Обсуждение взлома батарейки Пандоры PSP-3000... - Страница 29

kolio · 22.07.2010, 10:54

вот, что я нарыл через сайт http://www.wasm.ru/forum/viewtopic.php?id=37446

http://translate.google.com/translat...1&client=opera

перевод не очень но 50% инфы понятны

5A 05 13 07 FF FF 88 - команда от PSP к батарее: запиши по 07 адресу в EEPROM данные FFFF
A5 02 06 52 -Аккумулятор сказал "всё окей! записал"
5A 05 13 09 FF FF 86 - команда от PSP к батарее: запиши по 09 адресу в EEPROM данные FFFF (07+ 2 байта FFFF = 09)
A5 02 06 52 - Аккумулятор сказал "всё окей! записал"
5A 03 14 07 87 - PSP просит прочитать EEPROM батарейки по адресу 07 (в ответ 2 байта вернет)
A5 05 06 07 FF FF 4A -Аккумулятор вернул данные FFFF по адресу 07 и 08
5A 03 14 09 85 - PSP просит прочитать EEPROM батарейки по адресу 09 (в ответ 2 байта вернет)
A5 05 06 09 FF FF 48 - Аккумулятор вернул FFFF по адресу 09 и 10

ИТОГО 13я команда - запись по адресу
14я - чтение по адресу

цитирую с форума wasm.ru "таким образом можно было менять серийник, что бы консоль могла запуститься в сервисном режиме, потом эту фишку из батареек убрали - запретили софтово менять еепром, а на некоторых батарейках еепрома нет вообще, точнее он есть но не ввиже отдельного чипа... Но это не мешает батрейкам нормально функционировать, а запрос серийного номера батарейки остался в виде однобайтоовой команды"

Если повторился - извините. Но вдруг кому-то понадобится

Кстати: фотки видно только если смотреть китаёсский сайт в оригинале без гугля
http://tieba.baidu.com/f?kz=715233468

kolio добавил 22-07-2010 в 10:54
нашел еще информацию о том, что давно в 2006м году уже знали протокол общения PSP-батарейка
но тоже остановились на алгоритме формирования 80-81х команд

и решил узнать насколько люди продвинулись в практике удаления бита защиты в микросхемах

NEC что-то вообще не нашел. как будто они не с нашей планеты и их чипы никто даже не пытался хакнуть

http://translate.google.com/translat...Fmcu_lock.html

вот перевод с англ. как парень делал свои опыты на микрухах.
там в таблице тоже есть NEC микрухи серии NEC 78K/0S
(UPD78F9026)
(UPD78F9046)
uPD78F9116
(UPD78F9136)

хоть и не наша, но как вариант, что её хакнуть можно.
описаны 2 метода:
1й. требует явного вскрытия микрухи. принцип описан. и через микроскоп найти дорожку для программирования и далее сам бит защиты
в одном случае он писал, что нужно ультра-фиолетом стирать этот бит. в другом случае написал, что можно даже иглой перерезать дорожку с битом защиты
2й. программно-аппаратный. в него я не углублялся. но из таблицы видно что была вбрана атака Power Glitch.

по моим наблюдениям китаёсы наверное всё же решили пойти путем вскрытия прошивки микрухи

А ВОТ ИНТЕРЕСНЫЙ ДОК от Сергея Скоробогатова. Вот Вам и Кэмбриджский универ! Думаю он точно взломал бы прошивку микрухи даже с закрытыми глазами
http://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-630.pdf
ТУТ ЯВНО ВИДНО КАК ИСКАТЬ ЭТОТ БИТ ЗАЩИТЫ, КАК АТАКОВАТЬ МИКРУХИ

на стр 61 описан метод 4.5.2 Power glitches
вот такой мы метод со знакомым хотели юзать на Укртелекомовском аппарате, чтобы вскрыть алгоритм проверки карточки на "вшивость"

Aunoor · 22.07.2010, 11:30

Снятие бита защиты это конечно хорошо... Но для снятия дампа с чипа на батарее он же не нужен, имхо.
Но блин, это все переливание из пустого в порожнее. Основатели темы куда-то делись и работы похоже остановились. Если у кого-то есть программатор, то попробуйте снять дамп с чипа, тогда появиться возможность его разобрать.
Причем снять надо бы как с оригинальной, так и с той китайской, которая отвечает на все.

kolio · 22.07.2010, 11:48

Aunoor, так бит защиты и нужен как раз для того, чтобы не могли слить дамп прошивки к себе
С утановленным битом ты можешь стереть и записать новую прошивку, но прочитать - нет, так сделано практически во всех микрухах
По идее китаесы поставили этот бит. Кому нужна конкуренция

. SONY их скорее всего быстренько нашла и прикрутила бы им гайки

Aunoor · 22.07.2010, 12:17

Идем сюда: http://eldigi.ru/site/nec/index.php
Берем английский мануал. Открываем страницу 275. Смотрим. Я вижу только запрет на перезапись/стирание. Я конечно могу и сильно ошибаться, если так, то ткните меня носом.

wice.r · 26.07.2010, 14:09

Привет всем, хочу внести свою лепту в ваши старания. Столкнулся со странностью, купил на днях зызу 3000-ю в М-видео, прошивка 6.20, мать не определить, по внешним признакам не подходит ни под одно описание, DATA CODE - 0A. serial #HD0094992, Аккум пытался запандорить перерезав дорожку, не помогло, отрезал ногу у микросхемы, зыза всеравно грузится из flash0. Думаю что все дело в матери. Возможно ли какая-то защита новая? И как все таки определить ее версию?
Вот фото
[IMG]http://img180.**************/img180/6092/img0186as.th.jpg[/IMG] [IMG]http://img43.**************/img43/3518/img0188zy.th.jpg[/IMG] [IMG]http://img825.**************/img825/2528/img0189s.th.jpg[/IMG] [IMG]http://img291.**************/img291/8393/img0191zi.th.jpg[/IMG] [IMG]http://img130.**************/img130/6347/img0192wq.th.jpg[/IMG]

**DIIGMO** · 26.07.2010, 14:36

Ипать-копать, да неужели аппаратным путем не пандорится, да еще и на 3000 в сервис режим не входит? А тут люди парятся, команды выискивают, а оказывается ножку надо было перерезать? А матплата дааааа, уникальная...
Для тех кто в танке: батарейки, которые идут с непрошиваемыми псп ни аппаратно, ни программно не пандорятся. А на 3000 так вообще особая батарейка нужна, а ты вот так просто...

wice.r · 26.07.2010, 17:22

Спасибо конечно за ответ. Но перелопатив уйму ресурсов, за прошедшие 5 дней, я про особую батарейку для 3000, как ты пишешь, чет не нашел, везде пишут про то как сделать из любой, повторяю любой родной батареи - пандоренную. Если не трудно, опиши об этом, или дай ссылку. Значит у меня все таки есть надежда на "виртуалку"?

**DIIGMO** · 26.07.2010, 20:59

Сообщение от wice.r

Спасибо конечно за ответ. Но перелопатив уйму ресурсов, за прошедшие 5 дней, я про особую батарейку для 3000, как ты пишешь, чет не нашел, везде пишут про то как сделать из любой, повторяю любой родной батареи - пандоренную. Если не трудно, опиши об этом, или дай ссылку. Значит у меня все таки есть надежда на "виртуалку"?

И так, давай по порядку
Ты имеешь ввиду это(взято из темы пандоры)

Оригинальный аккумулятор Sony из комплекта поставки.

Но опускаешь из виду это

PSP SLIM 3000-ной серии пока все не прошиваются. Но есть возможность запустить виртуальную кастомную прошивку с помощью ChickHEN.

Про особую батарейку для 300х, прочитай в первом сообщении данной темы. Её пока нет в природе, кроме как в некоторых сервис центрах сони.
Но, помимо самой батарейки, тебе понадобиться особая карта(пандора карта на подойдёт), которой так же нет в свободном доступе абсолютно для всех.
ПС. Проблема не в инструкциях, а недостаточном понимании и вникании в них. В инструкциях(по крайней мере нормальных) сказано, что 300х пандорой не прошить, на то они непрошивайки. Даже в этой теме ты не удосужился прочитать первый пост, иначе бы не возник вопрос про особую батарейку для 300х.
На этот пост можно, и даже нужно, не отвечать во избежании флуда.

spilov · 26.07.2010, 17:25

нет

Yoti · 26.07.2010, 18:39

везде пишут про то как сделать из любой, повторяю любой родной батареи -пандоренную

После прочтения гуаносайтов необходимо в обязательном порядке снимать с ушей лапшу.

kolio · 29.07.2010, 17:40

Сообщение от Yoti

После прочтения гуаносайтов необходимо в обязательном порядке снимать с ушей лапшу.

вот это уже больше на правду смахивает
я вижу только 2 варианта как сделать реальную сервиску:

1. либо считать имеющуюся прошивку на батарее. понять её смысл и изменить под себя и записать модифицированную туда же. либо если нет возможности прочитать, но известен алгоритм - писать свою и прошивать микруху на батарее
2. если известен алгоритм. подрубать комповый эмуль к PSP напрямую через k-line

ОСТАЕТСЯ ОДНО НО:
никто незнает, что нужно ответить приставке, чтобы SYSCON перевел приставку в этот режим, и вообще бывает ли такая батарейка

жаль авторы темы молчат

--------------------------------
kolio добавил 29-07-2010 в 17:40
Мужики, понимаю чуть не в эту тему, но всё же
http://www.youtube.com/watch?v=qsJCq1Gkk0g
нашел ссылку на http://code.google.com/p/valentine-h...i/introduction

допустим парень не ставит просто анимацию, а реально хакает. это происходит через изображение
если у него всё получилось, то нужно искать ошибку в библиотеках по обработке изображений.
если же вы считаете, что это просто анимация, то я готов удалить своё сообщение и послать того черта нах.
хотя я попросил у него протестить этот эксплоит

**t0rm3nt0r** · 30.07.2010, 08:09

kolio, читай в самом конце - http://lan.st/showthread.php?t=3107&page=4

kolio · 30.07.2010, 08:42

t0rm3nt0r, ха ха ха. как смешно

kolio · 28.07.2010, 17:56

ну так, что будем делать ребят?
в тупик явно нельзя становиться. хоть кто-то подкиньте идей или заданий. или все сдались? или все участники уже сделали себе по сервиске? шучу

chel12 · 28.07.2010, 23:49

kolio, Сервиска, я думаю, у них уже давно есть, вот только сделать ее доступной для любого пользователя сейчас очень не просто.

**Alex14435** · 30.07.2010, 09:40

Боря отдыхает на природе) Насчет остальных не знаю. И что нам даст прошивка чипа батареи? Если у сони спец батарея с отдельной программой то это нам не поможет. Единственный выход - дамп сискона (decap) либо пересадка сискона 200х на 300х но тогда нужно паять переходник, расположения контактов в них различно.

kolio · 30.07.2010, 09:52

Сообщение от Alex14435

....либо пересадка сискона 200х на 300х но тогда нужно паять переходник, расположения контактов в них различно.

а что это нам даст?
ну запустишь ты одну такую приставку. а дальше что? объявим тотальную скупку сисконов на территории России и Украины с 2000к?

сейчас единственная цель: получить алгоритм. каким способом - не играет роли

в общем не буду спамить. так как толку от этого ноль. буду ждать авторов, а по возможности спаяю kline
---------------------------------------
ну и на последок
http://webcache.googleusercontent.co...k&client=opera

полезная инфа по инициализирующему вектору для алгоритма. возможно в протоколе используется именно этот алгоритм шифрования

http://webcache.googleusercontent.co...k&client=opera
---------------------------------------
написал письмо Скоробогатову из Кембриджского Универа. Может ответит на него. Буду надеяться. Авось подскажет, что делать с этой микрухой
---------------------------------------
он мне ответил. я конечно доволен как слон

и снова ему написал нашу ситуацию. буду ждать ответа
---------------------------------------
на второе письмо увы он уже не ответил. в принципе логично.

Aunoor · 30.07.2010, 10:00

Сообщение от Alex14435

И что нам даст прошивка чипа батареи? Если у сони спец батарея с отдельной программой то это нам не поможет.

Про сискон уже сказали. Скажу про батарею. Даже в обычной батарейке очень много интересного (про команды-убийцы напоминать не надо?

), получив дамп с чипа мы узнаем почти полный алгоритм взаимодействия. К тому же может быть приятный сюрприз в виде не задействанного куска кода для сервиса. Этого мало?

**Alex14435** · 30.07.2010, 18:11

SYSCON с 200х плюс плата-переходник позволит восстанавливать брикнутые 3000. Хотя и не за пару минут но всё же заработок будет довольно приличный

kolio · 31.07.2010, 09:27

Сообщение от Alex14435

SYSCON с 200х плюс плата-переходник позволит восстанавливать брикнутые 3000. Хотя и не за пару минут но всё же заработок будет довольно приличный

ну так вперед! кто тебя держит? или тебе подарить 2000ку и 3000ку для тестов? я понимаю - чужими руками жар загр***** легче. Но если хочешь помочь - действуй! Все только ЗА!