বহিরাগত স্ব-এনক্রিপ্টিং ড্রাইভগুলিকে বিপরীত করা এবং হ্যাক করা আমার পুরানো শখ। অতীতে, আমি Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 এর মতো মডেলগুলির সাথে অনুশীলন করার সুযোগ পেয়েছি। সম্প্রতি, একজন সহকর্মী আমাকে আরেকটি প্রদর্শনী নিয়ে এসেছেন: প্যাট্রিয়ট (আইগো) SK8671, যা একটি সাধারণ নকশা অনুসারে নির্মিত - একটি পিন কোড প্রবেশ করার জন্য একটি এলসিডি সূচক এবং একটি কীবোর্ড। সেটা থেকেই বেরিয়ে এসেছে…

1। ভূমিকা
2. হার্ডওয়্যার আর্কিটেকচার
- 2.1। প্রধান বোর্ড
- 2.2। এলসিডি নির্দেশক বোর্ড
- 2.3 কীবোর্ড বোর্ড
- 2.4। তারের দিকে তাকিয়ে
3. আক্রমণ পদক্ষেপের ক্রম
- 3.1। একটি SPI ফ্ল্যাশ ড্রাইভ থেকে ডেটা ডাম্প নেওয়া
- 3.2। যোগাযোগ sniffing

1। ভূমিকা

হাউজিং

Упаковка

ডিস্কে সঞ্চিত ডেটাতে অ্যাক্সেস, যা অনুমিতভাবে এনক্রিপ্ট করা হয়, পিন কোড প্রবেশ করার পরে বাহিত হয়। এই ডিভাইসে কিছু পরিচায়ক নোট:

• পিন কোড পরিবর্তন করতে, আপনাকে আনলক করার আগে F1 টিপুতে হবে;
• পিন কোডে অবশ্যই 6 থেকে 9 সংখ্যা থাকতে হবে;
• 15টি ভুল প্রচেষ্টার পরে, ডিস্কটি সাফ করা হয়।

2. হার্ডওয়্যার আর্কিটেকচার

প্রথমে, আমরা ডিভাইসটিকে বিভিন্ন অংশে ব্যবচ্ছেদ করি এতে কোন উপাদান রয়েছে তা বোঝার জন্য। সবচেয়ে ক্লান্তিকর কাজ হল কেসটি খোলা: প্রচুর মাইক্রোস্কোপিক স্ক্রু এবং প্লাস্টিক। কেসটি খোলার পরে, আমরা নিম্নলিখিতগুলি দেখতে পাই (আমি সোল্ডার করা পাঁচ-পিন সংযোগকারীর দিকে মনোযোগ দিন):

2.1। প্রধান বোর্ড

প্রধান বোর্ড বেশ সহজ:

এর সবচেয়ে উল্লেখযোগ্য অংশগুলি (উপর থেকে নীচে দেখুন):

• LCD সূচকের জন্য সংযোগকারী (CN1);
• টুইটার (SP1);
• Pm25LD010 (স্পেসিফিকেশন) SPI ফ্ল্যাশ ড্রাইভ (U2);
• Jmicron JMS539 কন্ট্রোলার (স্পেসিফিকেশন) USB-SATA (U1) এর জন্য;
• USB 3 সংযোগকারী (J1)।

SPI ফ্ল্যাশ ড্রাইভ JMS539 এবং কিছু সেটিংসের জন্য ফার্মওয়্যার সংরক্ষণ করে।

2.2। এলসিডি নির্দেশক বোর্ড

LCD বোর্ডে উল্লেখযোগ্য কিছু নেই।

কেবল:

• অজানা উত্সের LCD সূচক (সম্ভবত একটি চীনা ফন্ট সেট সহ); অনুক্রমিক নিয়ন্ত্রণ সহ;
• কীবোর্ড বোর্ডের জন্য রিবন সংযোগকারী।

2.3। কীবোর্ড বোর্ড

কীবোর্ড বোর্ড পরীক্ষা করার সময়, জিনিসগুলি আরও আকর্ষণীয় মোড় নেয়।

এখানে, পিছনের দিকে, আমরা একটি ফিতা সংযোগকারী দেখতে পাচ্ছি, সেইসাথে একটি সাইপ্রেস CY8C21434 মাইক্রোকন্ট্রোলার PSoC 1 (এর পরে আমরা এটিকে কেবল PSoC বলব)

CY8C21434 M8C নির্দেশনা সেট ব্যবহার করে (দেখুন ডকুমেন্টেশন) [পণ্য পৃষ্ঠায়]((http://www.cypress.com/part/cy8c21434-24ltxi) এটি নির্দেশিত হয় যে এটি প্রযুক্তি সমর্থন করে ক্যাপসেন্স (সাইপ্রেস থেকে সমাধান, ক্যাপাসিটিভ কীবোর্ডের জন্য)। এখানে আপনি পাঁচ-পিন সংযোগকারীটি দেখতে পাবেন যা আমি সোল্ডার করেছি - এটি ISSP ইন্টারফেসের মাধ্যমে একটি বহিরাগত প্রোগ্রামারকে সংযুক্ত করার জন্য একটি আদর্শ পদ্ধতি।

2.4। তারের দিকে তাকিয়ে

আসুন এখানে কি সংযুক্ত আছে তা বের করা যাক। এটি করার জন্য, কেবল একটি মাল্টিমিটার দিয়ে তারগুলি পরীক্ষা করুন:

হাঁটুতে আঁকা এই চিত্রটির ব্যাখ্যা:

• PSoC প্রযুক্তিগত স্পেসিফিকেশনে বর্ণিত হয়েছে;
• পরবর্তী সংযোগকারী, ডানদিকের একটি, হল ISSP ইন্টারফেস, যা ভাগ্যের ইচ্ছায়, ইন্টারনেটে এটি সম্পর্কে যা লেখা আছে তার সাথে মিলে যায়;
• ডানদিকের সংযোগকারীটি কীবোর্ড বোর্ডের রিবন সংযোগকারীর টার্মিনাল;
• কালো আয়তক্ষেত্র হল CN1 সংযোগকারীর একটি অঙ্কন, যা প্রধান বোর্ডকে LCD বোর্ডের সাথে সংযুক্ত করার জন্য ডিজাইন করা হয়েছে। P11, P13 এবং P4 LCD বোর্ডে PSoC পিন 11, 13 এবং 4 এর সাথে সংযুক্ত।

3. আক্রমণ পদক্ষেপের ক্রম

এখন যেহেতু আমরা জানি যে এই ড্রাইভটিতে কী কী উপাদান রয়েছে, আমাদের করতে হবে: 1) নিশ্চিত করুন যে মৌলিক এনক্রিপশন কার্যকারিতা আসলে উপস্থিত রয়েছে; 2) কীভাবে এনক্রিপশন কী তৈরি/সংরক্ষিত হয় তা খুঁজে বের করুন; 3) ঠিক কোথায় পিন কোড চেক করা হবে তা খুঁজুন।

এটি করার জন্য আমি নিম্নলিখিত পদক্ষেপগুলি করেছি:

• একটি SPI ফ্ল্যাশ ড্রাইভ থেকে একটি ডাটা ডাম্প নিয়েছে;
• একটি PSoC ফ্ল্যাশ ড্রাইভ থেকে ডেটা ডাম্প করার চেষ্টা করেছে;
• যাচাই করা হয়েছে যে সাইপ্রেস PSoC এবং JMS539-এর মধ্যে যোগাযোগ আসলে চাপা কী রয়েছে;
• আমি নিশ্চিত করেছি যে পাসওয়ার্ড পরিবর্তন করার সময়, SPI ফ্ল্যাশ ড্রাইভে কিছুই ওভাররাইট করা হয় না;
• JMS8051 থেকে 539 ফার্মওয়্যার বিপরীত করতে খুব অলস ছিল।

3.1। একটি SPI ফ্ল্যাশ ড্রাইভ থেকে একটি ডাটা ডাম্প নেওয়া

এই পদ্ধতিটি খুবই সহজ:

• ফ্ল্যাশ ড্রাইভের পায়ে প্রোবগুলিকে সংযুক্ত করুন: CLK, MOSI, MISO এবং (ঐচ্ছিক) EN;
• লজিক বিশ্লেষক ব্যবহার করে স্নিফারের সাথে "স্নিফ" যোগাযোগ (আমি ব্যবহার করেছি Saleae Logic Pro 16);
• SPI প্রোটোকল ডিকোড করুন এবং CSV-তে ফলাফল রপ্তানি করুন;
• সুবিধা নিন decode_spi.rbফলাফল পার্স এবং একটি ডাম্প পেতে.

অনুগ্রহ করে মনে রাখবেন যে এই পদ্ধতিটি JMS539 কন্ট্রোলারের ক্ষেত্রে বিশেষভাবে ভাল কাজ করে, যেহেতু এই নিয়ামকটি প্রাথমিক পর্যায়ে ফ্ল্যাশ ড্রাইভ থেকে সমস্ত ফার্মওয়্যার লোড করে।

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

SPI ফ্ল্যাশ ড্রাইভ থেকে একটি ডাম্প নেওয়ার পরে, আমি এই সিদ্ধান্তে পৌঁছেছি যে এর একমাত্র কাজ হল JMicron কন্ট্রোল ডিভাইসের জন্য ফার্মওয়্যার সংরক্ষণ করা, যা 8051 মাইক্রোকন্ট্রোলারে তৈরি করা হয়েছে। দুর্ভাগ্যবশত, এসপিআই ফ্ল্যাশ ড্রাইভের একটি ডাম্প নেওয়া অকেজো হয়ে উঠেছে:

• যখন পিন কোড পরিবর্তন করা হয়, ফ্ল্যাশ ড্রাইভ ডাম্প একই থাকে;
• প্রাথমিক পর্যায়ের পরে, ডিভাইসটি SPI ফ্ল্যাশ ড্রাইভে অ্যাক্সেস করে না।

3.2। যোগাযোগ sniffing

আগ্রহের সময়/সামগ্রীর জন্য যোগাযোগ চেক করার জন্য কোন চিপ দায়ী তা খুঁজে বের করার এটি একটি উপায়। আমরা ইতিমধ্যেই জানি, USB-SATA কন্ট্রোলার সাইপ্রেস PSoC LCD এর সাথে সংযোগকারী CN1 এবং দুটি ফিতার মাধ্যমে সংযুক্ত। অতএব, আমরা তিনটি সংশ্লিষ্ট পায়ে প্রোবগুলিকে সংযুক্ত করি:

• P4, সাধারণ ইনপুট/আউটপুট;
• P11, I2C SCL;
• P13, I2C SDA।

তারপরে আমরা Saleae লজিক বিশ্লেষক চালু করি এবং কীবোর্ডে প্রবেশ করি: “123456~”। ফলস্বরূপ, আমরা নিম্নলিখিত চিত্রটি দেখতে পাচ্ছি।

এটিতে আমরা তিনটি ডেটা বিনিময় চ্যানেল দেখতে পারি:

• চ্যানেল P4 এ বেশ কয়েকটি ছোট বিস্ফোরণ রয়েছে;
• P11 এবং P13 - প্রায় অবিচ্ছিন্ন ডেটা বিনিময়।

চ্যানেল P4 এর প্রথম স্পাইকে জুম করে (আগের চিত্রে নীল আয়তক্ষেত্র), আমরা নিম্নলিখিতগুলি দেখতে পাচ্ছি:

এখানে আপনি দেখতে পাচ্ছেন যে P4-এ প্রায় 70ms একটি একঘেয়ে সংকেত রয়েছে, যা প্রথমে আমার কাছে ঘড়ির সংকেতের ভূমিকা পালন করে বলে মনে হয়েছিল। যাইহোক, আমার অনুমান চেক করার কিছু সময় ব্যয় করার পরে, আমি আবিষ্কার করেছি যে এটি একটি ঘড়ির সংকেত নয়, তবে একটি অডিও স্ট্রিম যা কী টিপলে টুইটারে আউটপুট হয়। অতএব, সংকেতের এই বিভাগে আমাদের জন্য দরকারী তথ্য নেই। যাইহোক, পিএসওসি কখন কী প্রেস নিবন্ধন করে তা জানার জন্য এটি একটি সূচক হিসাবে ব্যবহার করা যেতে পারে।

যাইহোক, সাম্প্রতিক P4 অডিও স্ট্রিমটি একটু ভিন্ন: এটি "অবৈধ পিন" এর অডিও!

কীস্ট্রোক গ্রাফে ফিরে, শেষ অডিও স্ট্রিম গ্রাফে জুম করে (আবার নীল আয়তক্ষেত্রটি দেখুন), আমরা পাই:

এখানে আমরা P11 এ একঘেয়ে সংকেত দেখতে পাই। তাই মনে হচ্ছে এটি ঘড়ির সংকেত। এবং P13 হল ডেটা। বিপ শেষ হওয়ার পরে প্যাটার্নটি কীভাবে পরিবর্তিত হয় তা লক্ষ্য করুন। এখানে কি ঘটবে তা দেখতে আকর্ষণীয় হবে।

দুটি তারের সাথে কাজ করে এমন প্রোটোকলগুলি সাধারণত SPI বা I2C হয় এবং সাইপ্রেসের প্রযুক্তিগত স্পেসিফিকেশন বলে যে এই পিনগুলি I2C এর সাথে মিলে যায়, যা আমরা দেখতে পাই আমাদের ক্ষেত্রে সত্য:

ইউএসবি-সাটা চিপসেট ক্রমাগত PSoC-কে কী-এর অবস্থা পড়ার জন্য পোল করে, যা ডিফল্টরূপে "0" হয়। তারপর, যখন আপনি "1" কী টিপুন, তখন এটি "1" এ পরিবর্তিত হয়। ভুল পিন কোড প্রবেশ করানো হলে অবিলম্বে "~" চাপার পরে চূড়ান্ত সংক্রমণ ভিন্ন হয়৷ যাইহোক, এই মুহুর্তে আমি সেখানে আসলে কী প্রেরণ করা হচ্ছে তা পরীক্ষা করিনি। কিন্তু আমি সন্দেহ করি যে এটি একটি এনক্রিপশন কী হওয়ার সম্ভাবনা কম। যাইহোক, আমি কীভাবে PSoC অভ্যন্তরীণ ফার্মওয়্যার সরিয়েছি তা বুঝতে পরবর্তী বিভাগটি দেখুন।

উত্স: www.habr.com