{"id":121246,"date":"2025-01-06T15:46:02","date_gmt":"2025-01-06T13:46:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi"},"modified":"2025-01-06T15:46:02","modified_gmt":"2025-01-06T13:46:04","slug":"skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/skrytaya-komandnaya-obolochka-v-sintezatore-yamaha-pozvolivshaya-vypolnit-kod-cherez-midi","title":{"rendered":"Shell nascosta nel sintetizzatore Yamaha, che ha permesso di eseguire codice tramite MIDI","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Anna Antonenko, che si occupa dello sviluppo di sistemi embedded e nel tempo libero sta sviluppando un sistema operativo BOSS (BEAM-based Operating System with Security), ha pubblicato i risultati del reverse engineering del sintetizzatore musicale Yamaha PSR-E433. Durante il lavoro, \u00e8 stata individuata un'interfaccia shell offuscata nel sintetizzatore, che ha permesso di eseguire il proprio codice a livello di firmware. L'accesso all'interfaccia shell avviene inviando pacchetti MIDI con messaggi SysEx, che possono essere trasmessi collegando il sintetizzatore tramite la porta USB. Le informazioni ottenute dal reverse engineering sul chip e sui firmware, insieme a esempi di codice e dump di debug, sono disponibili su GitHub. <\/p>\n
L'interesse per il reverse engineering \u00e8 nato alcuni anni fa, dopo che Anna ha deciso di pulire l'interno del sintetizzatore dalla polvere e ha voluto soddisfare la sua curiosit\u00e0 per vedere il contenuto del dispositivo. Sulla scheda era presente un chip YAMAHA SWL01U, di cui non si \u00e8 riusciti a trovare informazioni dettagliate su internet. Qualche mese fa, Anna si \u00e8 imbattuta in un manuale di un modello simile di sintetizzatore, in cui erano elencati i pin di questo chip. Anna ha nuovamente smontato il dispositivo e ha iniziato a sperimentare, utilizzando i pin disponibili sulla scheda per l'interfaccia di debug JTAG e il porto UART.
<\/center> <\/p>\n
Grazie al debugger OpenOCD, alla connessione JTAG e a vari esperimenti, \u00e8 stato scoperto che sulla scheda \u00e8 utilizzato un chip con core ARM7TDMI. Esaminando la mappatura della memoria nel debugger, \u00e8 stato possibile estrarre il contenuto dei firmware presenti nella ROM e nella memoria Flash. Dopo di che, le immagini dei firmware sono state analizzate utilizzando il pacchetto di reverse engineering Ghidra. <\/p>\n
Durante l'analisi dei dati di stringa estratti dal firmware, \u00e8 stato notato un insieme di stringhe (\u00abhelp\u00bb, \u00abinfo\u00bb, \u00abver\u00bb, \u00ablogout\u00bb, ecc.), che ricordano i comandi di una shell. L'esame dei puntatori a queste stringhe ha permesso di scoprire il codice che chiama funzioni per gestire comandi, simili a un'interfaccia di accesso e una shell. \u00c8 emerso inoltre che per attivare la shell \u00e8 previsto un comando \u00ablogin\u00bb, al quale deve essere passato il passaggio \u00ab#0000\u00bb. void shell_run_command(char* command_input) { if (shell_login_state == 0) { if (shell_compare_command(command_input, \u00ablogin\u00bb) == 0) { shell_ask_passwd(); \/\/ stampa \u00abpasswd? \u00bb shell_login_state = 1; } } else if (shell_login_state == 1) { if (shell_compare_command(command_input, \u00ab#0000\u00bb) == 0) { shell_login_ok(); \/\/ stampa \u00ablogin OK\u00bb shell_login_state = 2; } else { shell_print(\u00abPasswd Error\r\u00bb); shell_login_state = 0; } } else { \/\/ esegui effettivamente il comando } } <\/p>\n
Un ulteriore studio del firmware ha rivelato che i comandi vengono elaborati in pacchetti, che iniziano sempre con gli stessi 8 byte di dati e terminano con il codice 0xf7. Poich\u00e9 l'interazione esterna con il sintetizzatore avviene solo tramite MIDI, e nella specifica MIDI \u00e8 previsto un tipo di messaggio SysEx, si \u00e8 ipotizzato che questo possa essere utilizzato per inviare i comandi. Questa supposizione \u00e8 stata corroborata dal fatto che i messaggi SysEx e i pacchetti elaborati dalla shell iniziavano con il codice 0xf0, seguito dall'identificatore del produttore 0x43 (Yamaha). <\/p>\n
Per testare l'ipotesi, \u00e8 stato scritto uno script Python che trasmetteva i dati immessi in pacchetti del protocollo MIDI. E il metodo ha funzionato: login passwd? #0000 login OK > help logout help ? info ver stack perf-on perf-off perf-disp d dp d xxxxx d\/s xxxxx m ADDRESS DATA m\/b ADDRESS DATA m\/w ADDRESS DATA m\/l ADDRESS DATA > info DevelopName PSR-E433 DevelopNumber #3341 Main DevelopNumber #3341 Make data & time MAGGIO 16 2012 19:00:57 J\/E Select English > <\/p>\n
Nella guida mostrata dopo l'invio del comando \u00abhelp\u00bb, tra le altre cose, erano presenti comandi per modificare il contenuto della memoria. Con questi comandi era possibile caricare codice arbitrario in memoria e trasferirne il controllo, sostituendo il puntatore nello stack usato per il ritorno dopo l'elaborazione del comando. Come esperimento, in un'area non utilizzata della memoria \u00e8 stata collocata una semplice applicazione scritta in assembly, che visualizzava la stringa \u00abHeloWrld\u00bb su un indicatore a 8 caratteri LCD. Il programma era stato formattato come un normale file MIDI, da trasmettere semplicemente al dispositivo.
<\/center> <\/p>\n
Dopo di ci\u00f2, \u00e8 iniziato lo studio delle caratteristiche di output della grafica su un display LCD, culminando con la preparazione di un codice che mostrava contenuti pixel arbitrari nell'area dei caratteri, in sincronia con la riproduzione del video Bad Apple su un dispositivo esterno (video di dimostrazione).
![\"Shell](\"\/wp-content\/uploads\/2025\/01\/98533e09700241752d5b6228310c1c53.jpg\")
<\/center> <\/p>\n![\"Shell](\"\/wp-content\/uploads\/2025\/01\/c846c259859ceb3809af994092fcd298.jpg\")
<\/center> <\/p>\n![\"Shell](\"\/wp-content\/uploads\/2025\/01\/bcddc31a967d7c8e1c617c0129c92dd8.jpg\")
<\/center> ![\"Riproduci](\"https:\/\/img.youtube.com\/vi\/u6sukVMijBg\/hqdefault.jpg\")
\r\n