{"id":121246,"date":"2025-01-06T15:46:02","date_gmt":"2025-01-06T13:46:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi"},"modified":"2025-01-06T15:46:02","modified_gmt":"2025-01-06T13:46:04","slug":"skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","title":{"rendered":"Verstecktes Kommandozeilen-Interface im Yamaha Synthesizer, das die Ausf\u00fchrung von Code \u00fcber MIDI erm\u00f6glichte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Anna Antonenko, die an der Entwicklung eingebetteter Systeme arbeitet und in ihrer Freizeit das BOSS (BEAM-based Operating System with Security) weiterentwickelt, ver\u00f6ffentlichte die Ergebnisse ihrer Reverse Engineering-Analyse des Yamaha PSR-E433 Synthesizers. Im Rahmen dieser Arbeit wurde ein obfusziertes Shell-Interface im Synthesizer entdeckt, das die Ausf\u00fchrung eigenen Codes auf Firmware-Ebene erm\u00f6glicht. Der Zugriff auf das Shell-Interface erfolgt durch das Senden von MIDI-Paketen mit SysEx-Nachrichten, die \u00fcber den USB-Anschluss des Synthesizers \u00fcbertragen werden k\u00f6nnen. Die w\u00e4hrend des Reverse Engineerings gesammelten Informationen \u00fcber den Chip und die Firmware sowie Beispielcodes und Debug-Dumps sind auf GitHub verf\u00fcgbar. <\/p>\n
Das Interesse am Reverse Engineering entstand vor einigen Jahren, nachdem Anna beschlossen hatte, die Innereien des Synthesizers von Staub zu befreien und gleichzeitig ihrer Neugier nachzugehen, um das Innenleben des Ger\u00e4tes zu betrachten. Auf der Platine war ein YAMAHA SWL01U-Chip vorhanden, zu dem im Internet keine detaillierten Informationen gefunden werden konnten. Vor einigen Monaten stie\u00df Anna auf ein Handbuch f\u00fcr ein \u00e4hnliches Modell des Synthesizers, in dem die Pinbelegung dieses Chips angegeben war. Anna baute das Ger\u00e4t erneut auseinander und begann mit Experimenten, indem sie die vorhandenen Anschl\u00fcsse f\u00fcr die JTAG-Debugging-Schnittstelle und den UART-Port verwendete.
<\/center> <\/p>\n
Mit Hilfe des Debuggers OpenOCD, einer Verbindung zu JTAG und verschiedenen Experimenten wurde festgestellt, dass auf der Platine ein Chip mit einem ARM7TDMI-Prozessor-Kern verwendet wird. Durch das Studium der Speicherzuordnung im Debugger gelang es, den Inhalt der im ROM und Flash-Speicher gespeicherten Firmware auszulesen. Danach wurden die Firmware-Abbilder im Reverse Engineering-Paket Ghidra analysiert. <\/p>\n
Bei der Analyse der aus der Firmware extrahierten Zeichenfolgen wurde eine Reihe von Zeichenfolgen (wie \u201ehelp\u201c, \u201einfo\u201c, \u201ever\u201c, \u201elogout\u201c usw.) entdeckt, die an Befehle einer Shell erinnern. Die Untersuchung der Zeiger auf diese Zeichenfolgen erm\u00f6glichte das Auffinden von Code, der Funktionen zur Verarbeitung von Befehlen aufruft und an ein Login-Interface sowie eine Shell erinnert. Es wurde ebenfalls festgestellt, dass zur Aktivierung der Shell der Befehl \u201elogin\u201c vorgesehen ist, dem das Passwort \u201e#0000\u201c \u00fcbergeben werden muss. void shell_run_command(char* command_input) { if (shell_login_state == 0) { if (shell_compare_command(command_input, \u201elogin\u201c) == 0) { shell_ask_passwd(); \/\/ gibt \u201epasswd?\u201c aus shell_login_state = 1; } } else if (shell_login_state == 1) { if (shell_compare_command(command_input, \u201e#0000\u201c) == 0) { shell_login_ok(); \/\/ gibt \u201elogin OK\u201c aus shell_login_state = 2; } else { shell_print(\u201ePasswd Error\r\u201c); shell_login_state = 0; } } else { \/\/ tats\u00e4chlich den Befehl ausf\u00fchren } } <\/p>\n
Eine weitere Untersuchung der Firmware ergab, dass die Befehle in Paketen verarbeitet werden, die immer mit denselben 8 Byte Daten beginnen und mit dem Code 0xf7 enden. Da das externe Interagieren mit dem Synthesizer ausschlie\u00dflich \u00fcber MIDI erfolgt und die MIDI-Spezifikation einen speziellen Nachrichtentyp f\u00fcr SysEx vorsieht, wurde angenommen, dass dieser f\u00fcr die \u00dcbertragung der Befehle verwendet werden kann. Diese Annahme wurde zudem durch die Tatsache gest\u00e4rkt, dass SysEx-Nachrichten und die von der Shell analysierten Pakete mit dem Code 0xf0 begannen, gefolgt von der Hersteller-ID 0x43 (Yamaha). <\/p>\n
Um die Hypothese zu \u00fcberpr\u00fcfen, wurde ein Python-Skript geschrieben, das die eingegebenen Daten in MIDI-Protokollpakete umsetzte. Und die Methode funktionierte: login passwd? #0000 login OK > help logout help ? info ver stack perf-on perf-off perf-disp d dp d xxxxx d\/s xxxxx m ADDRESS DATA m\/b ADDRESS DATA m\/w ADDRESS DATA m\/l ADDRESS DATA > info DevelopName PSR-E433 DevelopNumber #3341 Main DevelopNumber #3341 Make data & time MAY 16 2012 19:00:57 J\/E Select English > <\/p>\n
In der Hilfe, die beim Senden des Befehls \u201ehelp\u201c angezeigt wurde, waren unter anderem Befehle zur \u00c4nderung des Inhalts des Speichers enthalten. Mit diesen Befehlen war es m\u00f6glich, beliebigen Code in den Speicher zu laden und die Steuerung zu \u00fcbernehmen, indem der Zeiger auf dem Stack ersetzt wurde, der nach Abschluss der Befehlsverarbeitung zur\u00fcckgegeben wird. Im Rahmen eines Experiments wurde in einem ungenutzten Bereich des Speichers eine einfache Anwendung in Assembler geschrieben, die die Zeichenfolge \u201eHeloWrld\u201c auf einem 8-stelligen LCD-Anzeigeger\u00e4t ausgab. Das Programm wurde als regul\u00e4re MIDI-Datei gestaltet, die einfach an das Ger\u00e4t gesendet werden musste.
<\/center> <\/p>\n
Daraufhin begann die Arbeit zur Erforschung der Besonderheiten der Grafikdarstellung auf dem LCD-Display, die ihren H\u00f6hepunkt in der Vorbereitung eines Codes fand, der willk\u00fcrliche Pixelinhalte synchron mit der Wiedergabe des Videos \u201eBad Apple\u201c auf einem externen Ger\u00e4t ausgab (Video mit Demonstration).
![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/98533e09700241752d5b6228310c1c53.jpg\")
<\/center> <\/p>\n![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/c846c259859ceb3809af994092fcd298.jpg\")
<\/center> <\/p>\n![\"Verstecktes](\"\/wp-content\/uploads\/2025\/01\/bcddc31a967d7c8e1c617c0129c92dd8.jpg\")
<\/center> ![\"Video](\"https:\/\/img.youtube.com\/vi\/u6sukVMijBg\/hqdefault.jpg\")
\r\n