Обсуждение взлома батарейки Пандоры PSP-3000...

Alezhek · 20.12.2010, 19:36

Сообщение от ANDPSP

Теперь про алгоритм чексума - побайтного вычитания там нет и в помине, что там за алгоритм - хз.

вот что в доке

ANDPSP · 21.12.2010, 13:13

Сообщение от Alezhek

вот что в доке

Все правильно в доке, это я ошибся при пересчете чексума - все значения перепроверил и все сходится тютя в тютю, там реально побайтное вычитание из нуля, но что это нам дает ?

hax0r · 21.12.2010, 14:15

Сообщение от ANDPSP

Все правильно в доке, это я ошибся при пересчете чексума - все значения перепроверил и все сходится тютя в тютю, там реально побайтное вычитание из нуля, но что это нам дает ?

Это дает уменьшение возможных вариантов при бруте прошивки с помощью поблочной/побайтной верификации.

lazard · 21.12.2010, 14:41

hax0r, Еси так, хватит ли времени раскурочить прошивку брутом?

hax0r · 21.12.2010, 14:45

lazard, время бесконечно))) его не может не хватить))
Другой вопрос-на сколько сократится время на вытаскивание брутом...

lazard · 21.12.2010, 15:19

hax0r, ты тоже вечен? или Борян? а сама консоль? Я как раз о чем, на что нам хватит времени. Без обид, но о вечности времени это сомсем другая тема.

З.Ы.реально ли рассчитать, сколько времени нужно для этого?

hax0r · 21.12.2010, 15:27

lazard,рассчитать можно все что хочешь.
А насчет обид... какие вопросы задаешь-такие ответы и получаешь.
Хватит или не хватит времени будет зависеть от тех временных рамок в которые ты хочешь уложиться.

Alezhek · 21.12.2010, 20:10

Сообщение от ANDPSP

Все правильно в доке

может все-таки еще раз проверить и команду Verify?
[IMG]

[/IMG]
ведь судя по доку.. проверять можно от 1 байта?

Boryan · 21.12.2010, 20:23

Alezhek, по докам , да....а на деле 4 байта..Я же и прогу и доки и схемы всё выложил..можете сами попробовать...Мы тоже губы раскатали на эти доки ...но NEC быстро закатал

Boryan добавил 21.12.2010 в 20:23
Alezhek, А уже если у тебя есть желание помочь ..то поизучай доки на 9202 ..мож там дырку можно найти...или на 102 чип посмотри своим свежим взглядом

ANDPSP · 22.12.2010, 14:08

Сообщение от Alezhek

может все-таки еще раз проверить и команду Verify?
[IMG]

[/IMG]
ведь судя по доку.. проверять можно от 1 байта?

Что же ты примечание (Note) в вышеприведенный фрагмент не включил ? Сразу бы все понятно стало.... короче вот тебе фрагмент переписки с разработчиком FlashProg, а он побольше всех нас в неках шарит...

про верификацию

я конечно принял эту инфу к сведению но все же решил сам проверить, так вот методом научного тыка и нашлись эти 4 байта достаточные для верификации...

свежий лог

Лень писать комменты в логе, тот кто разбирается прекрасно все поймет - чип вначале полностью стирается, потом во всю память пишется 8 тестовых байт (они пишутся в первый блок), дальше идут попытки верификации заведомо правильными байтами: 1 байт, 2 байта, 3, 4, 5, 6, 8 - где 4 и 8 там успех, потом во второй блок пишутся других 4 байта и так же верифицируются правильными и неправильными значениями ну и напоследок прототип брута - вот тут очень интересный результат - если сразу верифицировать 4 байта - то все нормально , а если посылать побайтно правильные байты то в результате будет провал...

Ну и еще интересное - вспомнил как гонял батарейку по однобайтовым командам и решил так же пробить чип на недокументированные команды, в итоге нашлась пара таких команд A4h и 9Eh

лог по командам

ответ 020104FB03 говорит о том что команда не поддерживается (стр. 17 доки), а вот ответ 020105FA03 (для A4 и B0) говорит про ошибку передачи параметров, но признает что команда есть...

А в случае с 9E вообще положительный статус

но после этой команды чип клинит - дальше не хочет отвечать на посылы команд, скорее всего ждет передачи каких то данных...

Вот такие пироги :-(

hax0r · 22.12.2010, 14:15

ANDPSP, да... интересно было бы выяснить с какого чипа NECовцами система команд сдута была...

Boryan · 22.12.2010, 15:19

hax0r, а толку от этого? Нужно самим ковырять и искать дырку..не верю я в то что в NEC не существует дыры...просто её реально ни кто ещё не искал...

Alezhek · 22.12.2010, 20:58

Сообщение от ANDPSP

а вот ответ 020105FA03 (для A4 и B0) говорит про ошибку передачи параметров, но признает что команда есть...

уточни пожалуйста, ведь B0h - это как раз команда Cheksum...

перспективная команда, мне кажется A4h... уж очень похожа на security set (А0h)
был бы у меня чип, я бы попробовал поиграться параметрами, ей передаваемыми

hax0r · 22.12.2010, 22:36

Сообщение от Alezhek

перспективная команда, мне кажется A4h...

Эта команда вполне может быть командой на обновление прошивки, если программеры все же предусмотрели такой вариант... тогда становится понятным ее недокументированность.
Либо это может быть команда на обновление прошивки/снятие защиты, предусмотренная изготовителем на заводе...
В любом случае, интересная команда..

ANDPSP · 23.12.2010, 13:26

Сообщение от Alezhek

уточни пожалуйста, ведь B0h - это как раз команда Cheksum...

перспективная команда, мне кажется A4h... уж очень похожа на security set (А0h)

Что именно требует уточнения ???

с командой A4h вчера полностью разобрался - она тащит какую то область чипа размером в 1 килобайт блоками по 256 байт, диапазон необходимо указывать с нуля а вот конечное значение может быть любым - хоть весь чип хоть окончание любого блока. Практика показала два варианта этих данных которые меняются после стирания чипа - но меняются лишь первые 4 байта, очень похоже на работу своп-области бута. Так же в этих данных отображается инфа после записи в чип (03h), но почему то малого количества байт или после установки бита защиты (03EFh) - в начале лога как раз чтение с защищенного чипа...

лог

Сообщение от Alezhek

был бы у меня чип, я бы попробовал поиграться параметрами, ей передаваемыми

Вот не понимаю я этого... был бы у меня чип... я поехал и купил несколько чипов поиграться, не понимаю ничего в микросхемах и не умею работать с паяльником - нашел чела который понимает и умеет - он собрал программатор, ведь нельзя уметь все на свете, но под лежачий камень вода не течет...

Alezhek · 23.12.2010, 18:22

Сообщение от ANDPSP

Вот не понимаю я этого... был бы у меня чип...

Моя работа - ну никак не связана ни с ПСП, ни с электроникой.. Программирование и схемотехника - так.. увлечение детства.
Сюда зашел просто потому, что купил младшему сыну ПСП и изучал все о ней.. ну показалась тема интересной.. почитал, попытался идеи вам подбросить))) , сорри