എക്‌സ്‌റ്റേണൽ സെൽഫ് എൻക്രിപ്റ്റിംഗ് ഡ്രൈവുകൾ റിവേഴ്‌സ് ചെയ്യുകയും ഹാക്ക് ചെയ്യുകയും ചെയ്യുന്നത് എന്റെ പഴയ ഹോബിയാണ്. മുൻകാലങ്ങളിൽ, Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 തുടങ്ങിയ മോഡലുകളിൽ പരിശീലിക്കാൻ എനിക്ക് അവസരം ലഭിച്ചു. അടുത്തിടെ, ഒരു സഹപ്രവർത്തകൻ എനിക്ക് മറ്റൊരു പ്രദർശനം കൊണ്ടുവന്നു: പാട്രിയറ്റ് (എയ്‌ഗോ) എസ്‌കെ 8671, ഇത് ഒരു സാധാരണ രൂപകൽപ്പന അനുസരിച്ച് നിർമ്മിച്ചതാണ് - ഒരു എൽസിഡി സൂചകവും പിൻ കോഡ് നൽകുന്നതിനുള്ള കീബോർഡും. അതാണു പുറത്തു വന്നത്...

1. ആമുഖം
2. ഹാർഡ്‌വെയർ ആർക്കിടെക്ചർ
– 2.1. പ്രധാന പലക
– 2.2. എൽസിഡി ഇൻഡിക്കേറ്റർ ബോർഡ്
– 2.3. കീബോർഡ് ബോർഡ്
– 2.4. വയറുകളിലേക്ക് നോക്കുന്നു
3. ആക്രമണ ഘട്ടങ്ങളുടെ ക്രമം
– 3.1. ഒരു SPI ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് ഒരു ഡാറ്റ ഡംപ് എടുക്കൽ
– 3.2. സ്നിഫിംഗ് ആശയവിനിമയങ്ങൾ

1. ആമുഖം

ഭവനം

പായ്ക്കിംഗ്

എൻക്രിപ്റ്റ് ചെയ്തതായി കരുതപ്പെടുന്ന ഡിസ്കിൽ സംഭരിച്ചിരിക്കുന്ന ഡാറ്റയിലേക്കുള്ള ആക്സസ് PIN കോഡ് നൽകിയതിന് ശേഷം നടപ്പിലാക്കുന്നു. ഈ ഉപകരണത്തെക്കുറിച്ചുള്ള കുറച്ച് ആമുഖ കുറിപ്പുകൾ:

• പിൻ കോഡ് മാറ്റാൻ, അൺലോക്ക് ചെയ്യുന്നതിന് മുമ്പ് നിങ്ങൾ F1 അമർത്തണം;
• പിൻ കോഡിൽ 6 മുതൽ 9 വരെ അക്കങ്ങൾ അടങ്ങിയിരിക്കണം;
• 15 തെറ്റായ ശ്രമങ്ങൾക്ക് ശേഷം, ഡിസ്ക് മായ്ച്ചു.

2. ഹാർഡ്‌വെയർ ആർക്കിടെക്ചർ

ആദ്യം, ഏത് ഘടകങ്ങളാണ് ഉൾക്കൊള്ളുന്നതെന്ന് മനസിലാക്കാൻ ഞങ്ങൾ ഉപകരണത്തെ ഭാഗങ്ങളായി വിഭജിക്കുന്നു. കേസ് തുറക്കുന്നതാണ് ഏറ്റവും മടുപ്പിക്കുന്ന ജോലി: ധാരാളം മൈക്രോസ്കോപ്പിക് സ്ക്രൂകളും പ്ലാസ്റ്റിക്കും. കേസ് തുറന്ന ശേഷം, ഞങ്ങൾ ഇനിപ്പറയുന്നവ കാണുന്നു (ഞാൻ സോൾഡർ ചെയ്ത അഞ്ച് പിൻ കണക്റ്റർ ശ്രദ്ധിക്കുക):

2.1 പ്രധാന പലക

പ്രധാന ബോർഡ് വളരെ ലളിതമാണ്:

അതിന്റെ ഏറ്റവും ശ്രദ്ധേയമായ ഭാഗങ്ങൾ (മുകളിൽ നിന്ന് താഴേക്ക് കാണുക):

• LCD ഇൻഡിക്കേറ്ററിനുള്ള കണക്റ്റർ (CN1);
• ട്വീറ്റർ (SP1);
• Pm25LD010 (സ്പെസിഫിക്കേഷൻ) SPI ഫ്ലാഷ് ഡ്രൈവ് (U2);
• Jmicron JMS539 കൺട്രോളർ (സ്പെസിഫിക്കേഷൻ) USB-SATA (U1);
• USB 3 കണക്റ്റർ (J1).

SPI ഫ്ലാഷ് ഡ്രൈവ് JMS539-നുള്ള ഫേംവെയറും ചില ക്രമീകരണങ്ങളും സംഭരിക്കുന്നു.

2.2 എൽസിഡി ഇൻഡിക്കേറ്റർ ബോർഡ്

എൽസിഡി ബോർഡിൽ ശ്രദ്ധേയമായ ഒന്നും തന്നെയില്ല.

മാത്രം:

• അജ്ഞാത ഉത്ഭവത്തിന്റെ LCD സൂചകം (ഒരുപക്ഷേ ഒരു ചൈനീസ് ഫോണ്ട് സെറ്റിനൊപ്പം); തുടർച്ചയായ നിയന്ത്രണത്തോടെ;
• കീബോർഡ് ബോർഡിനുള്ള റിബൺ കണക്റ്റർ.

2.3 കീബോർഡ് ബോർഡ്

കീബോർഡ് ബോർഡ് പരിശോധിക്കുമ്പോൾ, കാര്യങ്ങൾ കൂടുതൽ രസകരമായി മാറുന്നു.

ഇവിടെ, പിൻവശത്ത്, ഞങ്ങൾ ഒരു റിബൺ കണക്ടറും അതുപോലെ തന്നെ ഒരു സൈപ്രസ് CY8C21434 മൈക്രോകൺട്രോളർ PSoC 1-ഉം കാണുന്നു (ഇനി മുതൽ ഞങ്ങൾ അതിനെ PSoC എന്ന് വിളിക്കും)

CY8C21434 M8C നിർദ്ദേശ സെറ്റ് ഉപയോഗിക്കുന്നു (കാണുക പ്രമാണീകരണം). [ഉൽപ്പന്ന പേജിൽ](http://www.cypress.com/part/cy8c21434-24ltxi) ഇത് സാങ്കേതികവിദ്യയെ പിന്തുണയ്ക്കുന്നുവെന്ന് സൂചിപ്പിച്ചിരിക്കുന്നു ക്യാപ്സെൻസ് (കപ്പാസിറ്റീവ് കീബോർഡുകൾക്ക് സൈപ്രസിൽ നിന്നുള്ള പരിഹാരം). ഞാൻ സോൾഡർ ചെയ്ത ഫൈവ്-പിൻ കണക്ടർ ഇവിടെ നിങ്ങൾക്ക് കാണാൻ കഴിയും - ISSP ഇന്റർഫേസ് വഴി ഒരു ബാഹ്യ പ്രോഗ്രാമറെ ബന്ധിപ്പിക്കുന്നതിനുള്ള ഒരു സാധാരണ സമീപനമാണിത്.

2.4 വയറുകളിലേക്ക് നോക്കുന്നു

ഇവിടെ എന്താണ് ബന്ധിപ്പിച്ചിരിക്കുന്നതെന്ന് നമുക്ക് കണ്ടെത്താം. ഇത് ചെയ്യുന്നതിന്, ഒരു മൾട്ടിമീറ്റർ ഉപയോഗിച്ച് വയറുകൾ പരിശോധിക്കുക:

കാൽമുട്ടിൽ വരച്ച ഈ ഡയഗ്രാമിന്റെ വിശദീകരണങ്ങൾ:

• PSoC സാങ്കേതിക സ്പെസിഫിക്കേഷനിൽ വിവരിച്ചിരിക്കുന്നു;
• അടുത്ത കണക്റ്റർ, വലത് വശത്തുള്ളത്, ISSP ഇന്റർഫേസ് ആണ്, അത് വിധിയുടെ ഇച്ഛാശക്തിയാൽ, ഇന്റർനെറ്റിൽ അതിനെക്കുറിച്ച് എഴുതിയിരിക്കുന്നതിനോട് യോജിക്കുന്നു;
• കീബോർഡ് ബോർഡിലേക്കുള്ള റിബൺ കണക്ടറിനുള്ള ടെർമിനലാണ് വലതുവശത്തുള്ള കണക്റ്റർ;
• പ്രധാന ബോർഡിനെ LCD ബോർഡുമായി ബന്ധിപ്പിക്കാൻ രൂപകൽപ്പന ചെയ്ത CN1 കണക്ടറിന്റെ ഒരു ഡ്രോയിംഗ് ആണ് കറുത്ത ദീർഘചതുരം. P11, P13, P4 എന്നിവ LCD ബോർഡിലെ PSoC പിൻ 11, 13, 4 എന്നിവയുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നു.

3. ആക്രമണ ഘട്ടങ്ങളുടെ ക്രമം

ഈ ഡ്രൈവ് ഉൾക്കൊള്ളുന്ന ഘടകങ്ങൾ എന്താണെന്ന് ഇപ്പോൾ ഞങ്ങൾക്കറിയാം: 1) അടിസ്ഥാന എൻക്രിപ്ഷൻ പ്രവർത്തനം യഥാർത്ഥത്തിൽ ഉണ്ടെന്ന് ഉറപ്പാക്കുക; 2) എൻക്രിപ്ഷൻ കീകൾ എങ്ങനെയാണ് ജനറേറ്റ് ചെയ്യുന്നത്/സംരക്ഷിക്കുന്നത് എന്ന് കണ്ടെത്തുക; 3) PIN കോഡ് കൃത്യമായി എവിടെയാണ് പരിശോധിക്കുന്നതെന്ന് കണ്ടെത്തുക.

ഇത് ചെയ്യുന്നതിന്, ഞാൻ ഇനിപ്പറയുന്ന ഘട്ടങ്ങൾ ചെയ്തു:

• ഒരു SPI ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് ഒരു ഡാറ്റ ഡംപ് എടുത്തു;
• ഒരു PSoC ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് ഡാറ്റ ഡംപ് ചെയ്യാൻ ശ്രമിച്ചു;
• Cypress PSoC ഉം JMS539 ഉം തമ്മിലുള്ള ആശയവിനിമയത്തിൽ യഥാർത്ഥത്തിൽ കീസ്‌ട്രോക്കുകൾ അടങ്ങിയിട്ടുണ്ടെന്ന് പരിശോധിച്ചുറപ്പിച്ചു;
• പാസ്‌വേഡ് മാറ്റുമ്പോൾ, SPI ഫ്ലാഷ് ഡ്രൈവിൽ ഒന്നും തിരുത്തിയെഴുതപ്പെടുന്നില്ലെന്ന് ഞാൻ ഉറപ്പുവരുത്തി;
• JMS8051-ൽ നിന്ന് 539 ഫേംവെയർ റിവേഴ്സ് ചെയ്യാൻ മടിയായിരുന്നു.

3.1 ഒരു SPI ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് ഒരു ഡാറ്റ ഡംപ് എടുക്കൽ

ഈ നടപടിക്രമം വളരെ ലളിതമാണ്:

• ഫ്ലാഷ് ഡ്രൈവിന്റെ കാലുകളിലേക്ക് പ്രോബുകൾ ബന്ധിപ്പിക്കുക: CLK, MOSI, MISO കൂടാതെ (ഓപ്ഷണൽ) EN;
• ഒരു ലോജിക് അനലൈസർ ഉപയോഗിച്ച് ഒരു സ്നിഫറുമായുള്ള ആശയവിനിമയം "സ്നിഫ്" ചെയ്യുക (ഞാൻ ഉപയോഗിച്ചത് Saleae Logic Pro 16);
• SPI പ്രോട്ടോക്കോൾ ഡീകോഡ് ചെയ്യുകയും ഫലങ്ങൾ CSV-യിലേക്ക് കയറ്റുമതി ചെയ്യുകയും ചെയ്യുക;
• പ്രയോജനപ്പെടുത്തുക decode_spi.rbഫലങ്ങൾ പാഴ്‌സ് ചെയ്യാനും ഒരു ഡംപ് നേടാനും.

പ്രാരംഭ ഘട്ടത്തിൽ ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് എല്ലാ ഫേംവെയറുകളും ഈ കൺട്രോളർ ലോഡ് ചെയ്യുന്നതിനാൽ, JMS539 കൺട്രോളറിന്റെ കാര്യത്തിൽ ഈ സമീപനം നന്നായി പ്രവർത്തിക്കുന്നു എന്നത് ശ്രദ്ധിക്കുക.

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

എസ്പിഐ ഫ്ലാഷ് ഡ്രൈവിൽ നിന്ന് ഒരു ഡംപ് എടുത്ത ശേഷം, 8051 മൈക്രോകൺട്രോളറിൽ നിർമ്മിച്ചിരിക്കുന്ന ജെമൈക്രോൺ കൺട്രോൾ ഉപകരണത്തിനായുള്ള ഫേംവെയർ സംഭരിക്കുക എന്നതാണ് അതിന്റെ ഒരേയൊരു ചുമതല എന്ന നിഗമനത്തിലെത്തി. നിർഭാഗ്യവശാൽ, SPI ഫ്ലാഷ് ഡ്രൈവിന്റെ ഒരു ഡംപ് എടുക്കുന്നത് ഉപയോഗശൂന്യമായി മാറി:

• പിൻ കോഡ് മാറ്റുമ്പോൾ, ഫ്ലാഷ് ഡ്രൈവ് ഡംപ് അതേപടി നിലനിൽക്കും;
• പ്രാരംഭ ഘട്ടത്തിന് ശേഷം, ഉപകരണം SPI ഫ്ലാഷ് ഡ്രൈവിലേക്ക് പ്രവേശിക്കുന്നില്ല.

3.2 സ്നിഫിംഗ് ആശയവിനിമയങ്ങൾ

താൽപ്പര്യമുള്ള സമയം/ഉള്ളടക്കത്തിനായി ആശയവിനിമയങ്ങൾ പരിശോധിക്കുന്നതിന് ഏത് ചിപ്പാണ് ഉത്തരവാദിയെന്ന് കണ്ടെത്താനുള്ള ഒരു മാർഗമാണിത്. നമുക്ക് ഇതിനകം അറിയാവുന്നതുപോലെ, USB-SATA കൺട്രോളർ CN1 കണക്റ്റർ വഴിയും രണ്ട് റിബണുകൾ വഴിയും Cypress PSoC LCD-യുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നു. അതിനാൽ, ഞങ്ങൾ പ്രോബുകളെ മൂന്ന് അനുബന്ധ കാലുകളിലേക്ക് ബന്ധിപ്പിക്കുന്നു:

• P4, പൊതുവായ ഇൻപുട്ട്/ഔട്ട്പുട്ട്;
• P11, I2C SCL;
• P13, I2C SDA.

തുടർന്ന് ഞങ്ങൾ Saleae ലോജിക് അനലൈസർ സമാരംഭിക്കുകയും കീബോർഡിൽ നൽകുക: "123456~". തൽഫലമായി, ഞങ്ങൾ ഇനിപ്പറയുന്ന ഡയഗ്രം കാണുന്നു.

അതിൽ നമുക്ക് മൂന്ന് ഡാറ്റാ എക്സ്ചേഞ്ച് ചാനലുകൾ കാണാം:

• ചാനൽ P4-ൽ നിരവധി ചെറിയ പൊട്ടിത്തെറികൾ ഉണ്ട്;
• P11, P13 എന്നിവയിൽ - ഏതാണ്ട് തുടർച്ചയായ ഡാറ്റാ കൈമാറ്റം.

ചാനൽ P4-ലെ ആദ്യ സ്പൈക്കിൽ സൂം ഇൻ ചെയ്യുമ്പോൾ (മുമ്പത്തെ ചിത്രത്തിലെ നീല ദീർഘചതുരം), ഞങ്ങൾ ഇനിപ്പറയുന്നവ കാണുന്നു:

P4-ൽ ഏകദേശം 70ms ഒരു ഏകതാനമായ സിഗ്നൽ ഉണ്ടെന്ന് ഇവിടെ നിങ്ങൾക്ക് കാണാൻ കഴിയും, അത് ആദ്യം ഒരു ക്ലോക്ക് സിഗ്നലിന്റെ പങ്ക് വഹിക്കുന്നതായി എനിക്ക് തോന്നി. എന്നിരുന്നാലും, എന്റെ ഊഹം പരിശോധിച്ച് കുറച്ച് സമയം ചെലവഴിച്ചതിന് ശേഷം, ഇതൊരു ക്ലോക്ക് സിഗ്നലല്ല, കീകൾ അമർത്തുമ്പോൾ ട്വീറ്ററിലേക്ക് ഔട്ട്പുട്ട് ചെയ്യുന്ന ഒരു ഓഡിയോ സ്ട്രീം ആണെന്ന് ഞാൻ കണ്ടെത്തി. അതിനാൽ, സിഗ്നലിന്റെ ഈ വിഭാഗത്തിൽ തന്നെ ഞങ്ങൾക്ക് ഉപയോഗപ്രദമായ വിവരങ്ങൾ അടങ്ങിയിട്ടില്ല. എന്നിരുന്നാലും, PSoC ഒരു കീ അമർത്തുമ്പോൾ അത് അറിയാൻ ഒരു സൂചകമായി ഉപയോഗിക്കാം.

എന്നിരുന്നാലും, ഏറ്റവും പുതിയ P4 ഓഡിയോ സ്ട്രീം അൽപ്പം വ്യത്യസ്തമാണ്: ഇത് "അസാധുവായ പിൻ" എന്നതിനായുള്ള ഓഡിയോയാണ്!

കീസ്ട്രോക്ക് ഗ്രാഫിലേക്ക് മടങ്ങുമ്പോൾ, അവസാന ഓഡിയോ സ്ട്രീം ഗ്രാഫിൽ സൂം ഇൻ ചെയ്യുമ്പോൾ (നീല ദീർഘചതുരം വീണ്ടും കാണുക), നമുക്ക് ലഭിക്കുന്നത്:

P11-ൽ ഏകതാനമായ സിഗ്നലുകൾ ഇവിടെ കാണാം. അതിനാൽ ഇത് ക്ലോക്ക് സിഗ്നൽ ആണെന്ന് തോന്നുന്നു. കൂടാതെ P13 ഡാറ്റയാണ്. ബീപ്പ് അവസാനിച്ചതിന് ശേഷം പാറ്റേൺ എങ്ങനെ മാറുന്നു എന്ന് ശ്രദ്ധിക്കുക. ഇവിടെ എന്താണ് സംഭവിക്കുന്നതെന്ന് കാണാൻ രസകരമായിരിക്കും.

രണ്ട് വയറുകളിൽ പ്രവർത്തിക്കുന്ന പ്രോട്ടോക്കോളുകൾ സാധാരണയായി SPI അല്ലെങ്കിൽ I2C ആണ്, കൂടാതെ സൈപ്രസിലെ സാങ്കേതിക സ്പെസിഫിക്കേഷൻ ഈ പിന്നുകൾ I2C യുമായി പൊരുത്തപ്പെടുന്നതായി പ്രസ്താവിക്കുന്നു, ഇത് ഞങ്ങളുടെ കാര്യത്തിൽ ശരിയാണെന്ന് ഞങ്ങൾ കാണുന്നു:

കീയുടെ അവസ്ഥ വായിക്കാൻ USB-SATA ചിപ്‌സെറ്റ് PSoC-യെ നിരന്തരം പോൾ ചെയ്യുന്നു, അത് സ്ഥിരസ്ഥിതിയായി “0” ആണ്. തുടർന്ന്, നിങ്ങൾ "1" കീ അമർത്തുമ്പോൾ, അത് "1" ആയി മാറുന്നു. തെറ്റായ പിൻ കോഡ് നൽകിയാൽ "~" അമർത്തി ഉടൻ തന്നെ അവസാന സംപ്രേക്ഷണം വ്യത്യസ്തമായിരിക്കും. എന്നിരുന്നാലും, യഥാർത്ഥത്തിൽ അവിടെ എന്താണ് കൈമാറുന്നതെന്ന് ഞാൻ ഇപ്പോൾ പരിശോധിച്ചിട്ടില്ല. എന്നാൽ ഇത് ഒരു എൻക്രിപ്ഷൻ കീ ആയിരിക്കാൻ സാധ്യതയില്ലെന്ന് ഞാൻ സംശയിക്കുന്നു. എന്തായാലും, PSoC ഇന്റേണൽ ഫേംവെയർ ഞാൻ എങ്ങനെയാണ് നീക്കം ചെയ്തതെന്ന് മനസിലാക്കാൻ അടുത്ത വിഭാഗം കാണുക.

അവലംബം: www.habr.com