ການປີ້ນກັບແລະການ hack ໄດການເຂົ້າລະຫັດຕົນເອງພາຍນອກແມ່ນວຽກອະດິເລກເກົ່າຂອງຂ້ອຍ. ໃນໄລຍະຜ່ານມາ, ຂ້າພະເຈົ້າໄດ້ມີໂອກາດທີ່ຈະປະຕິບັດກັບຕົວແບບເຊັ່ນ Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500. ບໍ່ດົນມານີ້, ເພື່ອນຮ່ວມງານໄດ້ນໍາເອົາເຄື່ອງວາງສະແດງອີກອັນຫນຶ່ງໃຫ້ຂ້ອຍ: Patriot (Aigo) SK8671, ເຊິ່ງສ້າງຂຶ້ນຕາມການອອກແບບທົ່ວໄປ - ຕົວຊີ້ວັດ LCD ແລະແປ້ນພິມສໍາລັບການໃສ່ລະຫັດ PIN. ນັ້ນແມ່ນສິ່ງທີ່ອອກມາຈາກມັນ…

1. ບົດແນະ ນຳ
2. ສະຖາປັດຕະຍະກຳຮາດແວ
– 2.1. ກະດານຫຼັກ
– 2.2. ກະດານສະແດງ LCD
– 2.3. ຄີບອດ
– 2.4. ຊອກຫາຢູ່ໃນສາຍໄຟ
3. ລໍາດັບຂັ້ນຕອນການໂຈມຕີ
– 3.1. ການຖິ້ມຂໍ້ມູນຈາກ SPI flash drive
– 3.2. sniffing ການສື່ສານ

1. ບົດແນະ ນຳ

ທີ່ຢູ່ອາໄສ

Упаковка

ການເຂົ້າເຖິງຂໍ້ມູນທີ່ເກັບໄວ້ໃນດິສກ໌, ເຊິ່ງຄາດວ່າຈະຖືກເຂົ້າລະຫັດ, ແມ່ນດໍາເນີນການຫຼັງຈາກໃສ່ລະຫັດ PIN. ຂໍ້ແນະນຳບາງອັນໃນອຸປະກອນນີ້:

• ເພື່ອປ່ຽນລະຫັດ PIN, ທ່ານຕ້ອງກົດ F1 ກ່ອນທີ່ຈະປົດລັອກ;
• ລະຫັດ PIN ຕ້ອງມີ 6 ຫາ 9 ຕົວເລກ;
• ຫຼັງຈາກ 15 ຄວາມພະຍາຍາມທີ່ບໍ່ຖືກຕ້ອງ, ແຜ່ນຈະຖືກລຶບລ້າງ.

2. ສະຖາປັດຕະຍະກຳຮາດແວ

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາແຍກອຸປະກອນອອກເປັນສ່ວນຕ່າງໆເພື່ອເຂົ້າໃຈວ່າມັນປະກອບດ້ວຍສ່ວນປະກອບໃດ. ວຽກງານທີ່ຫນ້າເບື່ອທີ່ສຸດແມ່ນການເປີດກໍລະນີ: screws microscopic ຫຼາຍແລະພາດສະຕິກ. ໂດຍໄດ້ເປີດກໍລະນີ, ພວກເຮົາເບິ່ງດັ່ງຕໍ່ໄປນີ້ (ເອົາໃຈໃສ່ກັບຕົວເຊື່ອມຕໍ່ຫ້າ pin ທີ່ຂ້າພະເຈົ້າ soldered):

2.1. ກະດານຫຼັກ

ກະດານຕົ້ນຕໍແມ່ນຂ້ອນຂ້າງງ່າຍດາຍ:

ພາກສ່ວນທີ່ໂດດເດັ່ນທີ່ສຸດຂອງມັນ (ເບິ່ງຈາກເທິງລົງລຸ່ມ):

• ຕົວເຊື່ອມຕໍ່ສໍາລັບຕົວຊີ້ວັດ LCD (CN1);
• tweeter (SP1);
• Pm25LD010 (ສະເພາະ) SPI flash drive (U2);
• ຕົວຄວບຄຸມ Jmicron JMS539 (ສະເພາະ) ສໍາລັບ USB-SATA (U1);
• ໂຕເຊື່ອມຕໍ່ USB 3 (J1).

SPI flash drive ເກັບຮັກສາເຟີມແວສໍາລັບ JMS539 ແລະບາງການຕັ້ງຄ່າ.

2.2. ກະດານສະແດງ LCD

ບໍ່ມີຫຍັງທີ່ໂດດເດັ່ນໃນກະດານ LCD.

ເທົ່ານັ້ນ:

• ຕົວຊີ້ວັດ LCD ຂອງຕົ້ນກໍາເນີດທີ່ບໍ່ຮູ້ຈັກ (ອາດຈະເປັນຊຸດຕົວອັກສອນຈີນ); ດ້ວຍການຄວບຄຸມຕາມລໍາດັບ;
• ຕົວເຊື່ອມຕໍ່ Ribbon ສໍາລັບກະດານແປ້ນພິມ.

2.3. ຄີບອດ

ເມື່ອກວດເບິ່ງກະດານແປ້ນພິມ, ສິ່ງຕ່າງໆກໍ່ເປັນເລື່ອງທີ່ໜ້າສົນໃຈກວ່າ.

ທີ່ນີ້, ຢູ່ດ້ານຫລັງ, ພວກເຮົາເຫັນຕົວເຊື່ອມຕໍ່ໂບ, ເຊັ່ນດຽວກັນກັບ Cypress CY8C21434 microcontroller PSoC 1 (ຕໍ່ໄປນີ້ພວກເຮົາຈະເອີ້ນມັນວ່າ PSoC).

CY8C21434 ໃຊ້ຊຸດຄໍາແນະນໍາ M8C (ເບິ່ງ ເອກະສານ). ໃນ [ຫນ້າ​ຜະ​ລິດ​ຕະ​ພັນ​]( (http://www.cypress.com/part/cy8c21434-24ltxi) ມັນຊີ້ໃຫ້ເຫັນວ່າມັນສະຫນັບສະຫນູນເຕັກໂນໂລຢີ CapSense (ການແກ້ໄຂຈາກ Cypress, ສໍາລັບແປ້ນພິມ capacitive). ໃນທີ່ນີ້ທ່ານສາມາດເບິ່ງຕົວເຊື່ອມຕໍ່ຫ້າ pin ທີ່ຂ້າພະເຈົ້າໄດ້ soldered - ນີ້ແມ່ນວິທີການມາດຕະຖານສໍາລັບການເຊື່ອມຕໍ່ໂປລແກລມພາຍນອກໂດຍຜ່ານການໂຕ້ຕອບ ISSP.

2.4. ຊອກຫາຢູ່ໃນສາຍໄຟ

ຂໍໃຫ້ພິຈາລະນາສິ່ງທີ່ເຊື່ອມຕໍ່ຢູ່ທີ່ນີ້. ເພື່ອເຮັດສິ່ງນີ້, ພຽງແຕ່ທົດສອບສາຍໄຟດ້ວຍ multimeter:

ຄໍາອະທິບາຍສໍາລັບແຜນວາດນີ້ແຕ້ມຢູ່ໃນຫົວເຂົ່າ:

• PSoC ໄດ້ຖືກອະທິບາຍໄວ້ໃນຂໍ້ກໍານົດດ້ານວິຊາການ;
• ຕົວເຊື່ອມຕໍ່ຕໍ່ໄປ, ໄປທາງຂວາ, ແມ່ນການໂຕ້ຕອບ ISSP, ເຊິ່ງ, ໂດຍຄວາມປະສົງຂອງຊະຕາກໍາ, ກົງກັບສິ່ງທີ່ຂຽນກ່ຽວກັບມັນຢູ່ໃນອິນເຕີເນັດ;
• ຕົວເຊື່ອມຕໍ່ຂວາສຸດແມ່ນຈຸດເຊື່ອມຕໍ່ສໍາລັບແຖບເຊື່ອມຕໍ່ ribbon ກັບກະດານແປ້ນພິມ;
• ຮູບສີ່ຫລ່ຽມສີດໍາເປັນຮູບແຕ້ມຂອງຕົວເຊື່ອມຕໍ່ CN1, ຖືກອອກແບບມາເພື່ອເຊື່ອມຕໍ່ກະດານຕົ້ນຕໍກັບກະດານ LCD. P11, P13 ແລະ P4 ແມ່ນເຊື່ອມຕໍ່ກັບ pins PSoC 11, 13 ແລະ 4, ໃນກະດານ LCD.

3. ລໍາດັບຂັ້ນຕອນການໂຈມຕີ

ໃນປັດຈຸບັນທີ່ພວກເຮົາຮູ້ວ່າອົງປະກອບຂອງໄດນີ້ປະກອບດ້ວຍ, ພວກເຮົາຈໍາເປັນຕ້ອງ: 1) ໃຫ້ແນ່ໃຈວ່າການທໍາງານຂອງການເຂົ້າລະຫັດພື້ນຖານແມ່ນຕົວຈິງແລ້ວ; 2) ຊອກຫາວິທີການເຂົ້າລະຫັດລັບຖືກສ້າງ / ບັນທຶກ; 3) ຊອກຫາບ່ອນທີ່ລະຫັດ PIN ທີ່ແນ່ນອນຈະຖືກກວດສອບ.

ເພື່ອເຮັດສິ່ງນີ້, ຂ້າພະເຈົ້າໄດ້ເຮັດຂັ້ນຕອນຕໍ່ໄປນີ້:

• ເອົາການຖິ້ມຂໍ້ມູນຈາກ SPI flash drive;
• ພະຍາຍາມ dump ຂໍ້ມູນຈາກ PSoC flash drive;
• ກວດສອບວ່າການສື່ສານລະຫວ່າງ Cypress PSoC ແລະ JMS539 ຕົວຈິງແລ້ວມີການກົດແປ້ນພິມ;
• ຂ້າ​ພະ​ເຈົ້າ​ເຮັດ​ໃຫ້​ແນ່​ໃຈວ່​າ​ວ່າ​ໃນ​ເວ​ລາ​ທີ່​ການ​ປ່ຽນ​ແປງ​ລະ​ຫັດ​ຜ່ານ​, ບໍ່​ມີ​ຫຍັງ​ຖືກ​ຂຽນ​ທັບ​ໃນ SPI flash drive​;
• ຂີ້ຄ້ານເກີນໄປທີ່ຈະປີ້ນເຟີມແວ 8051 ຈາກ JMS539.

3.1. ການຖິ້ມຂໍ້ມູນຈາກ SPI flash drive

ຂັ້ນຕອນນີ້ແມ່ນງ່າຍດາຍຫຼາຍ:

• ເຊື່ອມຕໍ່ probes ກັບຂາຂອງ flash drive: CLK, MOSI, MISO ແລະ (ທາງເລືອກ) EN;
• "sniff" ການສື່ສານກັບ sniffer ໂດຍໃຊ້ເຄື່ອງວິເຄາະເຫດຜົນ (ຂ້ອຍໃຊ້ Saleae Logic Pro 16);
• ຖອດລະຫັດ SPI protocol ແລະສົ່ງອອກຜົນໄດ້ຮັບເປັນ CSV;
• ໃຊ້ປະໂຍດຈາກ decode_spi.rbເພື່ອວິເຄາະຜົນໄດ້ຮັບແລະໄດ້ຮັບການ dump.

ກະລຸນາສັງເກດວ່າວິທີການນີ້ເຮັດວຽກໄດ້ດີໂດຍສະເພາະໃນກໍລະນີຂອງຕົວຄວບຄຸມ JMS539, ເນື່ອງຈາກວ່າຕົວຄວບຄຸມນີ້ໂຫລດເຟີມແວທັງຫມົດຈາກ flash drive ໃນຂັ້ນຕອນເບື້ອງຕົ້ນ.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

ໂດຍໄດ້ເອົາການຖິ້ມຂີ້ເຫຍື້ອຈາກ SPI flash drive, ຂ້າພະເຈົ້າໄດ້ສະຫຼຸບວ່າວຽກງານດຽວຂອງມັນແມ່ນການເກັບຮັກສາເຟີມແວສໍາລັບອຸປະກອນຄວບຄຸມ JMicron, ເຊິ່ງຖືກສ້າງຂຶ້ນໃນ microcontroller 8051. ແຕ່ຫນ້າເສຍດາຍ, ການຖິ້ມຂີ້ເຫຍື້ອຂອງ SPI flash drive ໄດ້ກາຍເປັນເລື່ອງທີ່ບໍ່ມີປະໂຫຍດ:

• ເມື່ອລະຫັດ PIN ຖືກປ່ຽນແປງ, ການຖິ້ມຂີ້ເຫຍື້ອຂອງ flash drive ຍັງຄົງຄືເກົ່າ;
• ຫຼັງຈາກຂັ້ນຕອນການເລີ່ມຕົ້ນ, ອຸປະກອນບໍ່ເຂົ້າເຖິງ SPI flash drive.

3.2. sniffing ການສື່ສານ

ນີ້ແມ່ນວິທີຫນຶ່ງເພື່ອຊອກຫາວ່າຊິບໃດຮັບຜິດຊອບໃນການກວດສອບການສື່ສານສໍາລັບເວລາ / ເນື້ອຫາທີ່ມີຄວາມສົນໃຈ. ດັ່ງທີ່ພວກເຮົາຮູ້ແລ້ວ, ຕົວຄວບຄຸມ USB-SATA ແມ່ນເຊື່ອມຕໍ່ກັບ Cypress PSoC LCD ຜ່ານຕົວເຊື່ອມຕໍ່ CN1 ແລະສອງໂບ. ດັ່ງນັ້ນ, ພວກເຮົາເຊື່ອມຕໍ່ probes ກັບສາມຂາທີ່ສອດຄ້ອງກັນ:

• P4, ວັດສະດຸປ້ອນ / ຜົນຜະລິດທົ່ວໄປ;
• P11, I2C SCL;
• P13, I2C SDA.

ຫຼັງ​ຈາກ​ນັ້ນ​, ພວກ​ເຮົາ​ເປີດ​ຕົວ​ການ​ວິ​ເຄາະ​ເຫດ​ຜົນ Saleae ແລະ​ເຂົ້າ​ໄປ​ໃນ​ແປ້ນ​ພິມ​: “123456 ~​”​. ດັ່ງນັ້ນ, ພວກເຮົາເບິ່ງແຜນວາດຕໍ່ໄປນີ້.

ໃນມັນພວກເຮົາສາມາດເຫັນສາມຊ່ອງທາງການແລກປ່ຽນຂໍ້ມູນ:

• ມີການລະເບີດສັ້ນໆຫຼາຍໆຄັ້ງຢູ່ໃນຊ່ອງ P4;
• ໃນ P11 ແລະ P13 - ເກືອບການແລກປ່ຽນຂໍ້ມູນຢ່າງຕໍ່ເນື່ອງ.

ຊູມຢູ່ໃນຊ່ອງຄອດທໍາອິດໃນຊ່ອງ P4 (ສີ່ຫລ່ຽມສີຟ້າໃນຮູບທີ່ຜ່ານມາ), ພວກເຮົາເຫັນດັ່ງຕໍ່ໄປນີ້:

ໃນທີ່ນີ້ທ່ານສາມາດເຫັນໄດ້ວ່າຢູ່ໃນ P4 ມີເກືອບ 70ms ຂອງສັນຍານ monotonous, ເຊິ່ງໃນຕອນທໍາອິດເບິ່ງຄືວ່າຂ້ອຍມີບົດບາດຂອງສັນຍານໂມງ. ຢ່າງໃດກໍຕາມ, ຫຼັງຈາກໃຊ້ເວລາໃນການກວດສອບການຄາດເດົາຂອງຂ້ອຍ, ຂ້ອຍໄດ້ຄົ້ນພົບວ່ານີ້ບໍ່ແມ່ນສັນຍານໂມງ, ແຕ່ເປັນສາຍນ້ໍາສຽງທີ່ອອກໄປຫາ tweeter ເມື່ອກົດປຸ່ມຖືກກົດ. ດັ່ງນັ້ນ, ພາກສ່ວນນີ້ຂອງສັນຍານຕົວມັນເອງບໍ່ມີຂໍ້ມູນທີ່ເປັນປະໂຫຍດສໍາລັບພວກເຮົາ. ຢ່າງໃດກໍ່ຕາມ, ມັນສາມາດຖືກນໍາໃຊ້ເປັນຕົວຊີ້ວັດທີ່ຈະຮູ້ວ່າເວລາທີ່ PSoC ລົງທະບຽນການກົດປຸ່ມ.

ແນວໃດກໍ່ຕາມ, ການຖ່າຍທອດສຽງ P4 ຫຼ້າສຸດແມ່ນແຕກຕ່າງກັນເລັກນ້ອຍ: ມັນເປັນສຽງສໍາລັບ "ລະຫັດ PIN ທີ່ບໍ່ຖືກຕ້ອງ"!

ກັບຄືນໄປຫາກຣາຟການກົດແປ້ນພິມ, ຊູມເຂົ້າຢູ່ໃນກຣາບສະຕຣີມສຽງສຸດທ້າຍ (ເບິ່ງຮູບສີ່ຫຼ່ຽມສີຟ້າອີກຄັ້ງ), ພວກເຮົາໄດ້ຮັບ:

ນີ້ພວກເຮົາເຫັນສັນຍານ monotonous ໃນ P11. ສະນັ້ນມັນເບິ່ງຄືວ່ານີ້ແມ່ນສັນຍານໂມງ. ແລະ P13 ແມ່ນຂໍ້ມູນ. ສັງເກດວິທີການປ່ຽນຮູບແບບຫຼັງຈາກສຽງບີບສິ້ນສຸດລົງ. ມັນຈະເປັນຫນ້າສົນໃຈທີ່ຈະເຫັນສິ່ງທີ່ເກີດຂຶ້ນທີ່ນີ້.

ໂປໂຕຄອນທີ່ເຮັດວຽກກັບສອງສາຍແມ່ນປົກກະຕິແລ້ວ SPI ຫຼື I2C, ແລະຂໍ້ກໍານົດດ້ານວິຊາການກ່ຽວກັບ Cypress ບອກວ່າ pins ເຫຼົ່ານີ້ກົງກັບ I2C, ເຊິ່ງພວກເຮົາເຫັນວ່າເປັນຄວາມຈິງໃນກໍລະນີຂອງພວກເຮົາ:

ຊິບເຊັດ USB-SATA ຕິດຕາມ PSoC ຢ່າງຕໍ່ເນື່ອງເພື່ອອ່ານສະຖານະຂອງກະແຈ, ເຊິ່ງຕາມຄ່າເລີ່ມຕົ້ນແມ່ນ “0”. ຫຼັງຈາກນັ້ນ, ເມື່ອທ່ານກົດປຸ່ມ "1", ມັນຈະປ່ຽນເປັນ "1". ການສົ່ງສັນຍານສຸດທ້າຍທັນທີຫຼັງຈາກທີ່ກົດ "~" ແມ່ນແຕກຕ່າງກັນຖ້າລະຫັດ PIN ຜິດຖືກໃສ່. ຢ່າງໃດກໍຕາມ, ໃນເວລານີ້ຂ້າພະເຈົ້າບໍ່ໄດ້ກວດເບິ່ງສິ່ງທີ່ຖືກສົ່ງຕໍ່ຢູ່ທີ່ນັ້ນ. ແຕ່ຂ້ອຍສົງໃສວ່ານີ້ບໍ່ຫນ້າຈະເປັນລະຫັດການເຂົ້າລະຫັດ. ແນວໃດກໍ່ຕາມ, ເບິ່ງພາກຕໍ່ໄປເພື່ອເຂົ້າໃຈວິທີການເອົາເຟີມແວພາຍໃນ PSoC ອອກ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com