बाहरी सेल्फ-एन्क्रिप्टिंग ड्राइव को रिवर्स करना और हैक करना मेरा पुराना शौक है। अतीत में, मुझे Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 जैसे मॉडलों के साथ अभ्यास करने का अवसर मिला था। अभी हाल ही में, एक सहकर्मी मेरे लिए एक और प्रदर्शनी लेकर आया: पैट्रियट (एगो) एसके8671, जो एक विशिष्ट डिज़ाइन के अनुसार बनाया गया है - एक एलसीडी संकेतक और पिन कोड दर्ज करने के लिए एक कीबोर्ड। उससे यही निकला...

1। परिचय
2. हार्डवेयर आर्किटेक्चर
– 2.1. मुख्य बोर्ड
– 2.2. एलसीडी सूचक बोर्ड
– 2.3. कीबोर्ड बोर्ड
– 2.4. तारों को देख रहे हैं
3. आक्रमण चरणों का क्रम
– 3.1. SPI फ़्लैश ड्राइव से डेटा डंप लेना
– 3.2. संचार सूँघना

1। परिचय

आवास

पैकिंग

डिस्क पर संग्रहीत डेटा तक पहुंच, जिसे एन्क्रिप्टेड माना जाता है, पिन कोड दर्ज करने के बाद किया जाता है। इस उपकरण पर कुछ परिचयात्मक नोट्स:

• पिन कोड बदलने के लिए, आपको अनलॉक करने से पहले F1 दबाना होगा;
• पिन कोड में 6 से 9 अंक होने चाहिए;
• 15 गलत प्रयासों के बाद, डिस्क साफ़ हो जाती है।

2. हार्डवेयर आर्किटेक्चर

सबसे पहले, हम यह समझने के लिए डिवाइस को भागों में विच्छेदित करते हैं कि इसमें कौन से घटक शामिल हैं। सबसे कठिन काम केस को खोलना है: बहुत सारे सूक्ष्म पेंच और प्लास्टिक। केस खोलने पर, हम निम्नलिखित देखते हैं (मेरे द्वारा सोल्डर किए गए पांच-पिन कनेक्टर पर ध्यान दें):

2.1. मुख्य बोर्ड

मुख्य बोर्ड काफी सरल है:

इसके सबसे उल्लेखनीय भाग (ऊपर से नीचे तक देखें):

• एलसीडी संकेतक के लिए कनेक्टर (CN1);
• ट्वीटर (एसपी1);
• Pm25LD010 (विनिर्देश) एसपीआई फ्लैश ड्राइव (यू2);
• Jmicron JMS539 नियंत्रक (विनिर्देश) USB-SATA (U1) के लिए;
• यूएसबी 3 कनेक्टर (जे1)।

SPI फ़्लैश ड्राइव JMS539 के लिए फ़र्मवेयर और कुछ सेटिंग्स संग्रहीत करता है।

2.2. एलसीडी सूचक बोर्ड

एलसीडी बोर्ड पर कुछ भी उल्लेखनीय नहीं है।

केवल:

• अज्ञात मूल का एलसीडी संकेतक (संभवतः चीनी फ़ॉन्ट सेट के साथ); अनुक्रमिक नियंत्रण के साथ;
• कीबोर्ड बोर्ड के लिए रिबन कनेक्टर।

2.3. कीबोर्ड बोर्ड

कीबोर्ड बोर्ड की जांच करते समय, चीजें अधिक दिलचस्प मोड़ लेती हैं।

यहां, पीछे की तरफ, हम एक रिबन कनेक्टर, साथ ही एक साइप्रस CY8C21434 माइक्रोकंट्रोलर PSoC 1 देखते हैं (इसके बाद हम इसे केवल PSoC कहेंगे)

CY8C21434 M8C निर्देश सेट का उपयोग करता है (देखें)। प्रलेखन). [उत्पाद पृष्ठ]((http://www.cypress.com/part/cy8c21434-24ltxi) यह संकेत दिया गया है कि यह प्रौद्योगिकी का समर्थन करता है कैपसेंस (कैपेसिटिव कीबोर्ड के लिए साइप्रस से समाधान)। यहां आप मेरे द्वारा सोल्डर किए गए पांच-पिन कनेक्टर को देख सकते हैं - यह आईएसएसपी इंटरफ़ेस के माध्यम से एक बाहरी प्रोग्रामर को जोड़ने के लिए एक मानक दृष्टिकोण है।

2.4. तारों को देख रहे हैं

आइए जानें कि यहां क्या जुड़ा है। ऐसा करने के लिए, बस मल्टीमीटर से तारों का परीक्षण करें:

घुटने पर खींचे गए इस चित्र के लिए स्पष्टीकरण:

• पीएसओसी का वर्णन तकनीकी विनिर्देश में किया गया है;
• अगला कनेक्टर, दाईं ओर वाला, ISSP इंटरफ़ेस है, जो भाग्य की इच्छा से, इंटरनेट पर इसके बारे में जो लिखा गया है, उससे मेल खाता है;
• सबसे दाहिना कनेक्टर कीबोर्ड बोर्ड के रिबन कनेक्टर के लिए टर्मिनल है;
• काला आयत CN1 कनेक्टर का एक चित्र है, जिसे मुख्य बोर्ड को एलसीडी बोर्ड से जोड़ने के लिए डिज़ाइन किया गया है। पी11, पी13 और पी4 एलसीडी बोर्ड पर पीएसओसी पिन 11, 13 और 4 से जुड़े हुए हैं।

3. आक्रमण चरणों का क्रम

अब जब हम जानते हैं कि इस ड्राइव में कौन से घटक शामिल हैं, तो हमें यह करना होगा: 1) सुनिश्चित करें कि मूल एन्क्रिप्शन कार्यक्षमता वास्तव में मौजूद है; 2) पता लगाएं कि एन्क्रिप्शन कुंजियाँ कैसे उत्पन्न/सहेजी जाती हैं; 3) पता लगाएं कि पिन कोड की जांच कहां की जाएगी।

ऐसा करने के लिए मैंने निम्नलिखित कदम उठाए:

• एसपीआई फ्लैश ड्राइव से डेटा डंप लिया;
• PSoC फ़्लैश ड्राइव से डेटा डंप करने का प्रयास किया गया;
• सत्यापित किया गया कि Cypress PSoC और JMS539 के बीच संचार में वास्तव में कीस्ट्रोक्स शामिल हैं;
• मैंने यह सुनिश्चित किया कि पासवर्ड बदलते समय, एसपीआई फ्लैश ड्राइव में कुछ भी अधिलेखित न हो;
• JMS8051 से 539 फ़र्मवेयर को उलटने में बहुत आलसी था।

3.1. SPI फ़्लैश ड्राइव से डेटा डंप लेना

यह प्रक्रिया बहुत ही सरल है:

• जांच को फ्लैश ड्राइव के पैरों से कनेक्ट करें: सीएलके, एमओएसआई, एमआईएसओ और (वैकल्पिक) एन;
• एक तर्क विश्लेषक का उपयोग करके एक खोजी उपकरण के साथ संचार को "सूंघना" (मैंने इसका उपयोग किया)। सलाई लॉजिक प्रो 16);
• एसपीआई प्रोटोकॉल को डिकोड करें और सीएसवी को परिणाम निर्यात करें;
• लाभ उठाओ डिकोड_spi.rbपरिणामों को पार्स करने और डंप प्राप्त करने के लिए।

कृपया ध्यान दें कि यह दृष्टिकोण JMS539 नियंत्रक के मामले में विशेष रूप से अच्छी तरह से काम करता है, क्योंकि यह नियंत्रक प्रारंभिक चरण में फ्लैश ड्राइव से सभी फर्मवेयर लोड करता है।

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

एसपीआई फ्लैश ड्राइव से डंप लेने के बाद, मैं इस निष्कर्ष पर पहुंचा कि इसका एकमात्र कार्य जेमाइक्रोन नियंत्रण डिवाइस के लिए फर्मवेयर को स्टोर करना है, जो 8051 माइक्रोकंट्रोलर में बनाया गया है। दुर्भाग्य से, SPI फ़्लैश ड्राइव का डंप लेना बेकार साबित हुआ:

• जब पिन कोड बदला जाता है, तो फ्लैश ड्राइव डंप वही रहता है;
• आरंभीकरण चरण के बाद, डिवाइस एसपीआई फ्लैश ड्राइव तक नहीं पहुंचता है।

3.2. संचार सूँघना

यह यह पता लगाने का एक तरीका है कि रुचि के समय/सामग्री के लिए संचार की जाँच के लिए कौन सी चिप जिम्मेदार है। जैसा कि हम पहले से ही जानते हैं, USB-SATA नियंत्रक कनेक्टर CN1 और दो रिबन के माध्यम से Cypress PSoC LCD से जुड़ा है। इसलिए, हम जांच को तीन संबंधित पैरों से जोड़ते हैं:

• पी4, सामान्य इनपुट/आउटपुट;
• पी11, आई2सी एससीएल;
• पी13, आई2सी एसडीए।

फिर हम Saleae तर्क विश्लेषक लॉन्च करते हैं और कीबोर्ड पर प्रवेश करते हैं: "123456~"। परिणामस्वरूप, हम निम्नलिखित चित्र देखते हैं।

इस पर हम तीन डेटा एक्सचेंज चैनल देख सकते हैं:

• चैनल पी4 पर कई छोटे विस्फोट होते हैं;
• P11 और P13 पर - लगभग निरंतर डेटा विनिमय।

चैनल P4 (पिछले चित्र में नीला आयत) पर पहले स्पाइक पर ज़ूम करने पर, हम निम्नलिखित देखते हैं:

यहां आप देख सकते हैं कि P4 पर लगभग 70ms का नीरस सिग्नल है, जो पहले मुझे लगा कि यह एक क्लॉक सिग्नल की भूमिका निभा रहा है। हालाँकि, अपने अनुमान की जाँच करने में कुछ समय बिताने के बाद, मुझे पता चला कि यह एक घड़ी संकेत नहीं है, बल्कि एक ऑडियो स्ट्रीम है जो कुंजी दबाए जाने पर ट्वीटर पर आउटपुट होता है। इसलिए, सिग्नल के इस खंड में हमारे लिए उपयोगी जानकारी नहीं है। हालाँकि, इसका उपयोग यह जानने के लिए एक संकेतक के रूप में किया जा सकता है कि पीएसओसी कब कुंजी दबाने को पंजीकृत करता है।

हालाँकि, नवीनतम P4 ऑडियो स्ट्रीम थोड़ा अलग है: यह "अमान्य पिन" के लिए ऑडियो है!

कीस्ट्रोक ग्राफ़ पर लौटने पर, अंतिम ऑडियो स्ट्रीम ग्राफ़ पर ज़ूम इन करने पर (नीला आयत फिर से देखें), हमें मिलता है:

यहां हम P11 पर नीरस सिग्नल देखते हैं। तो ऐसा लगता है कि यह घड़ी का संकेत है। और P13 डेटा है. ध्यान दें कि बीप समाप्त होने के बाद पैटर्न कैसे बदलता है। यह देखना दिलचस्प होगा कि यहां क्या होता है.

दो तारों के साथ काम करने वाले प्रोटोकॉल आमतौर पर SPI या I2C होते हैं, और साइप्रस पर तकनीकी विनिर्देश बताता है कि ये पिन I2C के अनुरूप हैं, जो हम देखते हैं कि हमारे मामले में सच है:

USB-SATA चिपसेट कुंजी की स्थिति को पढ़ने के लिए PSoC को लगातार पोल करता है, जो डिफ़ॉल्ट रूप से "0" है। फिर, जब आप "1" कुंजी दबाते हैं, तो यह "1" में बदल जाता है। यदि गलत पिन कोड दर्ज किया गया है तो "~" दबाने के तुरंत बाद अंतिम ट्रांसमिशन अलग होता है। हालाँकि, फिलहाल मैंने जाँच नहीं की है कि वास्तव में वहाँ क्या प्रसारित किया जा रहा है। लेकिन मुझे संदेह है कि यह एन्क्रिप्शन कुंजी होने की संभावना नहीं है। वैसे भी, यह समझने के लिए अगला भाग देखें कि मैंने PSoC आंतरिक फ़र्मवेयर को कैसे हटाया।

स्रोत: www.habr.com