Обсуждение взлома батарейки Пандоры PSP-3000...

[ExMode]

люди вот нарыл на китайском сайте)) http://j.mp/9aIVkf

[Yoti]

ExMode,
сам то читал? Твоя ссылка абсолютно бесполезна.

[Boryan]

Yoti, проверяешь сколько идиотов клюнет на бесплатный даун ? ))))...уже 35 ))

Boryan добавил 25-09-2010 в 13:26
ExMode, ну а по поводу ..за бугром всё есть..есть то есть, но как это достать ...да как можно скорее.

Boryan добавил 25-09-2010 в 13:27
Alex14435, в фильме можно что хочешь показать..а тут реальные вещи

[Boryan]

ну разобрал я хитрую китайскую батарейку...и вот что увидел:



Boryan добавил 26-09-2010 в 22:20
всё тот же NEC...а вот

лог 80хх

5A 0B 80 00 00 00 00 00 00 00 00 00 1A
 A5 12 06 31 A9 81 78 95 41 0C 63 A3 29 77 5D EF 98 68 54 47
 5A 0B 80 01 00 00 00 00 00 00 00 00 19
 A5 12 06 D9 FD 87 BB 99 83 87 D6 AD 7C 4F 34 F7 CB 2E 1C F9
 5A 0B 80 02 00 00 00 00 00 00 00 00 18
 A5 12 06 33 FA 96 33 F8 16 00 16 32 39 B0 24 10 66 B7 6E 4E
 5A 0B 80 03 00 00 00 00 00 00 00 00 17
 A5 12 06 F0 90 9C AB 3F 91 FB 11 B5 FC 96 CA A3 97 07 F6 57
 5A 0B 80 04 00 00 00 00 00 00 00 00 16
 A5 12 06 BB 0B 40 5B EF 82 2D 0C 90 70 9C B9 51 9F C3 6E C1
 5A 0B 80 05 00 00 00 00 00 00 00 00 15
 A5 12 06 1C 8B B3 E5 4F 9D 25 7D A2 8C 64 08 32 16 DB AB 0D
 5A 0B 80 06 00 00 00 00 00 00 00 00 14
 A5 12 06 82 B8 F6 49 93 6F 56 68 BF DA 60 30 87 00 02 17 40
 5A 0B 80 07 00 00 00 00 00 00 00 00 13
 A5 12 15 07 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 22
 5A 0B 80 08 00 00 00 00 00 00 00 00 12
 A5 12 15 08 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 21
 5A 0B 80 09 00 00 00 00 00 00 00 00 11
 A5 12 15 09 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 20
 5A 0B 80 0A 00 00 00 00 00 00 00 00 10
 A5 12 15 0A 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 1F
 5A 0B 80 0B 00 00 00 00 00 00 00 00 0F
 A5 12 15 0B 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 1E

Как видно батарейка знает только алгоритм старых команд. Это говорит о том что китайцы знают алгоритм батарейки раз могли написать на контроллер собственную программу....а не тупо повторяют дамп снятый с оригинала. Но писать алгоритм от новых батареек им нет смысла...все 2000 работают и в нижнем диапазоне 80...и этого достаточно.

[Ins|der]

Сообщение от Boryan 5A 0B 80 06 00 00 00 00 00 00 00 00 14 A5 12 06 82 B8 F6 49 93 6F 56 68 BF DA 60 30 87 00 02 17 40 5A 0B 80 07 00 00 00 00 00 00 00 00 13 A5 12 15 07 00 00 00 00 00 00 00 00 DA 60 30 87 00 02 17 22

Boryan, не закралась ли в лог ошибка?
вторые 8 байт в ответе на команду 8006 начинаются с BF, далее в ответах на неизвестные команды уже с 00.

Похоже батарейка запоминает ответ на последнюю известную команду и упорно его повторяет

Ins|der добавил 27-09-2010 в 11:40

Сообщение от ANDPSP консоль начинает опрос снова с первой команды и так далее - 32 попытки если ты забыл

ANDPSP, спасибо за уточнение)
но что насчет ответа батареи?

Сообщение от ANDPSP батарейки от фаток держат нижний диапазон, батарейки от слим - верхний диапазон - таким образом Сони видать закладывала возможность отсекать старые батарейки от новых консолей

насколько я помню, фат-батарейка работает со слим-консолью (в том числе в сервис режиме), выходит нужные команды она знает?

Сообщение от ANDPSP фатка - идентификация 8000 (основной режим и сервисный), 88v3 работает с 8008(сервисный) и 8002(резервный сервисный), 3000я - 800A(основной), 8004(резервный, если батарейка не знает ответа на 800A) и 80D9 (сервисный)

вроде ещё 8001 была, если мне память не изменяет)

[ANDPSP]

Сообщение от Boryan ну разобрал я хитрую китайскую батарейку... всё тот же NEC...

тот да не тот - это уже МК uPD78F0752 с поддержкой управления LED и битами защиты от чтения, стирания, записи flash и т.д.
вот доки по нему http://zalil.ru/29738333
вряд ли есть надежда что китайцы не выставили биты защиты, да и программатор нужен видать специфичный PG-FP5.

Может выложишь все виды микрух которые удалось наковырять - вдруг кто то найдет что то реальное среди них...

ANDPSP добавил 28-09-2010 в 13:01

Сообщение от Ins|der Ins|der добавил 27-09-2010 в 11:40 ANDPSP, спасибо за уточнение) но что насчет ответа батареи?

не понял что ты имел ввиду... уточни...

Сообщение от Ins|der насколько я помню, фат-батарейка работает со слим-консолью (в том числе в сервис режиме), выходит нужные команды она знает? вроде ещё 8001 была, если мне память не изменяет)

фат-батарейка работает именно в резервном режиме, ответа на 8008 она не знает но знает на 8004 - так и работает... а при пандоре она знает ответ на 8002 и тоже пашет...

а вот 8001 не встречали ни разу в логах... может ты путаешь с 81 запросом ?

ANDPSP добавил 28-09-2010 в 13:02

Сообщение от Boryan вот ссылочка http://www.cl.cam.ac.uk/~sps32/mcu_lock.html где Скоробогатов чипы от NEC поместил в список взламываемых...неинвазивным методом

нет там наших неков к сожалению...

ANDPSP добавил 28-09-2010 в 13:11

Сообщение от Boryan Boryan добавил 27-09-2010 в 20:44 кому интересно вот полные доки на контроллеры NEC http://www2.renesas.eu/micro/product...A#IMF_plmtools

уточнение - это не совсем наши чипы (семейство 78K0/KB2) - нужно внимательнее смотреть линейки, отличия могут быть минимальными но значительными.
старый чип UDP78F0102H относится к семейству 78K0/KB1+ и в нем нет битов защиты
чип из белой пандоры UDP78F0752 относится к 78K0/IX2
так что читаем доки под конкретные модели а то запутаемся нафиг...

[kolio]

Сообщение от ANDPSP нет там наших неков к сожалению...

я же со Скоробогатовым общался. он сказал, что её можно ломануть его методами. сказал, что она старая. и те ссылки на его сайт, я еще 4 страницы назад вылаживал в тему. закольцовываемся.

[Boryan]

ANDPSP, ты мальца ошибся наш чип из белой батарейки, это μPD78F0501 (серия 78K0/KB2)

Boryan добавил 28-09-2010 в 17:38
sasiska12, такое возможно если это ТА90V1 либо плату от 2000 вкрячили туда...либо взлом преипэл и старт в сервисе...что в принципе пока не возможно...мы как раз над сервисом работаем. Преипэл сломать не реально ...а вот если знать как 3000 перевести в сервис и заменить на ней 88 проц на 75, то она станет полностью прошиваемой...либо это очередной шедевр киноисскуства школоты ))

[ANDPSP]

Сообщение от Boryan ANDPSP, ты мальца ошибся наш чип из белой батарейки, это μPD78F0501 (серия 78K0/KB2)

да ладно... ты на надписи на чипе глянь это точно uPD78F0752 и с LED он работает, что мы и видим в реализации...

[crashnok]

Как я и думал, было бы глупо не защитить то, что выпускаешь (особенно такой коммерческий продукт).
А вот эта фотография http://zalil.ru/29723267 , намного интереснее, где бы прикупить такую.

[Yoti]

Загрузка с карты идёт после сервис режима. Сервис режим может быть запущен без карты. Имхо, гиблый путь.

[Boryan]

стартовая страница http://www2.renesas.eu/micro/product...A#IMF_plmtools..изучаем ...делаем выводы...

Boryan добавил 27-09-2010 в 20:48
ErikPshat, а ты представь брикнутую зызу...в ней всё слетело к чертям и prx тоже...как тогда должен сискон стартануть при отсутствии библиотек? Программа перевода в сервисный режим и инициализации батарейки в нём вшита намертво..это как минимум

[ErikPshat]

Сообщение от Boryan а ты представь брикнутую зызу...в ней всё слетело к чертям и prx тоже...как тогда должен сискон стартануть при отсутствии библиотек?

А ты представь, как восстановить брикнутую ЗЫЗУ, если нет драйвера сискона )))
Сам сискон не в состоянии восстановить psp без главного управления, хотя даже служебные функи (и только) в ней присутствуют.

Правильно, волшебная карта должна взять управление на себя и в этом помочь.
И индикатор обращения к карте - не бессвязная штучка, а определяется по написанному управляющему коду в драйвере, а не в сисконе. Это как техники решат. Если они ничего не решат, то и зелёная лампочка даже не моргнёт, как и чирик в попе )))

[Boryan]

ErikPshat, но всё то что ты описал выше происходит только после того как сискон подружится с батареей и даст команду ЦП для старта, и цп грузит всё остальное с карты...ему загрузить prx и заставить моргать лампочку нужна тысячная доля секунды Как и базар сискона с батарейкой происходит за доли секунды....ты не думай что это долгие процессы...

[crashnok]

Драйвер нужен для другого- например подать напряжение на дисплей.
И он грузится на 100% после токо как сискон включил сервис.

[Boryan]

вот ссылочка http://www.cl.cam.ac.uk/~sps32/mcu_lock.html где Скоробогатов чипы от NEC поместил в список взламываемых...неинвазивным методом

[ErikPshat]

Boryan, вроде ты должен видеть эту тему: https://www.pspx.ru/forum/forumdisplay.php?f=203

[stasik007]

Почемуто никто не допустил мысли что в самом сисконе есть область памяти для собственных дров - эту мысль доказывает поведение прошиваемых приставок после обновления до 6.30 а затем отката на кастом пандорой - они продолжают игнорировать левые батарейки! - значит драйвер в сисконе обновился а кастом при откате перешивает только нанд!

[Yoti]

stasik007,
лично я про такое вообще не слышал =)

[kolio]

Yoti. я тебе с работы вышлю схему.
а вот подопытная оригинальная батарея + спаяный kline

вот как видно всё сделал аккуратно без лишних проводов извне

фото раз

коробочка обрела всего лишь посадочную площадку + микруху в ней

фото два

вот такой удобный коннектор типа "ПАПА" выпаял с какого-то устройства. давно было, уже не помню с чего именно, но под контакты батареи подошло 1-в-1. этой стороной как раз коннектор торчал помню в самой плате, то-есть контакты для припаивания тут подошли как соединительные

фото три

ну вот так оно в действии

фото четыре