Размышления о возможностях взлома ТА88v3

[pronvit]

ну так надо в этих паре файлов посмотреть, как они расшифровывают, да и всё
но скорее всего опять команда 1 kirk используется, иначе им не было смысла делать бы, а значит мы опять в тупике

[ANDPSP]

Сообщение от pronvit ну так надо в этих паре файлов посмотреть, как они расшифровывают, да и всё

Кто ОНИ ? Я думаю что Эрик декриптовал обычные *.prx в ELF, а не *.prx.enc в *.prx, потомучто именно эта пара закриптована при помощи MSID с которым никак никто не может разобраться и выяснить на чем он завязан - на серийнике мемори стика или же на MSPROID этого же стика - это абсолютно разные байты. Эрик подтверди мои умозаключения или опровергни - ты смог повторить опыт Мэтьюха и декриптовать *.prx.enc или нет ????? Я тоже уже запутался....

[pronvit]

ну как это кто они, чудес-то не бывает. кто-то же должен prx.enc расшифровывать и очевидно это делает или ipl или незашифрованные prx, если они там есть.

[ErikPshat]

Я enc в ~PSP не декриптовал. Это сделал Mathieulh. Мне скинули просто файлы *.prx.enc и эти-же файлы *.prx.

3 из PRX были не декриптованы, которые легко декриптуются с помощью EDecrypt:

1. jigkick.prx - версии в заголовке ~PSP нет, закриптован ключём 0х02000000
2. jigkick_bridge.prx - 4.1 в заголовке ~PSP, закриптован ключём 0х00000000
3. mesg_led.prx - 3.95 в заголовке ~PSP, закриптован ключём 0х4C940AF0

У файлов *.prx.enc, если откинуть заголовок 0х150, размер в точности совпадает с декриптованными ~PSP, т.е. файлы находится в перевёрнутом виде. Ключ ко всем ENC файлам скорее всего находится в IPL.
IPL part2 декриптовать удалось, он-же вероятно main.bin. Теперь нужно из main.bin вытащить main2.bin, что в прошлый раз сделал rustot (его фиг найдёшь))), а затем вытащить из main2.bin -> kbooti.bin (payload), для чего у нас есть утилита, сделанная pronvit. А там уже лежат ключи.

Хотя может действительно ключ и есть MSID или его хеш, раз Mathieulh просил, как я понял, MSID той карточки для декриптовки, а может просто просил, чтобы было.

[HauB]

Короче, две недели читаю флуд по поводу возможностей прошивки даунгрейда и пандоры и понимаю, что пора кому то давать денег на пару троек псп на убой, так что предлагаю может поднимем фонд - все скинемся и уважаемые люди с нашего форума попробуют декрипт, образ пандоры и тд на настоящем железе. Я думаю рублей по сто двести нас не напряжет, а приставок на пять наберем денег!!!!!!!
Гуру , как только будете готовы говорите, я первый денег на счет кину!!!!

[Alex14435]

Именно для расшифровки он просил MSID... И даже когда то брутфорс на подбор MSID ставил когда я думал, что не получу MSID. Но всё же расшифровывайте дальше, вдруг что интересное есть) HauB, я гуру но не по этой области XBOX 360 ты наверняка по моим F.A.Q.ам шьёшь

[Boryan]

Давайте уточним MSID-это, вот это MSProID:204D5350534E593000784400B9FF0000, или вот это SN:FF435622?
если первое то вот данные с нескольких карт
204D5350534E593000784400B9FF0000-2гб
204D5350534E59300079A800056F0000-2гб
204D5350534E5930006000EF95D70000-4гб
204D5350534E59300078490000000001-китайский переходник под микро SD.
Как видно разница 4-5 байт в основном....и даже в этих байтах частенько 0000 встречаются. Так каким ключиком выходит надёжнее шифровать? Какой ключик применён в сервисной флехе?
Вообще первые 11 байт этого ключика это марка карты иными словами -MSPSNY0.xD...остаются 5 байт, из них 2 последних это 00....итого ключик реальный всего 3 байта? Выходит второй или SN надёжнее там как ни как 4 байта Или я ошибаюсь и вообще MSID-это совсем другой ключик?

[pronvit]

Boryan, msid = 128бит.

надо кое-чего прояснить еще раз.

ВСЯ защита сони строится только на том, что мы не знаем, что делает команда номер 1 kirk. всё это шифрование и прочее, это так, игрушки, которые можно было бы не делать и ничего бы не поменялось. да, msid короткий (отличающиеся байты), да хоть и длинный, мы все равно его знаем.

только проблема в том, что официальная прошивка запускает только зашифрованные файлы (ipl, модули, приложения). что бы там ни было, мы сейчас можем расшифровать что угодно, ну, приложив какие-то усилия по нахождению ключей, дизассемблированию и тд.

но мы не умеем ничего зашифровывать назад. и никаких продвижений в этом направлении нет (кроме как у Datel). поэтому не хочется вас растраивать, но ничего из этого не получится, мы никак не можем запустить на новых платах левый ipl, мы никак не можем зашифровать эти файлы с новым msid. единственный вариант - подменить msid на карте, но это уже надо к специалистам по железу, я тут не знаю.

[ErikPshat]

Сообщение от ANDPSP (а он по логике в свою очередь должен форматнуть консоль и записать то что лежит в PSAR - а там лежит 4.01 или все же 5.02 )- разве не так ?

На флешке лежат файлы, как-бы Пандоры, которые запускают сервисный режим, от прошивки 4.01, но несколько изменённые. А установщик прошивки DATA.PSAR устанавливает прошивку 5.02, но он тоже не такой, как у оригинала 5.02, а несколько изменён.

pronvit, согласен. Файлы нам обратно не зашифровать, как уже неоднократно подмечалось.

Поэтому все размышления напрасны. Нужно думать, как перенести оригинальный MSID на другую карту. Но, как предполагалось, он зашит в контроллёре железно в одноразово записываемой памяти.

Кстати, записал IPL в 16-ый сектор и скинул все файлы enc и DATA.PSAR с образа. На моей толстушке ноль реакции. Хотя кто-то уверял, что на фатке удалось запустить. У меня появились сомнения...

============================================

Ещё очень интересно хотелось бы узнать. Это что за такие сервисные Пандора-карточки стала распространять Sony для СЦ с таким замысловатым файлом в корне AUTORUN.INF с таким содержимым:

[AutoRun]
open=o9bxu.exe
shell\open\Command=o9bxu.exe

И ещё 4 странных сопутствующих файла рядышком:

• o9bxu.exe
• 01vmq.exe
• secret.exe
• Nguyen Tu Quang.exe

Которые мой Касперыч, без моего ведома, тут-же удалял на корню, даже не спрашивая.
Какой-то Troian-Downloader.Win32.Agent.btlp -Опасность высокая!

Это щас новый метод распространять Трояны, под видом супер-пупер анбрикера ТА-088v3? )))

Да, и ещё не нашёл на флешке файла vsh_arc_b0278B6_ww_20081114, который должен лежать в папке VSH. Утаили?

[Boryan]

ErikPshat,

Поэтому все размышления напрасны. Нужно думать, как перенести оригинальный MSID на другую карту. Но, как предполагалось, он зашит в контроллёре железно в одноразово записываемой памяти.

По последним данным (с одной конторы занимающейся ковырянием флех) вроде как MSID не записан в контроллере флехи, и вообще у контроллера нет памяти Для служебной инфы контроллер использует флеху на борту, пишет в её закрытую область. И во флехах до 1 гб доступ в неё был известен. Но сейчас все производители флех, размером более 1 гб, закрыли полностью спецификации на них даже для разработчиков. Эту инфу мне дал чел который разрабатывал знаменитый программатор "ТРИТОН", он то уж сильно шарит в этих вещах. Короче возможны варианты смены MSID со стиком до 1гб. Ещё, чего раскопал я лично, в переходниках под стик с микро SD, стоят две микрухи. Первая,- это походу сам контроллер, а вторая вроде как мелкая флеха типа 24сххх. В ней и записана вся инфа стика, и переписать её раз плюнуть. Есно микрухи все типа "плюшка" без наименований.Могу конечно и ошибаться, но уж очень похоже что это именно флеха. Потому как с переходника читается дамп стиковский даже при отсутствии в нём микро SD. Короче нуно поковырять, сёня вечерком и займусь этим. Мало того обнаружил что, в USB флехах стоят аналогичные модули памяти что и в стиках, но вроде как USB флехи уже расковыряли и в них мона менять серийник. Оно и понятно там флеха через другой контроллер (тупо USB) цепляется и этот контроллер воде как даёт полный доступ к флехе на его борту. А в стиках контроллер мало известен и доступ полный к флехе своей не даёт. Задача тупо сдёрнуть флеху со стика и поставить на USB предварительно с него сняв его флеху. Далее нуно найти софт для ковыряния этой USB флехи. Вот тут http://www.flashboot.ru/ Кто готов поставить эксперименты? Я конечно буду этим заниматься, и у меня для этого есть и куча разных флешек и паяльное оборудывание .....но к сожалению очень мало времени на это....всё время приходиться отдавать основной работе.

[Alex14435]

Я считаю что эти четыре файла попали когда нубы пытались копировать флеху на зараженном компе. Файл с vsh возьми с дампа если себе его прислали. Он там есть. Я не послал его потому что весит много а инет очень медленный.

[ErikPshat]

Сообщение от Alex14435 Я считаю что эти четыре файла попали когда нубы пытались копировать флеху на зараженном компе.

Ага, сразу 4 трояна сами себя скопировали на стик. Если комп заражен, то активен обычно один вирус, который сам себя распространяет при открытии папок, но не 4 сразу. Причём здесь не самораспространяющиеся вирусы, а трояны. И кто такому нубу из нубов доверил такую ценную флешку, неужели в корпорации Sony?
Думаю, что трояны были записаны на флэху умышленно и вероятно с этой-же целью образ распространялся.

Сообщение от Alex14435 Файл с vsh возьми с дампа если себе его прислали. Он там есть. Я не послал его потому что весит много а инет очень медленный.

Так это DATA.PSAR и есть под названием "vsh_arc_b0278B6_ww_20081114"?
Он весит 20,6 МБ (21*669*296 байт).
А расширение какое, а то в служебной области образа расширения не видно?

[chel12]

Мда, похоже мы вернулись к тому, с чего начали, а именно к ничему.
Что бы сделать комлект сервисной пандоры нам нужно:
1) Либо знать алгоритм шифрования kirk №1 от msid, который мы в этом веке врядли узнаем
2) Либо попытаться подменить msid на флешке, учитывая отсутствие полного доступа к контроллеру или памяти флешки.

Похоже лучше ломать update файл(eboot.pbp), как это сделал datel, а чинить консоль предоставить сервисному центру

[Alex14435]

Может у тебя другой образ?? В винхексе когда открываешь образ, там всё есть, в папке vsh файл vsh_arc_b02786_ww_20081114 вообще без расширения весит 21*669*296 байт

[ErikPshat]

Сообщение от Alex14435 Может у тебя другой образ?? В винхексе когда открываешь образ, там всё есть, в папке vsh файл vsh_arc_b02786_ww_20081114 вообще без расширения весит 21*669*296 байт

У меня образ 506 Мб. Судя по всему это полный образ флешки 512 Мб.
Ну так и получается, что vsh_arc_b02786_ww_20081114 и есть файл обновления прошивки 5.02 EBOOT.PBP (DATA.PSAR), просто под другим названием.
Я уже перименовал и все файлы с образа вытащил, они все сходятся с теми, что мне сливали отдельно. Но Пандора на фатке не стартует всё равно, даже попытки чтения нет, т.к. индикатор флешки ни разу не моргает.

[Boryan]

ErikPshat, А ты залей свою сборку куда нибудь. Я её могу проверить на любой модели PSP.

Ага, сразу 4 трояна сами себя скопировали на стик. Если комп заражен, то активен обычно один вирус, который сам себя распространяет при открытии папок, но не 4 сразу. Причём здесь не самораспространяющиеся вирусы, а трояны. И кто такому нубу из нубов доверил такую ценную флешку, неужели в корпорации Sony? Думаю, что трояны были записаны на флэху умышленно и вероятно с этой-же целью образ распространялся.

Ни кто не с какой целью туда вирусню не пихал. Поверь мне. Просто эту карту многие пытались копировать, и есно не на одном компе. И специально этот образ ни кто не распространяет Тот дамп что я выложил, есть дамп из первых рук И он реально с флехи снят. Что на ней было в момент снятия дампа, то и снялось.

[ErikPshat]

Сообщение от Boryan Ни кто не с какой целью туда вирусню не пихал. Поверь мне. Просто эту карту многие пытались копировать, и есно не на одном компе. И специально этот образ ни кто не распространяет Тот дамп что я выложил, есть дамп из первых рук И он реально с флехи снят. Что на ней было в момент снятия дампа, то и снялось.

Сорри, приношу извинения! Паника отменяется )))

Разобрался полностью с образом.
Вирусов на карточке, на момент снятия образа, не было!

Вернее они были когда-то, но их удалили. Дело в том, что при удалении или даже после форматирования, файлы на самом деле не удаляются, а просто затирается первый символ из названия файла, которое хранится отдельно, в специальном блоке вначале.

А так как я извлекал все файлы вручную из образа от начала до конца, то вытащил заодно и все якобы удалённые файлы, которые оказались троянами с автораном inf. То, что они были удалены, я сообразил потом, обратив внимание на то, что у этих файлов первая буква в названии отсутствовала, тогда как у других файлов присутствовала. Хотя это давно известно, но здесь я этого сразу не учёл. Зато закрепил знания ))).

Немного инфы о структуре записи файлов

Вот эта служебная область почти в начале карты памяти. Здесь записывается структура Папок и Файлов, находящихся на карте, в порядке записи.

1. Видно, что сначала были записаны MEMSTICK.IND и MSTK_PRO.IND
2. Затем была создана папка PRX
3. После был записан файл PSPBTCNF.TXT
4. Затем были созданы папки: VSH, ID, JIG.
5. Далее видно, что были на карте, а затем удалены файлы: Secret.exe, AUTORUN.INF, 01VMQ.EXE и т.д. Это как раз были вирусы. Что они удалены, видно по удалённому первому символу из названия, написанного ЗАГЛАВНЫМИ буквами.

Ниже я выделил в прямоугольник область, чтобы более уточнить детали.
Рассмотрим снизу вверх (область справа).

1. Тут внизу видем GUYEN~1EXE - заглавными буквами пишется сокращённое Досовское название (не более 8 символов, не считая расширение после точки). Здесь первый символ "N" удалён от названия NGUYEN~1EXE, что означает, что файл был удалён.
2. Выше видим 2 строки с полным названием файла + 2 строки ещё выше, как продолжение названия, если оно длинное. Название в каждых 2-ух строках, как видно, записывается в определённой последовательности, строго по формуле:
   • 1-я строка: 1-3-5-7-9-E
   • 2-я строка: 0-2-4-6-8-C-E
3. Итак, получается - Nguyen Tu Quang.exe

Далее выше записаны точно так-же аналогично остальные файлы. Отличие у них только в том, что первый символ у названия ЗАГЛАВНЫМИ буквами - не удалён. Значит они реально присутствуют на карте.



Все эти перечисленные файлы (тела) находятся дальше, сразу после этой служебной таблицы, в такой-же последовательности и конечно без названий, т.к. названия записаны здесь.

Каждый новый файл может начинаться только с нового блока, даже если предыдущие секторы свободны. 1 блок - 32 сектора по 512 байт.

Все удалённые файлы так-же остаются целыми на карте памяти, просто они становятся невидымы. Они затираются, когда на это место запысываются новые файлы, по мере заполнения карточки.

Кстати, вот что по этому поводу выдают в сети: http://tinyurl.com/yfllreo

Сообщение от ErikPshat И ещё 4 странных сопутствующих файла рядышком: o9bxu.exe 01vmq.exe secret.exe Nguyen Tu Quang.exe

Сборку выложу позже, как всё соберу и рассортирую

[ANDPSP]

Сообщение от ErikPshat Сорри, приношу извинения! Паника отменяется )))

Вот ты напрягся :-) Там этих авторанов с комами и екзешниками пара десятков, при восстановлении данных только три проявляют активность но каспер рубит их на корню. Думаю вряд ли они влияют на работоспособность ipl и prx... Тебе так и не удалось запустить ipl и декриптованные файлы на своей консоли ? у тебя вроде ж фатка....

Сообщение от ErikPshat Сборку выложу позже, как всё соберу и рассортирую

Интересно а что именно ты собрался выкладывать ?

И еще объясните плиз почему некоторые проги пашут только под кернел 1.5 - это связано с кернел эксплойтом на старых моделях и прошивках, а на новых доступен только юзер эксплойт ? Т.е на 5.03Gen нельзя получить доступ к системным функциям или просто никто не знает как переписать старые проги ?

[ErikPshat]

Сообщение от Boryan ErikPshat, А ты залей свою сборку куда нибудь. Я её могу проверить на любой модели PSP.

Комплект сервисной карты и MSID Dumper:

• Service_memstick_TA-088v3.zip
  
• MSID Dumper & SRC.zip

Структура папок в архиве:

• Extracted Files Original - все оригинальные извлечённые файлы с образа - по сути комплект сервисной карты.
• MSID 512mb Original - это дамп MSPro ID оригиальной сервисной карты, снятый с помощью MSID Dumper
• Original Dump MS - полный образ сервисной карты в формате IMG. Можно посмотреть через WinHex.
• Write IPL to MS - утилита записи сервисного IPL-загрузчика в 16-ый сектор карты памяти. Сам IPL уже там лежит: multiloader_ipl.bin

Изготовление волшебной сервисной карты:

1. Необходима карта MS PRO DUO неоригинал на 512 Мб, 2 Гб или 4 Гб.
2. Оригинал SONY не подходит, т.к. имеет свои чипы нанда и к ним нет спецификаций (даташита) и программаторов.
   
   Такие оригиналы НЕ подходят

   Это MS PRO DUO Mark2.
   Контроллёр, микросхема и плата залиты в один монолитный корпус, даташитов к ним нет и программатор к ним не найдёшь.
   
   5.jpg
   6.jpg
3. Скачиваем "MSID Dumper", вставляем карту памяти в PSP и запускаем программу. Видим на экране номер "Серийный номер" и MSProID вашей карточки и записываем, хотя дамп области MSID всё равно сохранится в корне карты памяти и вы можете его потом посмотреть хекс-редактором. Это вам может пригодиться, когда вы будете искать эти данные в дампе микросхемы.
4. Тонким скальпелем располовиниваем корпус карты пополам, не поностью, а только заднюю часть и чуть больше половины по краям.
5. Затем пинцетом достаём из корпуса плату, она не приклеена, а просто лежит в пазах.
6. Из платы выпаиваем микросхему памяти (nand), которая самая большая 48 ножек. Рядом небольшой квадратный контроллёр памяти, его не трогаем.
   
   Подходящие карты памяти и nand

   1.jpg
   2.jpg
   3.jpg
   4.jpg
7. Вставляем микросхему в программатор с панелькой TSOP-48 под эту микросхему: http://www.soft-center.ru/reader/
8. Нужно учитывать, что с виду карты одинаковые, но внутри могут быть разные нанды, например Hynix или Samsung. Поэтому под вашу микросхему уже потом ищется программатор. Смотрим список поддерживаемых микросхем: http://www.soft-center.ru/reader/NAND_List.php Hynix, насколько я знаю, все имеют одинаковый стандарт выводов по даташиту среди TSOP-48, поэтому если буквы или цифры отличаются от списка поддерживаемых моделей, то это не имеет значения.
9. Микросхема вставляется в панельку программатора очень просто, там она имеет конструкцию прищепки, нажимаем сверху на панельку, контакты отходят, ставится микруха и отпускается панелька, контакты прижимаются к ножкам микросхемы, так что новичку это как два пальца об асфальт.
10. Далее, программатор подключается к компьютеру, с заранее установленной программой, поставляемой с программатором. В программе указывается диапазон страниц, которые нужно сдампить и дампится часть памяти.
11. Сразу дампить 2 Гб всей памяти очень долго, да и не нужно. Сразу скажу, что нужная нам служебная область, где прописан MS ID карты, выступающий в роли ключа декриптовки файлов анбрикера, находится в самом конце микросхемы, во 2-ом банке. Данная область находится на микросхемах Hynix HY27UH08AG5M 2Гб или аналогах, т.к. она состоит из двух банков памяти по 1 Гб. Поэтому нужно сдампить только последние несколько страниц 2-го банка. Программатор сам покажет, на какой странице заканчивается нанд. Вам нужно указать только диапазон (от и до). В моём случае эта страница с MSID находится в диапазоне 07FFC4-07FFC5
12. Затем, открывается файл дампа в хекс-редакторе, вводите в поиск, что нужно искать, а именно кусок хекс-кода MSID: 204D5350534E5930, что в буквенном выражении означает _MSPSNY0, то есть, это половина 16-значного ключа MSID, которая у всех карт памяти MS PRO DUO одинаковая.
    
    Скриншот MSID

    MSID.png
13. Если не нашли, значит дампим следующие несколько страниц от конца, пока не найдем искомое. Узнав адрес, теперь снимаем только одну страницу, где находится MSID - это ровно 512х4+16х4=2048+64=2112 байт. Микросхему, по спецификации, можно считывать и записывать не менее этого размера, т.е. постранично, но можно сразу больше, многостранично.
14. В хексе меняем 16-значный ID данной карты на ID той карты, с которой был снят комплект оригинальной сервисной карты. Необходимый код ID вы найдёте в папке "MSID 512mb Original" в файле ID.txt.
    Дело в том, что каждый сервисный комплект шифруется уникальным MSID той карты, на которую он записывается, а соответственно им же и расшифровываются все файлы при работе. Это точно так же, как вы делаете запароленный архив WinRAR - какой пароль устанавливаете, таким же паролем разархивируете.
15. После замены ID, не забудьте сохранить файл. Затем обратно вшиваем этот дамп страницы по тому же адресу, откуда сдампили.
16. Впаиваем микросхему на место. Тут нужна осторожность, чтобы не перегреть микросхему и не замкнуть ножки припоем, т.к. ножки мелкие и находятся очень близко друг к другу. Контролируем пайку через лупу, как минимум тут потребуется 8-кратная, профессионалы в мастерских это делают через микроскоп. Хотя профи паяют с закрытыми глазами, но тут нужен опыт, хороший флюс, который сам притягивает припой к ножкам, оплётка, чтобы снимать излишки припоя и т.п.
17. Форматируем изготовленную карту памяти на PSP.
18. Из папки "Write IPL to MS" запускаем "install_psp_ms_multi_loader_ipl.cmd"
19. Только после этого, делаем подключение PSP к компьютеру.
20. В окне консоли видим, как определяется флешка и нажимаем английскую "Y"
21. Видим сообщение "Write MS BOOT CODE" - значит всё отлично.
    • Если выдаётся сообщение "Canceled" - значит не ту букву нажали или не в той раскладке.
    • Если выдаётся сообщение "Check free reserved sector : to small reserved sectors" - значит идём изучать эту тему (Способ №2).
22. Монтируем в Хекс-редактор флешку, как физический диск и удостоверяемся, что в 16-ом секторе присутствует знакомый нам IPL.
23. Из папки "Extracted Files Original" копируем содержимое на флешку и идём прошивать брикнутые ТА-088v3 =)

[ANDPSP]

Сообщение от ErikPshat Из папки "Extracted Files Original" копируем содержимое на флешку и идём прошивать брикнутые ТА-088v3 =)

Ты серьезно ??? Я понимаю что 1 апреля уже скоро, но ведь не завтра :-)

Сообщение от ErikPshat Кстати, проверь, правильная-ли структура папок. А то мне кажется, что что-то лежит не так.

Структура правильная и все лежит так как и було, разве что пары скрытых или системных файлов не хватает - они видать при форматировании появляются сами - MEMSTICK.IND и MSTK_PRO.IND

А у тебя с этим IPL и декриптованными файлами в нужных папках и остальными bin и psar удалось запустить процесс или нет ? Хотя наверное и правда не выйдет - ведь IPL наверное при своей отработке дает команду декриптовать prx.enc а они уже декриптованы или он их просто не найдет раз у них расширение другое, без enc в конце....