить надо.
Этой батарейке по моему пофигу на какие 80хх отвечать :) она на весь диапазон отвечает по 80FF :) Китайцы видать перебздели прописав на всё ответы....но зыза их не принимает...только стандартные 8008 ..8004 хавает, а остальное походу так на алгоритмах 8008 и 8004 и осталось :) Но есть надежда
crashnok, подкинул метод чтения контроллера батарейки....в ней как раз такой стоит...прочитаем посмотрим. Кста батарейка фатка код в нижнем правом углу -CGA4B101C
crashnok
19.09.2010, 20:53
А , Боря, я транзистор забыл написать, можно КТ315.
Бред сивой кобылы.
Найдите по другому.
Вот, если прям такой бред, то проверяйте http://depositfiles.com/files/n1ostdz3j
Во первых, спи канал никак не отличить от другого порта,
только что глубоким изучением логов порта,..но
Есть во вторых, ни один самый распоследний программист не
станет оставлять включеный интерфейс программирования,
это один бит во фтюзах..
В третьих, внешние каналы данных в сисконе никак не спи,
даже в старом сисконе это канбас (12мгц и протокол который вы
врятли одолеете..)
п.с. да, есть возможность реализации батарейки в 90х платах,
Борис это говорил, внимательно читающий поймет, и правильно расставит
приоритеты в приложении усилий.
crashnok
19.09.2010, 22:53
Во первых, спи канал никак не отличить от другого порта,
только что глубоким изучением логов порта,..но
Есть во вторых, ни один самый распоследний программист не
станет оставлять включеный интерфейс программирования,
это один бит во фтюзах..
В третьих, внешние каналы данных в сисконе никак не спи,
даже в старом сисконе это канбас (12мгц и протокол который вы
врятли одолеете..)
п.с. да, есть возможность реализации батарейки в 90х платах,
Борис это говорил, внимательно читающий поймет, и правильно расставит
приоритеты в приложении усилий.
Как это не отличить, там есть только I2c и SPI/ Чесно говоря проверял не я, знакомому давал, проверял на leCroy/ Это разработчик софта для автомагнитол, я ему доверяю.
Я вычислял только удобное место для проверки. Да и сомнений по поводу спи нет никаких, потому что есть фото куска даташита сискона. Где взял не скажу, но повторяюсь, то что это спи сомнений нет, и то что точки верно определены сомнений тоже нет.
crashnok, фигня всё с чипом батарейки..софтина доступная в нете только пишет и стирает....а вот чем прочитать?
crashnok
20.09.2010, 15:53
Мда... ну и хорошо что её там нет, попробовали мы сегодня со знакомым прочитать её на программаторе.
ВСЁ, ОНА Т**ЕРЬ ПУСТАЯ.
Батарейку прийдётся человеку купить))
Боря, а вариант написать прошивку упрощённую на основе тех логов что есть? Вот для этого софта куча, сам нек его предоставляет, даже с инструкциями, и записать можно))
нужен алгоритм преобразования ключей....из за него и все траблы...знать бы алгоритм а уж на чём его реализовать найти не сложно
crashnok
20.09.2010, 18:20
Да это я так, ляпнул неподумав.
Вообщем, мнение моё не изменилось. Я всё таки начну вызванивать сискон и запишу какой пятак старого сискона соответствует новому. Боря, если интересно как делать переходник, то добавься в аську , опишу, там всё понятно и не сложно.
Я всё таки реалист, и если при чтении этого мк мы получили 111111111111111...
То стачивать корпус и читать напрямую с кристалла- это что то из области фантастики. И алгоритм не простой, жизни не хватит. Проще сделать раз переходник и работать.
Alex14435
20.09.2010, 19:08
crashnok, зачем стачивать? Дымящаяся азотная кислота в ванночке - за 5 часов будет нечто вроде этого
http://www.play-files.net/thumbs/1283961985-Slimgerem0.jpg
http://www.play-files.net/thumbs/1283962064-Slimgerem1.jpg
http://www.play-files.net/thumbs/1283962101-Slimgerem2.jpg
это разобранный чип от привода Xbox 360 Slim
crashnok, зачем стачивать? Дымящаяся азотная кислота в ванночке - за 5 часов будет нечто вроде этого
это разобранный чип от привода Xbox 360 Slim
блин, где ее взять-то, кислоту простому смертному? я как раз занялся реверсингом другой неподдающейся штуки - dsi'ки, и пока только стачивать тренируюсь..
sasiska12
20.09.2010, 21:30
pronvit,
Некоторые преподы в институтах продают, я так покупал когда надо было
ANDPSP, прикольный аватарчик )
Спасибо за аватар :-)))
А вот эта старая новость (http://www.hpc.ru/news/10528) скорее всего имеет отношение к нашей батарейке...
И почитав про этот наш нековский чип я сильно засомневался что из него можно считать прошивку - может китайские аналоги как раз более доступными окажутся...
crashnok
20.09.2010, 23:30
Да, защита от чтения сильная. А все эти способы добраться до кристалла- это помоему неосуществимо. Как будто сложность только в доступе к кристаллу, типа там будут контакты с которых берешь и читаешь)).
Ну прямо конец света ...там говорится как раз о софте который используется в батарейке.....это мы и без этого знаем...но про саму защищёность чипа ни чего не сказано...даже современные чипы подверженны взлому,чего говорить про старьё. Пример тому чип бокса 360 который выкладывает свое содержимое на обозрение при понижении питания на его нанде.
stasik007
21.09.2010, 01:43
надо искать прогу умеющую анализировать данные и вычислять алгоритм преобразования - набрутить туда логов с батарейки и пусть старается..
pronvit,
Некоторые преподы в институтах продают, я так покупал когда надо было
да после моего математического ф-та знакомых-химиков особо нет:(
так что если у кого есть идеи, где достать для хорошего дела, в личку..
Азотку мона получить дама. Путем перегонки смеси серка + селитра(натривая или калийная). Серную кислоту выпариваем из электролита.
Затем при помощи микроскопа, рисуем схему сискона и выкладываем её сюда :D
надо химика в наши ряды найти...
надо химика в наши ряды найти...
Нет лучше маэематика-криптоаналитика
Терморектального криптоаналитика со сферическим сисконом в вакууме...
Alex14435
21.09.2010, 16:17
Хорош флудить... Есть идеи?
Нет лучше маэематика-криптоаналитика
Да не поможет он вам! Борян, ну ты ж умный мужик, неужель тоже веришь в возможность существования универсальной чудо-программы, котопая по набору входов-выходов сама восстановит алгоритм? Любой криптоалгоритм не позволяет (реально) по набору входов-выходов восстановить ключ. А у нас и алгоритм не известен.
Надо пытаться узнать алгоритм, найти ключ в прошивке, для этого ее надо считать.. А тут без электроники и внутреннего устройства чипа никуда. Тем более, что методы эти вобщем-то известны и документированы, и большинство склоняется, что дятел так и сделал. Так что лучше химика бы..
Alex14435
21.09.2010, 18:09
Да не поможет он вам! Борян, ну ты ж умный мужик, неужель тоже веришь в возможность существования универсальной чудо-программы, котопая по набору входов-выходов сама восстановит алгоритм?
Я предлагал ИНС... смотри пред. страницу
Я предлагал ИНС... смотри пред. страницу
это невозможно.
crashnok
21.09.2010, 18:56
У кого есть 75-й проц продать? Хочу переходник пандорой проверить.
lordandrej007
21.09.2010, 19:26
crashnok, есть плата TA-88 v2 не знаю какой на ней проц правда
crashnok
21.09.2010, 20:37
Оно, аська 557763, или в личку. Состояние, как сдохла и сколько денег. Спасибо.
http://lan.st/showthread.php?t=3261
crashnok
22.09.2010, 07:50
Может я и скептик, но я так изначально думал и сейчас так думаю.
Моя задача в другом- сделать первую в снг ta-90v2 на кастом прошивке. Зеленый диод с помощью переходника я уже получил, сейчас только найти 75-й проц и попробовать запандорить скатину.
http://lan.st/showthread.php?t=3261
Alex14435
Чего там спрашивать на этом лане? ни когда ни чего дельного ..так одни флудеры :) Я так понимаю, то что мы сейчас делаем в этой ветке, ни кто ни где не делает.
http://lan.st/showthread.php?t=3261
Ну да :-) наш Ричи спросил и думал что буржуи ответят... а они как зациклились на pre-IPL так и не хотят сдвигаться, никто там не будет ковырять батарейки пока не взломают pre-IPL на новых материнках...
Программатор нам не поможет точно в считывании прошивки - тут (http://forum.cxem.net/index.php?showtopic=22527) народ сидит и нековскими МК давно занимается и ответ (http://forum.cxem.net/index.php?showtopic=22527&view=findpost&p=193645) однозначный...
Но кислота и доступ к флеш-памяти - правильное (http://forum.cxem.net/index.php?showtopic=22527&view=findpost&p=459556) направление и тут (http://www.renesasrulz.com/message/9194#9194) тоже советуют считывать напрямую с банков памяти...
Буржуи просто имеют своих в СЦ, поэтому и не шевелятся.
crashnok
22.09.2010, 14:25
Ну и правильно зациклились. Что им эта батарея если у них нет того же что и у меня и у других- сервис карты с подписью под pre ipl 88gg.
Уже блин устал рыть, не нашел где купить, никто даже цену не озвучил)
Alex14435
22.09.2010, 16:33
Во блин нет бы подумать... Ничего толком не сказали тупо отмазались. Нет у них Бори рядом :big_boss:
Во блин нет бы подумать... Ничего толком не сказали тупо отмазались. Нет у них Бори рядом :big_boss:
Да они то ли притворяются, то ли действительно повёрнутые на почве законности. С DSi та же хрень - способные мужики говорят "Я не буду в этом направлении двигаться, потому что это приведет к пиратству, если найдём ключ расшифровки. Я лучше эксплоит поищу, чтобы только хомки запускать можно было". странные они, сами тормозят прогресс.
А вот тут (http://www.embeddedrelated.com/usenet/embedded/show/27290-1.php) вообще близкий МК засветился UPD78F0103, а в ответах даже сам Скоробогатов отметился :-) со своим инвазивным методом атаки на контроллеры...
Самое интересное в этом то что европейцы ратуют за самурайскую Сони и доходы копирайтов. Не секрет что программист за написанную им игру имеет копейки, он не имеет дивидентов как писака с каждой книги...а вот те кто продаёт его продукт ...вот. кого грабить нужно. Вот кто жмоты...и я всегда ломал защиты в разных девайсах и буду ломать...что бы этим барыгам меньше досталось. Но программеров я всегда уважаю :))) Так чего жалеть то каких то самураев?
Спаял К-лайн. Получился очень аккуратный (сверху коробочки добавилась площадка для посадки микрухи, ну и сама микруха в площадке)
Везде промерял напругу, вроде всё нормально. Бат граббер вычитывает эхо-буфер 1-в-1 с оригиналом посылки. Пока, что не решался подрубать к батарее.
Так как 1 вопрос возник: на схеме через резюк 10к идет с питалова 3.3 на 1+2 ногу, типа подтягивание напруги. Так вот я померял напругу на 1+2 ногах и землей. получается там те же самые 3.3 вольт. так и должно быть? резюк практически не просадил напряжение. и должен ли был?
так и должно быть ..у батарейки выход Tx открытый коллектор, есно его нужно подтянуть на 3.3 в, чего мы и делаем резюком 10к.
Спасиб Борь. Теперь перехожу к тестам с батареей и переделке с корня Бат граба
обрати внимание на то что при одинаковом запросе например :
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
получаем разные данный во вторых 8ми байт. Либо так и должно быть либо это глюк проги
Вот кто нам точно может помочь Russiansemiresearch (http://russiansemiresearch.com/index_ru.html)
Стоят правда их услуги не дешево... но зато опыт по вскрытию микрух...
обрати внимание на то что при одинаковом запросе например :
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
получаем разные данный во вторых 8ми байт. Либо так и должно быть либо это глюк проги
да да. я видел ты писал по этому поводу. обязательно проверю этот вариант
если у тебя сейчас есть возможность замерять паузы (минимум, максимум) между запрос-ответ между приставкой и батареей (либо комп-батарея) - мне будет проще оптимизировать прогу
обрати внимание на то что при одинаковом запросе например :
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E CD 24 04 5B 1D AF 01 77 3D
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E C6 AB 27 63 13 7A 72 10 C7
5A 0B 80 08 11 11 11 11 11 11 11 11 8A
A5 12 06 67 A3 DD CB F5 54 68 0E 75 EE 3A F6 CA 30 12 01 31
получаем разные данный во вторых 8ми байт. Либо так и должно быть либо это глюк проги
Может это что-то типа этого:
http://www.google.com/patents?id=CJTHAAAAEBAJ&printsec=abstract&zoom=4&source=gbs_overview_r&cad=0#v=onepage&q&f=false
или этого:
http://www.google.com/patents?id=RPvJAAAAEBAJ&printsec=abstract&zoom=4&source=gbs_overview_r&cad=0#v=onepage&q&f=false
Это патенты Сони.
пока замерить не могу...работы много...А с другой стороны ..ты же вроде грамотный чел :) что тебе мешает написать прогу и послушать через клайн общение PSP<>BAT и сделать анализ таймингов ;)
Вот кто нам точно может помочь Russiansemiresearch (http://russiansemiresearch.com/index_ru.html)
Стоят правда их услуги не дешево... но зато опыт по вскрытию микрух...
За 5000 они сказали мне могут избавить чип от корпуса.
pronvit, а остальное..считать...привести исходник в читабельный вид?
Alex14435
23.09.2010, 21:06
По прайсу около 40к выходит
pronvit, а остальное..считать...привести исходник в читабельный вид?
меня только это интересовало. а остальное - про известные чипы есть в прайсе, а неизвестные как бы как дело пойдет, мож вообще не смогут.
pronvit, да уж...контора интересная....новые чипы от атмела и микрочипа ломают а старьё от nec ....как пойдёт....да ещё и баблоса хотят не мало..
Boryan добавил 23-09-2010 в 23:29
микруху в кислоту бросить 5 тыр....офигеть можно...я ценю труд людей....ладно бы там мозгами работали, прогу какую нибудь написали...ну дамп снять с нанда...привести его в божеский вид....мега девайс какой нить разработать...мож нафиг всю работу и пойти чипы растворять в кислоте за 5 тыр. :))))0
Boryan добавил 23-09-2010 в 23:38
не всё так плохо ...батареек разновидностей дофига ....китайских море...не всё крутится вокруг чипа от nec....думаю что некоторые китайские чипы отдадут своё содержимое :) потом можно нарыть Lite Blue Tool. от дятла...уж с неё думаю можно точняк алгоритм вытащить
Boryan добавил 24-09-2010 в 00:39
Вот кто нам точно может помочь Russiansemiresearch (http://russiansemiresearch.com/index_ru.html)
Стоят правда их услуги не дешево... но зато опыт по вскрытию микрух...
Внимательно изучил их сайт....левая конторка..за всю свою деятельность пару чипов вскрыли...смех берёт когда смотришь список Предположительно (непроверенные) чипы в этой группе стоят копейки...что мешает потренироваться на кошках? И записать их в группу исследованные...Очень сомнительная конторка выходит...
Boryan добавил 24-09-2010 в 03:28
Мля ...поигрался тут с 8008 и 81 запросами от зызы....жесть..
анализируйте ..5A 0B 80 08 6F C6 18 01 91 82 BC 3B BA
A5 12 06 8E A9 D7 E3 F6 41 3B E8 94 49 90 20 9A 35 3E 6B F2
5A 0A 81 EF 6A 29 EE 53 D4 2C 03 54
A5 0A 06 DB 33 42 BE 30 61 50 66 F5
5A 0B 80 08 6F C6 18 01 91 82 BC 3B BA
A5 12 06 8E A9 D7 E3 F6 41 3B E8 1D 90 39 8C B3 21 0D 3B 69
5A 0A 81 EF 6A 29 EE 53 D4 2C 03 54
A5 0A 06 EF AA 99 EE 32 08 C3 D0 5D
5A 0B 80 08 6F C6 18 01 91 82 BC 3B BA
A5 12 06 8E A9 D7 E3 F6 41 3B E8 20 61 CF 97 4D 11 45 62 0B
5A 0A 81 EF 6A 29 EE 53 D4 2C 03 54
A5 0A 06 A1 A2 C8 A0 77 B4 C9 36 75
5A 0B 80 08 6F C6 18 01 91 82 BC 3B BA
A5 12 06 8E A9 D7 E3 F6 41 3B E8 20 61 CF 97 4D 11 45 62 0B
5A 0A 81 EF 6A 29 EE 53 D4 2C 03 54
A5 0A 06 A1 A2 C8 A0 77 B4 C9 36 75
итого, стало ясно что на одинаковые запросы 8008, батарейка отвечает одинаково первые 8 байт( проверенно на 10 батарейках) -это первый алгоритм....затем идёт довесок к первым 8 байтам тоже 8 байт...при повторных запросах этот довесок частенько повторяется -это второй алгоритм. Этот алгоритм влияет как ответит батарейка на одинаковые запросы на 81 команду-третий алгоритм....И нахрена столько ради какой то батарейки? Сони трёхнулась...ведь создавая 1000 зызу они не думали что её ломанут...да и в самой зызе защит было минимум...но в то время защитить копеечную батарейку аж ТРЕМЯ алгоритмами ..это жесть...
Boryan добавил 24-09-2010 в 03:42
и ещё...перебор 80хх запросов с одинаковыми параметрами5A 0B 80 08 00 00 00 00 00 00 00 00 12
A5 12 06 2F 79 74 D2 62 BC 03 75 41 35 34 19 7E 75 04 D6 2E
5A 0B 80 09 00 00 00 00 00 00 00 00 11
A5 12 06 E9 67 88 60 43 42 9C 20 9C D7 07 A5 1E 0B 38 06 43
5A 0B 80 0A 00 00 00 00 00 00 00 00 10
A5 12 06 19 0B 59 BC C5 ED 64 EA 63 2B B1 C5 23 ED 38 AA 13
5A 0B 80 0B 00 00 00 00 00 00 00 00 0F
A5 12 06 71 6B 22 F7 F9 BA 39 73 69 BC 48 18 8B FF 3A E8 BD
5A 0B 80 0C 00 00 00 00 00 00 00 00 0E
A5 12 06 71 9F F5 EB 15 8E 3D E7 4C 09 92 31 8C C0 97 98 F8
5A 0B 80 0D 00 00 00 00 00 00 00 00 0D
A5 12 06 FA A1 4F 1D 04 90 85 B5 12 2C 81 5D A5 CF C5 61 B7
Так для освежения памяти...:)))
Boryan добавил 24-09-2010 в 03:55
возможно, что вторые 8 байт в ответе на 80хх запрос генерятся батарейкой псевдослучайно (потому как частенько повторяются) и зызе при проверке ответа на 80хх, на них пофигу! Ей главное, что бы ответ в первых 8 байтах был правильный...а вот из этих вторых псевдослучайных 8 байт ( они же ещё готовят батарейку к ответу на 81 запрос) зыза стоит запрос 81 и ждёт на него правильный ответ...
Boryan добавил 24-09-2010 в 03:56
учитывая всё сложность протокола обмена, мне не понятно как китайцам удалось клепать левые батарейки?
Лайт блю в том виде, в котором они дошли на рынок:
PSP-110: www.dealextreme.com/details.dx/sku.22349
PSP-S110: www.dealextreme.com/details.dx/sku.15153
Alex14435
24.09.2010, 09:16
Если из них не удалили ответ на 81хх а просто отключили то стоит пробовать прочитать её. А если нет то всё бесполезно
Alex14435, команды 81хх не существует...И далее...что нужно сделать:
1)определить что изменяет второй байт в команде 80хх
2)оределить алгоритм создания первых 8 байт ответа на 80хх
3)определить алгоритм создания вторых 8 байт ответа на 80хх
4)определить алгоритм влияния вторых 8 байт ответа на алгоритм 81 запроса
5)определить алгоритм ответа на 81 команду.
6) связать воедино все пять пунктов...
Итого минимум пять сложнейших задач.....думаю что это не под силу даже..самым крутым криптоаналитикам....:(
Из этого следует что китайцы не просчитали алгоритм, а тупо сняли дамп с проца батарейки....и у нас остаётся только этот метод...Он упростится если добудем батарейку Lite Blue Tool...потому как реализована она наверняка либо на атмеге либо на пике..ну а контора по взлому чипов гарантирует ...
Boryan добавил 24-09-2010 в 09:45
У кого есть возможность нарыть пару таких батареек?
пока замерить не могу...работы много...А с другой стороны ..ты же вроде грамотный чел :) что тебе мешает написать прогу и послушать через клайн общение PSP<>BAT и сделать анализ таймингов ;)
та можно, просто там если знать зараннее временные тайминги, то можно прогу вообще лишить искусственных пауз силами компонента.
Сегодня утром попробовал k-line - работает как часики. Батарея отгавкивается на команды :) Буду колупать прогу.
--ну и в догонку--------------------------------------------------------
Ну и по поводу Скоробогатова, у него вышли еще 2 статьи по взлому чипов. В своих тестах он приводит примеры NEC контроллеров. Почитав всё это добро он написал, что затраты по злому займут около 2000$.
Может это что-то типа этого:
http://www.google.com/patents?id=CJTHAAAAEBAJ&printsec=abstract&zoom=4&source=gbs_overview_r&cad=0#v=onepage&q&f=false
или этого:
http://www.google.com/patents?id=RPvJAAAAEBAJ&printsec=abstract&zoom=4&source=gbs_overview_r&cad=0#v=onepage&q&f=false
Это патенты Сони.
Круто :-)) в общем это именно то (особенно алгоритм на рис. Fig.3B первого патента, там еще Amtel фигурирует) НО в частности это не неше - дата патенов очень свежая 30 июня 2009 года - нам что нить подобное найти годов этак 2003-2004...
ANDPSP добавил 24-09-2010 в 11:32
pronvit, да уж...контора интересная....новые чипы от атмела и микрочипа ломают а старьё от nec ....как пойдёт....да ещё и баблоса хотят не мало..
Boryan добавил 24-09-2010 в 00:39
Внимательно изучил их сайт....левая конторка..за всю свою деятельность пару чипов вскрыли...смех берёт когда смотришь список чипы в этой группе стоят копейки...что мешает потренироваться на кошках? И записать их в группу исследованные...Очень сомнительная конторка выходит...
Ну это на крайний случай, если наш энтузиазм совсем иссякнет, а новые силы не вольются... А так конечно нужно разжиться максимальным количеством МК с всевозможных батареек - и блю тул от Дятов и китайских пандор - глядишь где то и окажется читаемый чип, можно конечно и идею переписанного на чтение бутлоадера (http://www.getsoon.com.cn/upload/Document/note/Bootloader%20for%2078K0Kx2.pdf) для Nec опробовать, но как то не очень в это верится... просто там семейство 78K0/KX2 а наш вроде из 78K0/KB1+
ErikPshat
24.09.2010, 11:43
От Дятлов ловить нечего. Так как они только заявили о поддержке 3000, но в продажу не пустили.
Поэтому ихние батарейки не содержат ничего сверхестесственного.
От Дятлов ловить нечего. Так как они только заявили о поддержке 3000, но в продажу не пустили.
Поэтому ихние батарейки не содержат ничего сверхестесственного.
Как знать :-) но они точно содержат чипы и наверняка не нековские и в них прошивка реализующая алгоритм идентификации батареек согласно вышеуказанным патентам, в которых точно прописана генерация рандомного числа, которое потом криптуется и отдается дивайсу, тот декриптует и сравнивает или еще как - короче Дятлы знают этот алгоритм и наверняка просчитали ответ на 80D9 поэтому и заявили про пандору для 3000-х, но их обломали, но кто знает убрали они этот код или только закомментили :-)
ErikPshat
24.09.2010, 12:34
ANDPSP, ну это да. Когда они заявили о выпуске батарейки 3000, значит они вычислили код. Возможно они даже успели продать некоторое количество.
Но Сони тут-же их взяла за хвост, поэтому батарейки в массовость не пошли.
А так как они всё-же не работают на 3000, значит что-то изменили. Да, они должны быть голубого цвета "Lite Blue". А те, которые белые продаются на горбушке или на е-бее, это чисто китайский левак.
P.S. Как тебе твой аватар )))
P.S. Как тебе твой аватар )))
Прикольный аватар, я раньше уже отзывался по его поводу, ты видать не заметил просто...
Цитата:
Сообщение от ErikPshat http://www.pspx.ru/forum/cleardoc/buttons/viewpost.gif (http://www.pspx.ru/forum/showthread.php?p=908445#post908445)
ANDPSP, прикольный аватарчик )
Спасибо за аватар :-)))
А вот эта старая новость (http://www.hpc.ru/news/10528) скорее всего имеет отношение к нашей батарейке...
И почитав про этот наш нековский чип я сильно засомневался что из него можно считать прошивку - может китайские аналоги как раз более доступными окажутся...
но еще раз спасибо :-))
Кстати повнимательнее почитал первый патент, там как раз зеркальный метод описывается в тексте - это когда первичное рандомное число генерит консоль, а не батарейка. Просто в блок-схеме алгоритма показана генерация именно батарейкой... Это просто уточние... Сейчас просматриваю патенты - нашел уже 2003 год - а вообще это была суперская ссылка и гугл рулит!!!
Очень интересные ссылки привел bel007!
По второму патенту "Battery and authentication requesting device" алгоритмы на рисунках 6 и 7, а также описание взаимной аунтефикации устройства и периферии очень напоминают протоколы общения между psp и батарейкой.
vBulletin® v3.8.7, Copyright ©2000-2025, vBulletin Solutions, Inc. Перевод: zCarot