{"id":121246,"date":"2025-01-06T15:46:02","date_gmt":"2025-01-06T13:46:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi"},"modified":"2025-01-06T15:46:02","modified_gmt":"2025-01-06T13:46:04","slug":"skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","title":{"rendered":"Verstecktes Kommando-Interface im Yamaha-Synthesizer, das die Ausf\u00fchrung von Code \u00fcber MIDI erm\u00f6glichte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Anna Antonenko, die sich mit der Entwicklung eingebetteter Systeme besch\u00e4ftigt und in ihrer Freizeit das Betriebssystem BOSS (BEAM-basierte Betriebssystem mit Sicherheit) weiterentwickelt, ver\u00f6ffentlichte die Ergebnisse ihrer Reverse-Engineering-Arbeiten an dem Yamaha PSR-E433 Synthesizer. W\u00e4hrend der durchgef\u00fchrten Arbeiten wurde im Synthesizer eine obfuskierte Shell-Oberfl\u00e4che entdeckt, die es erm\u00f6glichte, eigenen Code auf Firmware-Ebene auszuf\u00fchren. Der Zugang zur Shell-Oberfl\u00e4che erfolgt durch das Senden von MIDI-Paketen mit SysEx-Nachrichten, die beim Anschluss des Synthesizers \u00fcber den USB-Port \u00fcbertragen werden k\u00f6nnen. Die w\u00e4hrend des Reverse Engineerings gewonnenen Informationen \u00fcber den Chip und die Firmware sowie Beispielcode und Debug Dumps sind auf GitHub ver\u00f6ffentlicht. <\/p>\n
Das Interesse am Reverse Engineering entstand vor einigen Jahren, nachdem Anna beschlossen hatte, die Innereien des Synthesizers von Staub zu reinigen und gleichzeitig ihrer Neugier nachzugehen, das Innenleben des Ger\u00e4ts zu betrachten. Auf der Platine war der Chip YAMAHA SWL01U vorhanden, \u00fcber den im Internet keine detaillierten Informationen zu finden waren. Vor ein paar Monaten stie\u00df Anna auf ein Handbuch zu einem \u00e4hnlichen Modell des Synthesizers, in dem die Pinbelegung dieses Chips angegeben war. Anna zerlegte das Ger\u00e4t erneut und begann mit Experimenten, indem sie die vorhandenen Pins f\u00fcr die Debug-Schnittstelle JTAG und den UART-Port nutzte.
<\/center> <\/p>\n
Durch den Einsatz des Debuggers OpenOCD, die Verbindung zu JTAG und Experimente wurde festgestellt, dass auf der Platine ein Chip mit ARM7TDMI-Prozessorkern verwendet wird. Nach der Untersuchung des Speicherlayouts im Debugger gelang es, den Inhalt der in ROM und Flash-Speicher abgelegten Firmware zu extrahieren. Anschlie\u00dfend wurden die Firmware-Abbilder im Reverse-Engineering-Paket Ghidra analysiert. <\/p>\n
Beim Durchsehen der aus der Firmware extrahierten Textdaten fiel ein Satz von Strings auf («help, «info», «ver», «logout» usw.), die an Befehle einer Shell erinnern. Die Untersuchung der Verweise auf diese Strings erm\u00f6glichte es, den Code zu finden, der Funktionen zum Verarbeiten von Befehlen aufruft, der dem Anmeldeinterface und einer Kommandozeile \u00e4hnelt. Es wurde auch festgestellt, dass zur Aktivierung der Shell der Befehl «login» erforderlich ist, dem das Passwort «#0000» \u00fcbermittelt werden muss. void shell_run_command(char* command_input) { if (shell_login_state == 0) { if (shell_compare_command(command_input, «login») == 0) { shell_ask_passwd(); \/\/ gibt «passwd? » aus shell_login_state = 1; } } else if (shell_login_state == 1) { if (shell_compare_command(command_input, «#0000») == 0) { shell_login_ok(); \/\/ gibt «login OK» aus shell_login_state = 2; } else { shell_print(«Passwd Error\r»); shell_login_state = 0; } } else { \/\/ tats\u00e4chlich den Befehl ausf\u00fchren } } <\/p>\n
Eine weitergehende Untersuchung der Firmware zeigte, dass die Befehle in Paketen verarbeitet werden, die immer mit denselben 8 Bytes Daten beginnen und mit dem Code 0xf7 enden. Da die externe Interaktion mit dem Synthesizer ausschlie\u00dflich \u00fcber MIDI erfolgt und in der MIDI-Spezifikation ein spezieller Diensttyp von Nachrichten, SysEx, vorgesehen ist, wurde vermutet, dass genau dieser zur \u00dcbertragung von Befehlen verwendet werden k\u00f6nnte. Diese Annahme wurde auch dadurch gest\u00fctzt, dass sowohl SysEx-Nachrichten als auch die von der Shell interpretierten Pakete mit dem Code 0xf0 begannen, gefolgt von der Hersteller-ID 0x43 (Yamaha). <\/p>\n
Zur \u00dcberpr\u00fcfung der Hypothese wurde ein Python-Skript erstellt, das die eingegebenen Daten in MIDI-Protokollpakete umwandelte. Und die Methode funktionierte: login passwd? #0000 login OK > help logout help ? info ver stack perf-on perf-off perf-disp d dp d xxxxx d\/s xxxxx m ADDRESS DATA m\/b ADDRESS DATA m\/w ADDRESS DATA m\/l ADDRESS DATA > info DevelopName PSR-E433 DevelopNumber #3341 Main DevelopNumber #3341 Make data & time MAY 16 2012 19:00:57 J\/E Select English > <\/p>\n
In der Hilfeausgabe, die beim Senden des Befehls «help» angezeigt wurde, waren unter anderem Befehle zur \u00c4nderung des Inhalts des Speichers enthalten. Mit diesen Befehlen war es m\u00f6glich, beliebigen Code in den Speicher zu laden und die Kontrolle dar\u00fcber zu \u00fcbernehmen, indem der R\u00fcckgabeverweis im Stack ge\u00e4ndert wurde, der nach der Bearbeitung des Befehls genutzt wird. Im Rahmen eines Experiments wurde in einem ungenutzten Speicherbereich eine einfache Anwendung in Assembler erstellt, die die Zeichenfolge «HeloWrld» auf einem 8-Zeichen-LCD-Display ausgibt. Das Programm wurde in Form einer normalen MIDI-Datei gestaltet, die einfach an das Ger\u00e4t gesendet werden musste.
<\/center> <\/p>\n
Daraufhin begann die Arbeit zur Untersuchung der Besonderheiten der Grafikdarstellung auf dem LCD-Display, die ihren H\u00f6hepunkt in der Vorbereitung von Code fand, der beliebige Pixelinhalte synchron zur Wiedergabe des Videos \u201eBad Apple\u201c auf einem externen Ger\u00e4t ausgab (Video mit einer Demo).
![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/98533e09700241752d5b6228310c1c53.jpg\")
<\/center> <\/p>\n![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/c846c259859ceb3809af994092fcd298.jpg\")
<\/center> <\/p>\n![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/bcddc31a967d7c8e1c617c0129c92dd8.jpg\")
<\/center> ![\"Video](\"https:\/\/img.youtube.com\/vi\/u6sukVMijBg\/hqdefault.jpg\")
\r\n