{"id":121246,"date":"2025-01-06T15:46:02","date_gmt":"2025-01-06T13:46:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi"},"modified":"2025-01-06T15:46:02","modified_gmt":"2025-01-06T13:46:04","slug":"skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","title":{"rendered":"Den skjulte kommandolinje i synthesizeren Yamaha, som gjorde det muligt at k\u00f8re kode via MIDI","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Anna Antonenko, som arbejder med udvikling af indlejrede systemer og i sin fritid udvikler operativsystemet BOSS (BEAM-baseret Operating System with Security), har offentliggjort resultaterne af reverse engineering af musiksynthesizeren Yamaha PSR-E433. Under det udf\u00f8rte arbejde blev der i synthesizeren identificeret en obfuskeret shell-gr\u00e6nseflade, der gjorde det muligt at udf\u00f8re sin egen kode p\u00e5 firmware-niveau. Adgang til shell-gr\u00e6nsefladen opn\u00e5s ved at sende MIDI-pakker med SysEx-beskeder, som kan overf\u00f8res, n\u00e5r synthesizeren er tilsluttet via USB-porten. Oplysningerne om chippen og firmwaresa samt kodeeksempler og debugging dumps, der blev indhentet under reverse engineering-processen, er tilg\u00e6ngelige p\u00e5 GitHub. <\/p>\n
Interessen for reverse engineering opstod for flere \u00e5r siden, efter at Anna besluttede at reng\u00f8re indmaden i synthesizeren for st\u00f8v og samtidig tilfredsstille sin nysgerrighed, der kom fra \u00f8nsket om at se enhedens indre. P\u00e5 kredsl\u00f8bspladen var der en chip YAMAHA SWL01U, om hvilken det ikke lykkedes at finde detaljerede oplysninger p\u00e5 internettet. For et par m\u00e5neder siden st\u00f8dte Anna p\u00e5 en manual til en lignende model af synthesizer, som indeholdt pinout for denne chip. Anna adskilte enheden igen og begyndte sine eksperimenter ved at udnytte de tilg\u00e6ngelige stifter til JTAG-debugging-gr\u00e6nsefladen og UART-porten.
<\/center> <\/p>\n
Ved hj\u00e6lp af debuggeren OpenOCD, tilslutning til JTAG og eksperimenter blev det fastsl\u00e5et, at der p\u00e5 kredsl\u00f8bspladen anvendes en chip med ARM7TDMI processorarkitektur. Efter at have studeret hukommelseslayoutet i debuggeren, var det muligt at udtr\u00e6kke indholdet af firmwares, der var placeret i ROM og Flash-hukommelse. Bagefter blev firmwarebilledet analyseret i reverse engineering-pakken Ghidra. <\/p>\n
Under gennemgangen af de udvalgte strenge fra firmwaren blev der bem\u00e6rket et s\u00e6t strenge (\"help\", \"info\", \"ver\", \"logout\" osv.), der minder om kommandoer fra kommandolinjegr\u00e6nsefladen. Unders\u00f8gelsen af pegepunkterne til disse strenge gjorde det muligt at finde koden, der kalder funktioner til h\u00e5ndtering af kommandoer, som minder om login-gr\u00e6nsefladen og kommandolinjen. Det blev ogs\u00e5 afsl\u00f8ret, at der er en kommando \"login\" til aktivering af gr\u00e6nsefladen, hvori adgangskoden \"#0000\" skal sendes. void shell_run_command(char* command_input) { if (shell_login_state == 0) { if (shell_compare_command(command_input, \"login\") == 0) { shell_ask_passwd(); \/\/ prints \"passwd? \" shell_login_state = 1; } } else if (shell_login_state == 1) { if (shell_compare_command(command_input, \"#0000\") == 0) { shell_login_ok(); \/\/ prints \"login OK\" shell_login_state = 2; } else { shell_print(\"Passwd Error\\r\"); shell_login_state = 0; } } else { \/\/ actually run the command } } <\/p>\n
Yderligere unders\u00f8gelse af firmware viste, at kommandoerne behandles i pakker, der altid begynder med de samme 8 byte data og slutter med koden 0xf7. Da ekstern interaktion med synthesizeren kun sker gennem MIDI, og i MIDI-specifikationen er der en s\u00e6rlig kontroltype af meddelelser kaldet SysEx, blev det antaget, at dette netop kunne bruges til at overf\u00f8re kommandoer. Hypotesen blev ogs\u00e5 underst\u00f8ttet af, at SysEx-beskederne og pakkerne, der fortolkes af shell'en, begyndte med koden 0xf0, efterfulgt af producentens identifikationskode 0x43 (Yamaha). <\/p>\n
For at teste hypotesen blev der skrevet et Python-script, der oversatte de indtastede data til pakker af MIDI-protokollen. Og metoden virkede: login passwd? #0000 login OK > help logout help ? info ver stack perf-on perf-off perf-disp d dp d xxxxx d\/s xxxxx m ADDRESS DATA m\/b ADDRESS DATA m\/w ADDRESS DATA m\/l ADDRESS DATA > info DevelopName PSR-E433 DevelopNumber #3341 Main DevelopNumber #3341 Make data & time MAY 16 2012 19:00:57 J\/E Select English > <\/p>\n
I den hj\u00e6lp, der vises ved afsendelse af kommandoen \"help\", var der blandt andet kommandoer til at \u00e6ndre indholdet i hukommelsen. Ved hj\u00e6lp af disse kommandoer kunne man indl\u00e6se vilk\u00e5rlig kode i hukommelsen og overf\u00f8re kontrollen til den ved at \u00e6ndre den peger i stakken, der bruges til at returnere efter behandling af kommandoen. Som et eksperiment blev der i et ubenyttet hukommelsesomr\u00e5de placeret en simpel applikation skrevet i assembler, som viste strengen \"HeloWrld\" p\u00e5 en 8-tegns LCD-indikator. Programmet blev pr\u00e6senteret som en almindelig MIDI-fil, som blot skulle sendes til enheden.
<\/center> <\/p>\n
Derefter begyndte arbejdet med at studere egenskaberne ved grafikudgang til LCD-sk\u00e6rmen, som kulminerede i forberedelsen af kode, der kunne vise vilk\u00e5rligt pixel-indhold i symbolomr\u00e5det, synkront med afspilningen af videoen Bad Apple p\u00e5 en ekstern enhed (video med demonstration).
![\"Den](\"\/wp-content\/uploads\/2025\/01\/98533e09700241752d5b6228310c1c53.jpg\")
<\/center> <\/p>\n![\"Den](\"\/wp-content\/uploads\/2025\/01\/c846c259859ceb3809af994092fcd298.jpg\")
<\/center> <\/p>\n![\"Den](\"\/wp-content\/uploads\/2025\/01\/bcddc31a967d7c8e1c617c0129c92dd8.jpg\")
<\/center> ![\"Afspil](\"https:\/\/img.youtube.com\/vi\/u6sukVMijBg\/hqdefault.jpg\")
\r\n