એક્સટર્નલ સેલ્ફ-એન્ક્રિપ્ટીંગ ડ્રાઇવને રિવર્સિંગ અને હેક કરવું એ મારો જૂનો શોખ છે. ભૂતકાળમાં, મને Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 જેવા મોડેલો સાથે પ્રેક્ટિસ કરવાની તક મળી. હમણાં જ, એક સાથીદાર મને બીજું એક્ઝિબિટ લાવ્યો: પેટ્રિઓટ (એગો) SK8671, જે એક લાક્ષણિક ડિઝાઇન અનુસાર બનાવવામાં આવ્યું છે - એક LCD સૂચક અને પિન કોડ દાખલ કરવા માટેનું કીબોર્ડ. તે જ તેમાંથી બહાર આવ્યું છે ...

1. પરિચય
2. હાર્ડવેર આર્કિટેક્ચર
- 2.1. મુખ્ય બોર્ડ
- 2.2. એલસીડી સૂચક બોર્ડ
- 2.3. કીબોર્ડ બોર્ડ
- 2.4. વાયરો જોતા
3. હુમલાના પગલાઓનો ક્રમ
- 3.1. SPI ફ્લેશ ડ્રાઇવમાંથી ડેટા ડમ્પ લેવો
- 3.2. સુંઘવાનું સંચાર

1. પરિચય

હાઉસિંગ

Упаковка

ડિસ્ક પર સંગ્રહિત ડેટાની ઍક્સેસ, જે માનવામાં આવે છે કે એન્ક્રિપ્ટેડ છે, તે પિન કોડ દાખલ કર્યા પછી હાથ ધરવામાં આવે છે. આ ઉપકરણ પર કેટલીક પ્રારંભિક નોંધો:

• PIN કોડ બદલવા માટે, તમારે અનલૉક કરતા પહેલા F1 દબાવવું આવશ્યક છે;
• પિન કોડમાં 6 થી 9 અંકો હોવા જોઈએ;
• 15 ખોટા પ્રયત્નો પછી, ડિસ્ક સાફ થઈ જાય છે.

2. હાર્ડવેર આર્કિટેક્ચર

પ્રથમ, અમે ઉપકરણને ભાગોમાં વિચ્છેદ કરીએ છીએ જેથી તે સમજવા માટે કે તે કયા ઘટકો ધરાવે છે. સૌથી કંટાળાજનક કાર્ય એ કેસ ખોલવાનું છે: ઘણા બધા માઇક્રોસ્કોપિક સ્ક્રૂ અને પ્લાસ્ટિક. કેસ ખોલ્યા પછી, અમે નીચે આપેલા જોશું (મેં સોલ્ડર કરેલા પાંચ-પિન કનેક્ટર પર ધ્યાન આપો):

2.1. મુખ્ય બોર્ડ

મુખ્ય બોર્ડ એકદમ સરળ છે:

તેના સૌથી નોંધપાત્ર ભાગો (ઉપરથી નીચે સુધી જુઓ):

• એલસીડી સૂચક માટે કનેક્ટર (CN1);
• ટ્વિટર (SP1);
• Pm25LD010 (સ્પષ્ટીકરણ) SPI ફ્લેશ ડ્રાઇવ (U2);
• Jmicron JMS539 નિયંત્રક (સ્પષ્ટીકરણ) USB-SATA (U1) માટે;
• USB 3 કનેક્ટર (J1).

SPI ફ્લેશ ડ્રાઇવ JMS539 અને કેટલીક સેટિંગ્સ માટે ફર્મવેરને સંગ્રહિત કરે છે.

2.2. એલસીડી સૂચક બોર્ડ

એલસીડી બોર્ડ પર નોંધપાત્ર કંઈ નથી.

માત્ર:

• અજાણ્યા મૂળના એલસીડી સૂચક (કદાચ ચાઇનીઝ ફોન્ટ સેટ સાથે); ક્રમિક નિયંત્રણ સાથે;
• કીબોર્ડ બોર્ડ માટે રિબન કનેક્ટર.

2.3. કીબોર્ડ બોર્ડ

કીબોર્ડ બોર્ડની તપાસ કરતી વખતે, વસ્તુઓ વધુ રસપ્રદ વળાંક લે છે.

અહીં, પાછળની બાજુએ, આપણે એક રિબન કનેક્ટર, તેમજ સાયપ્રસ CY8C21434 માઇક્રોકન્ટ્રોલર PSoC 1 જોઈએ છીએ (ત્યારબાદ આપણે તેને PSoC કહીશું)

CY8C21434 M8C સૂચના સમૂહનો ઉપયોગ કરે છે (જુઓ દસ્તાવેજીકરણ). [ઉત્પાદન પૃષ્ઠ] પર((http://www.cypress.com/part/cy8c21434-24ltxi) તે દર્શાવેલ છે કે તે ટેક્નોલોજીને સપોર્ટ કરે છે CapSense (સાયપ્રેસમાંથી ઉકેલ, કેપેસિટીવ કીબોર્ડ માટે). અહીં તમે પાંચ-પિન કનેક્ટર જોઈ શકો છો જે મેં સોલ્ડર કર્યું છે - ISSP ઇન્ટરફેસ દ્વારા બાહ્ય પ્રોગ્રામરને કનેક્ટ કરવા માટે આ એક માનક અભિગમ છે.

2.4. વાયરો જોતા

ચાલો જાણીએ કે અહીં શું જોડાયેલ છે. આ કરવા માટે, ફક્ત મલ્ટિમીટર સાથે વાયરનું પરીક્ષણ કરો:

ઘૂંટણ પર દોરેલા આ આકૃતિ માટેના સ્પષ્ટતા:

• PSoC નું વર્ણન તકનીકી સ્પષ્ટીકરણમાં કરવામાં આવ્યું છે;
• આગલું કનેક્ટર, જમણી બાજુનું એક, ISSP ઇન્ટરફેસ છે, જે, ભાગ્યની ઇચ્છાથી, ઇન્ટરનેટ પર તેના વિશે જે લખ્યું છે તેને અનુરૂપ છે;
• સૌથી જમણો કનેક્ટર એ કીબોર્ડ બોર્ડ સાથે રિબન કનેક્ટર માટેનું ટર્મિનલ છે;
• કાળો લંબચોરસ એ CN1 કનેક્ટરનું ડ્રોઇંગ છે, જે મુખ્ય બોર્ડને LCD બોર્ડ સાથે જોડવા માટે રચાયેલ છે. P11, P13 અને P4 એ LCD બોર્ડ પર PSoC પિન 11, 13 અને 4 સાથે જોડાયેલા છે.

3. હુમલાના પગલાઓનો ક્રમ

હવે જ્યારે આપણે જાણીએ છીએ કે આ ડ્રાઇવમાં કયા ઘટકોનો સમાવેશ થાય છે, તો અમારે આ કરવાની જરૂર છે: 1) ખાતરી કરો કે મૂળભૂત એન્ક્રિપ્શન કાર્યક્ષમતા ખરેખર હાજર છે; 2) એન્ક્રિપ્શન કી કેવી રીતે જનરેટ/સેવ થાય છે તે શોધો; 3) પિન કોડ બરાબર ક્યાં તપાસવામાં આવશે તે શોધો.

આ કરવા માટે, મેં નીચેના પગલાં લીધાં:

• SPI ફ્લેશ ડ્રાઇવમાંથી ડેટા ડમ્પ લીધો;
• PSoC ફ્લેશ ડ્રાઇવમાંથી ડેટા ડમ્પ કરવાનો પ્રયાસ કર્યો;
• સાયપ્રેસ PSoC અને JMS539 વચ્ચેના સંદેશાવ્યવહારમાં ખરેખર કીસ્ટ્રોક શામેલ છે તે ચકાસ્યું;
• મેં ખાતરી કરી છે કે પાસવર્ડ બદલતી વખતે, SPI ફ્લેશ ડ્રાઇવમાં કંઈપણ ઓવરરાઈટ થયું નથી;
• JMS8051 માંથી 539 ફર્મવેરને રિવર્સ કરવામાં ખૂબ આળસુ હતું.

3.1. SPI ફ્લેશ ડ્રાઇવમાંથી ડેટા ડમ્પ લેવો

આ પ્રક્રિયા ખૂબ જ સરળ છે:

• ફ્લેશ ડ્રાઇવના પગ સાથે પ્રોબ્સને જોડો: CLK, MOSI, MISO અને (વૈકલ્પિક) EN;
• લોજિક વિશ્લેષકનો ઉપયોગ કરીને સ્નિફર સાથે "સુંઘો" સંચાર (મેં ઉપયોગ કર્યો સાલી લોજિક પ્રો 16);
• SPI પ્રોટોકોલ ડીકોડ કરો અને CSV માં પરિણામો નિકાસ કરો;
• લાભ લો decode_spi.rbપરિણામોનું વિશ્લેષણ કરવા અને ડમ્પ મેળવવા માટે.

મહેરબાની કરીને નોંધ કરો કે આ અભિગમ ખાસ કરીને JMS539 નિયંત્રકના કિસ્સામાં સારી રીતે કાર્ય કરે છે, કારણ કે આ નિયંત્રક પ્રારંભિક તબક્કે ફ્લેશ ડ્રાઇવમાંથી તમામ ફર્મવેર લોડ કરે છે.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

એસપીઆઈ ફ્લેશ ડ્રાઇવમાંથી ડમ્પ લીધા પછી, હું નિષ્કર્ષ પર આવ્યો કે તેનું એકમાત્ર કાર્ય જેમાઇક્રોન કંટ્રોલ ડિવાઇસ માટે ફર્મવેર સ્ટોર કરવાનું છે, જે 8051 માઇક્રોકન્ટ્રોલરમાં બનેલું છે. કમનસીબે, SPI ફ્લેશ ડ્રાઇવનો ડમ્પ લેવાનું નકામું બહાર આવ્યું:

• જ્યારે પિન કોડ બદલાય છે, ત્યારે ફ્લેશ ડ્રાઇવ ડમ્પ સમાન રહે છે;
• પ્રારંભિક તબક્કા પછી, ઉપકરણ SPI ફ્લેશ ડ્રાઇવને ઍક્સેસ કરતું નથી.

3.2. સુંઘવાનું સંચાર

રસના સમય/સામગ્રી માટે સંચાર તપાસવા માટે કઈ ચિપ જવાબદાર છે તે શોધવાની આ એક રીત છે. જેમ આપણે પહેલાથી જ જાણીએ છીએ, યુએસબી-એસએટીએ કંટ્રોલર સાયપ્રેસ પીએસઓસી એલસીડી સાથે કનેક્ટર CN1 અને બે રિબન દ્વારા જોડાયેલ છે. તેથી, અમે ચકાસણીઓને ત્રણ અનુરૂપ પગ સાથે જોડીએ છીએ:

• P4, સામાન્ય ઇનપુટ/આઉટપુટ;
• P11, I2C SCL;
• P13, I2C SDA.

પછી અમે Saleae લોજિક વિશ્લેષક લોન્ચ કરીએ છીએ અને કીબોર્ડ પર દાખલ કરીએ છીએ: “123456~”. પરિણામે, આપણે નીચેનો આકૃતિ જોઈએ છીએ.

તેના પર આપણે ત્રણ ડેટા એક્સચેન્જ ચેનલો જોઈ શકીએ છીએ:

• ચેનલ P4 પર ઘણા ટૂંકા વિસ્ફોટો છે;
• P11 અને P13 પર - લગભગ સતત ડેટા એક્સચેન્જ.

ચેનલ P4 (અગાઉની આકૃતિમાં વાદળી લંબચોરસ) પર પ્રથમ સ્પાઇક પર ઝૂમ કરીને, અમે નીચેની બાબતો જોઈએ છીએ:

અહીં તમે જોઈ શકો છો કે P4 પર લગભગ 70ms નો એકવિધ સિગ્નલ છે, જે મને પહેલા ઘડિયાળના સંકેતની ભૂમિકા ભજવતો લાગતો હતો. જો કે, મારા અનુમાનને તપાસવામાં થોડો સમય પસાર કર્યા પછી, મેં શોધ્યું કે આ ઘડિયાળનું સિગ્નલ નથી, પરંતુ એક ઑડિઓ સ્ટ્રીમ છે જે જ્યારે કી દબાવવામાં આવે છે ત્યારે ટ્વીટરમાં આઉટપુટ થાય છે. તેથી, સિગ્નલના આ વિભાગમાં આપણા માટે ઉપયોગી માહિતી શામેલ નથી. જો કે, PSoC કી પ્રેસની નોંધણી ક્યારે કરે છે તે જાણવા માટે તેનો સૂચક તરીકે ઉપયોગ કરી શકાય છે.

જો કે, નવીનતમ P4 ઑડિયો સ્ટ્રીમ થોડી અલગ છે: તે "અમાન્ય PIN" માટે ઑડિયો છે!

કીસ્ટ્રોક ગ્રાફ પર પાછા ફરીને, છેલ્લા ઑડિઓ સ્ટ્રીમ ગ્રાફ પર ઝૂમ કરીને (ફરીથી વાદળી લંબચોરસ જુઓ), અમને મળે છે:

અહીં આપણે P11 પર એકવિધ સંકેતો જોઈએ છીએ. તેથી એવું લાગે છે કે આ ઘડિયાળનો સંકેત છે. અને P13 ડેટા છે. બીપ સમાપ્ત થયા પછી પેટર્ન કેવી રીતે બદલાય છે તેના પર ધ્યાન આપો. અહીં શું થાય છે તે જોવું રસપ્રદ રહેશે.

પ્રોટોકોલ જે બે વાયર સાથે કામ કરે છે તે સામાન્ય રીતે SPI અથવા I2C હોય છે, અને સાયપ્રેસ પરની તકનીકી સ્પષ્ટીકરણ જણાવે છે કે આ પિન I2C ને અનુરૂપ છે, જે આપણે જોઈએ છીએ કે અમારા કિસ્સામાં સાચું છે:

USB-SATA ચિપસેટ કીની સ્થિતિ વાંચવા માટે સતત PSoC નું મતદાન કરે છે, જે મૂળભૂત રીતે "0" છે. પછી, જ્યારે તમે "1" કી દબાવો છો, ત્યારે તે "1" માં બદલાય છે. જો ખોટો પિન કોડ દાખલ કરવામાં આવ્યો હોય તો “~” દબાવ્યા પછી તરત જ અંતિમ ટ્રાન્સમિશન અલગ છે. જો કે, આ ક્ષણે મેં તપાસ કરી નથી કે ત્યાં ખરેખર શું પ્રસારિત થઈ રહ્યું છે. પરંતુ મને શંકા છે કે આ એક એન્ક્રિપ્શન કી હોવાની શક્યતા નથી. કોઈપણ રીતે, મેં PSoC આંતરિક ફર્મવેરને કેવી રીતે દૂર કર્યું તે સમજવા માટે આગળનો વિભાગ જુઓ.

સોર્સ: www.habr.com