Обсуждение взлома батарейки Пандоры PSP-3000...

lport3 · 23.04.2010, 20:38

Как то не сильно продуктивно у вас получилось, я тоже
сегодня не добрался до своей псп. Вообще из всего что можно
на данный момент, это изучать длинные команды. Самое простое,
это пробрутить батарейку для поиска криптоалга. Все остальное
не перспективно, если в коротких командах и есть какието флаги
активных состояний, это в любом случае только инфа.

pronvit · 23.04.2010, 20:45

Сообщение от lport3

Как то не сильно продуктивно у вас получилось, я тоже
сегодня не добрался до своей псп. Вообще из всего что можно
на данный момент, это изучать длинные команды. Самое простое,
это пробрутить батарейку для поиска криптоалга. Все остальное
не перспективно, если в rdbli(коротких командах) и есть какието флаги
активных состояний, это в любом случае только инфа.

так криптоалгоритм не так важен, все равно в сервисной батарейке будет ответ другой, по другому алгоритму.
по-моему надо сделать следующее, я уже писал, собрать устройство, которое будет отвечать на все запросы, кроме 80/81, а их переадресовывать батарейке, тогда можно попробовать во все ответы, кроме имеющих другое значение (то есть во флаг из команды 01 надо, а в заряд батареи нет) запихать всякие особые значения, ну или все по порядку, и смотреть, что будет. ну и в 80/81 можно попробовать пихать ff, 00 и тд, но тут из-за длины угадать вероятность мала.

lport3 · 23.04.2010, 21:02

Алгоритм не может меняться, поскольку приемник
имеет только один криптоалг, так же как и один протокол.
В старой псп считывался только серийник для перевода в
сервис, в 3000й возможно задействуется еще инфа но в
пределах криптованых пакетов. Вообще, снять криптоалг с
батарейки (если конечно в ней нет лока на брут) это достаточно
интересно, поскольку врятли для каждого протокола соньковцы
сделали бы особый крипт. Снятие этого криптоалга, очень перспективно.
Нужно только точно знать, есть ли возможность ввода в сервис 3000
через батарейку. А то получится что раскапаем в криптопакетах
какуюнибудь ерунду типа: "цикл заряда", ид производителя..)

pronvit · 23.04.2010, 21:11

Сообщение от lport3

Алгоритм не может меняться, поскольку приемник
имеет только один криптоалг, так же как и один протокол.
В старой псп считывался только серийник для перевода в
сервис, в 3000й возможно задействуется еще инфа но в
пределах криптованых пакетов. Вообще, снять криптоалг с
батарейки (если конечно в ней нет лока на брут) это достаточно
интересно, поскольку врятли для каждого протокола соньковцы
сделали бы особый крипт. Снятие этого криптоалга, очень перспективно.
Нужно только точно знать, есть ли возможность ввода в сервис 3000
через батарейку. А то получится что раскапаем в криптопакетах
какуюнибудь ерунду типа: "цикл заряда", ид производителя..)

э.. почему только один? да и вообще, например так - я посылаю батарейке X, если вернет X+1, значит все как обычно, если вернёт X+2, значит сервисная, а если что-то еще, то вообще левая.

к тому же с чего вы все-таки взяли, что там есть именно шифрование.. если бы я делал такую штуку для проверки официальности батарейки, то сделал бы отсылку ей случайного набора байт, а она должна посчитать из них ответ по алгоритму, известному только ей и мне. не факт, что там вообще есть какие-то зашифрованные данные. передавать там особо нечего, шифрование более-менее делать в таких мелких контроллерах тоже сомнительно.

stasik007 · 23.04.2010, 21:19

а разве нелзя допустить что ответ выдаётся после манипуляций с содержимым отдельных ячеек еепром
в пользу этого и говорит то что после затирания определённых областей батарейка вобще перестаёт откликаться - срабатывает защита но от чего?

pronvit · 23.04.2010, 21:25

Сообщение от stasik007

а разве нелзя допустить что ответ выдаётся после манипуляций с содержимым отдельных ячеек еепром
в пользу этого и говорит то что после затирания определённых областей батарейка вобще перестаёт откликаться - срабатывает защита но от чего?

одно другому не мешает, от запроса ответ точно зависит, возможно, зависит и от данных в еепроме. но тогда не ясно, как работает батарейка с оторванной ножкой.

stasik007 · 23.04.2010, 21:29

с оторваной ножкой она и не работает - зыза шлёт туда запросы а ответа нет
примерно тоже происходит если включтить приставку от адаптера без батарейки - запросы туда тоже постоянно идут

lport3 · 23.04.2010, 21:32

В еепроме наверняка тоже много кусков криптованых.
Что может делать батарейка и зачем там такой сложный
протокол.. самый простой ответ, для идентификации и допуска
к каким то скрываемым функциям. Батарейка является неким ключем.
Возможно в старых псп в алге была ошибка неучитывающая ффки в
серийнике, в новых это могло быть пофиксено.