बाह्य स्व-इन्क्रिप्टिङ ड्राइभहरू उल्टो र ह्याक गर्ने मेरो पुरानो शौक हो। विगतमा, मैले Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500 जस्ता मोडेलहरूसँग अभ्यास गर्ने मौका पाएको थिएँ। भर्खरै, एक सहकर्मीले मलाई अर्को प्रदर्शनी ल्याए: Patriot (Aigo) SK8671, जुन एक विशिष्ट डिजाइन अनुसार बनाइएको छ - एक LCD सूचक र PIN कोड प्रविष्ट गर्नको लागि किबोर्ड। त्यहीबाट निस्कियो…

२. परिचय
2. हार्डवेयर वास्तुकला
- २.१। मुख्य बोर्ड
- २.२। एलसीडी सूचक बोर्ड
- २.३। किबोर्ड बोर्ड
- २.४। तारहरू हेर्दै
3. आक्रमण चरणहरूको अनुक्रम
- ३.१। SPI फ्लैश ड्राइवबाट डाटा डम्प लिँदै
- ३.२। सुँघ्ने संचार

२. परिचय

आवास

Упаковка

डिस्कमा भण्डारण गरिएको डाटामा पहुँच, जुन कथित रूपमा एन्क्रिप्टेड छ, पिन कोड प्रविष्ट गरेपछि गरिन्छ। यस यन्त्रमा केही परिचयात्मक टिप्पणीहरू:

• PIN कोड परिवर्तन गर्न, तपाईंले अनलक गर्नु अघि F1 थिच्नु पर्छ;
• PIN कोड 6 देखि 9 अंक सम्म हुनु पर्छ;
• 15 गलत प्रयास पछि, डिस्क खाली छ।

2. हार्डवेयर वास्तुकला

पहिले, हामी यसमा कुन कम्पोनेन्टहरू समावेश छन् भनेर बुझ्न यन्त्रलाई भागहरूमा विच्छेदन गर्छौं। सबैभन्दा कठिन कार्य केस खोल्दै छ: धेरै माइक्रोस्कोपिक स्क्रू र प्लास्टिक। केस खोल्दा, हामी निम्न देख्छौं (मैले सोल्डर गरेको पाँच-पिन कनेक्टरमा ध्यान दिनुहोस्):

२.१। मुख्य बोर्ड

मुख्य बोर्ड एकदम सरल छ:

यसको सबैभन्दा उल्लेखनीय भागहरू (माथि देखि तल हेर्नुहोस्):

• LCD सूचक (CN1) को लागि कनेक्टर;
• ट्वीटर (SP1);
• Pm25LD010 (विशिष्टता) SPI फ्लैश ड्राइव (U2);
• Jmicron JMS539 नियन्त्रक (विशिष्टता) USB-SATA (U1) को लागि;
• USB 3 कनेक्टर (J1)।

SPI फ्लैश ड्राइवले JMS539 र केही सेटिङहरूको लागि फर्मवेयर भण्डारण गर्दछ।

२.२। एलसीडी सूचक बोर्ड

LCD बोर्डमा उल्लेखनीय केहि छैन।

मात्र:

• अज्ञात उत्पत्तिको LCD सूचक (सम्भवतः चिनियाँ फन्ट सेटको साथ); क्रमिक नियन्त्रण संग;
• किबोर्ड बोर्डको लागि रिबन कनेक्टर।

२.३ किबोर्ड बोर्ड

किबोर्ड बोर्ड जाँच गर्दा, चीजहरूले थप रोचक मोड लिन्छन्।

यहाँ, पछाडिको छेउमा, हामी रिबन कनेक्टर, साथै साइप्रस CY8C21434 माइक्रोकन्ट्रोलर PSoC 1 देख्छौं (यसपछि हामी यसलाई PSoC मात्र कल गर्नेछौं)

CY8C21434 ले M8C निर्देशन सेट प्रयोग गर्दछ (हेर्नुहोस् कागजात)। [उत्पादन पृष्ठमा]((http://www.cypress.com/part/cy8c21434-24ltxi) यो संकेत गरिएको छ कि यसले प्रविधिलाई समर्थन गर्दछ CapSense (साइप्रेसबाट समाधान, क्यापेसिटिव किबोर्डका लागि)। यहाँ तपाईंले मैले सोल्डर गरेको पाँच-पिन कनेक्टर हेर्न सक्नुहुन्छ - यो ISSP इन्टरफेस मार्फत बाह्य प्रोग्रामर जडान गर्नको लागि एक मानक दृष्टिकोण हो।

२.४ तारहरू हेर्दै

यहाँ के जोडिएको छ भनेर पत्ता लगाउनुहोस्। यो गर्नको लागि, केवल मल्टिमिटरको साथ तारहरू परीक्षण गर्नुहोस्:

घुँडामा कोरिएको यो रेखाचित्रको लागि स्पष्टीकरण:

• PSoC लाई प्राविधिक विनिर्देशमा वर्णन गरिएको छ;
• अर्को कनेक्टर, दायाँ तिर, ISSP इन्टरफेस हो, जुन, भाग्यको इच्छाले, इन्टरनेटमा यसको बारेमा लेखिएको कुरासँग मेल खान्छ;
• किबोर्ड बोर्डमा रिबन कनेक्टरको लागि सबैभन्दा दाहिने कनेक्टर टर्मिनल हो;
• कालो आयत CN1 कनेक्टरको रेखाचित्र हो, मुख्य बोर्डलाई LCD बोर्डमा जडान गर्न डिजाइन गरिएको हो। P11, P13 र P4 LCD बोर्डमा PSoC पिन 11, 13 र 4 मा जोडिएका छन्।

3. आक्रमण चरणहरूको अनुक्रम

अब जब हामीलाई थाहा छ कि यो ड्राइभमा कुन कम्पोनेन्टहरू समावेश छन्, हामीले आवश्यक छ: 1) आधारभूत इन्क्रिप्सन कार्यक्षमता वास्तवमा अवस्थित छ भनेर सुनिश्चित गर्नुहोस्; 2) इन्क्रिप्शन कुञ्जीहरू कसरी उत्पन्न/बचत हुन्छन् पत्ता लगाउनुहोस्; 3) पत्ता लगाउनुहोस् जहाँ पिन कोड जाँच गरिनेछ।

यो गर्नको लागि मैले निम्न चरणहरू गरे:

• SPI फ्लैश ड्राइवबाट डाटा डम्प लिनुभयो;
• PSoC फ्ल्यास ड्राइभबाट डाटा डम्प गर्ने प्रयास गरियो;
• प्रमाणित गरियो कि साइप्रस PSoC र JMS539 बीचको सञ्चारले वास्तवमा थिचिएका कुञ्जीहरू समावेश गर्दछ;
• मैले पासवर्ड परिवर्तन गर्दा, SPI फ्लैश ड्राइभमा केहि पनि अधिलेखन गरिएको छैन भनेर सुनिश्चित गरें;
• JMS8051 बाट 539 फर्मवेयर उल्टाउन धेरै अल्छी थियो।

३.१। SPI फ्लैश ड्राइवबाट डाटा डम्प लिँदै

यो प्रक्रिया धेरै सरल छ:

• फ्ल्यास ड्राइभको खुट्टामा प्रोबहरू जडान गर्नुहोस्: CLK, MOSI, MISO र (वैकल्पिक) EN;
• तर्क विश्लेषक प्रयोग गरेर स्निफरसँग "स्निफ" संचार (मैले प्रयोग गरेको Saleae Logic Pro 16);
• डिकोड SPI प्रोटोकल र CSV मा निर्यात परिणाम;
• लाभ लिनुहोस् decode_spi.rbपरिणामहरू पार्स गर्न र डम्प प्राप्त गर्न।

कृपया ध्यान दिनुहोस् कि यो दृष्टिकोण विशेष गरी JMS539 नियन्त्रकको मामलामा राम्रोसँग काम गर्दछ, किनकि यो नियन्त्रकले प्रारम्भिक चरणमा फ्लैश ड्राइभबाट सबै फर्मवेयर लोड गर्दछ।

$ decode_spi.rb boot_spi1.csv dump
0.039776 : WRITE DISABLE
0.039777 : JEDEC READ ID
0.039784 : ID 0x7f 0x9d 0x21
---------------------
0.039788 : READ @ 0x0
0x12,0x42,0x00,0xd3,0x22,0x00,
[...]
$ ls --size --block-size=1 dump
49152 dump
$ sha1sum dump
3d9db0dde7b4aadd2b7705a46b5d04e1a1f3b125 dump

SPI फ्लैश ड्राइभबाट डम्प लिएपछि, म निष्कर्षमा पुगें कि यसको मात्र कार्य JMicron नियन्त्रण उपकरणको लागि फर्मवेयर भण्डारण गर्नु हो, जुन 8051 माइक्रोकन्ट्रोलरमा निर्मित छ। दुर्भाग्यवश, SPI फ्लैश ड्राइभको डम्प लिनु बेकार भयो:

• जब पिन कोड परिवर्तन हुन्छ, फ्ल्यास ड्राइभ डम्प उस्तै रहन्छ;
• प्रारम्भिक चरण पछि, उपकरणले SPI फ्लैश ड्राइव पहुँच गर्दैन।

३.२। सुँघ्ने संचार

चासोको समय/सामग्रीको लागि सञ्चार जाँच गर्न कुन चिप जिम्मेवार छ भनेर पत्ता लगाउने यो एउटा तरिका हो। हामीलाई पहिले नै थाहा छ, USB-SATA नियन्त्रक कनेक्टर CN1 र दुई रिबन मार्फत Cypress PSoC LCD मा जडान गरिएको छ। त्यसकारण, हामी तीन समान खुट्टाहरूमा प्रोबहरू जडान गर्छौं:

• P4, सामान्य इनपुट/आउटपुट;
• P11, I2C SCL;
• P13, I2C SDA।

त्यसपछि हामी Saleae तर्क विश्लेषक सुरु गर्छौं र किबोर्डमा प्रविष्ट गर्छौं: "123456~"। नतिजाको रूपमा, हामी निम्न रेखाचित्र देख्छौं।

यसमा हामी तीन डाटा एक्सचेन्ज च्यानलहरू देख्न सक्छौं:

• च्यानल P4 मा धेरै छोटो फटहरू छन्;
• P11 र P13 मा - लगभग निरन्तर डेटा विनिमय।

च्यानल P4 मा पहिलो स्पाइकमा जुम इन (अघिल्लो चित्रमा निलो आयत), हामी निम्न देख्छौं:

यहाँ तपाईंले देख्न सक्नुहुन्छ कि P4 मा लगभग 70ms एक एकरता संकेत छ, जुन सुरुमा मलाई घडी संकेतको भूमिका खेल्न लाग्थ्यो। जे होस्, मेरो अनुमान जाँच गर्न केहि समय बिताएपछि, मैले पत्ता लगाएँ कि यो घडी संकेत होइन, तर कुञ्जीहरू थिच्दा ट्वीटरमा आउटपुट हुने अडियो स्ट्रिम हो। त्यसकारण, संकेतको यो खण्डले हाम्रो लागि उपयोगी जानकारी समावेश गर्दैन। यद्यपि, PSoC ले कुञ्जी प्रेस दर्ता गर्दा थाहा पाउनको लागि यसलाई सूचकको रूपमा प्रयोग गर्न सकिन्छ।

यद्यपि, पछिल्लो P4 अडियो स्ट्रिम अलि फरक छ: यो "अमान्य PIN" को लागि अडियो हो!

किस्ट्रोक ग्राफमा फर्केर, अन्तिम अडियो स्ट्रिम ग्राफमा जुम गर्दै (फेरि निलो आयत हेर्नुहोस्), हामीले प्राप्त गर्छौं:

यहाँ हामी P11 मा नीरस संकेतहरू देख्छौं। त्यसैले यो घडी संकेत जस्तो देखिन्छ। र P13 डाटा हो। बिप समाप्त भएपछि ढाँचा कसरी परिवर्तन हुन्छ ध्यान दिनुहोस्। यो यहाँ के हुन्छ हेर्न रोचक हुनेछ।

दुई तारहरूसँग काम गर्ने प्रोटोकलहरू सामान्यतया SPI वा I2C हुन्, र साइप्रसको प्राविधिक विशिष्टताले यी पिनहरू I2C सँग मिल्दोजुल्दो छ भनेर बताउँछ, जुन हामीले हाम्रो मामलामा सत्य हो:

USB-SATA चिपसेटले कुञ्जीको अवस्था पढ्नको लागि PSoC लाई निरन्तर पोल गर्छ, जुन पूर्वनिर्धारित रूपमा "0" हो। त्यसपछि, जब तपाइँ "1" कुञ्जी थिच्नुहुन्छ, यो "1" मा परिवर्तन हुन्छ। "~" थिचेपछि तुरुन्तै अन्तिम प्रसारण फरक हुन्छ यदि गलत PIN कोड प्रविष्ट गरिएको छ। यद्यपि, यस समयमा मैले वास्तवमा त्यहाँ के प्रसारण भइरहेको छ भनेर जाँच गरेको छैन। तर मलाई शंका छ कि यो एन्क्रिप्शन कुञ्जी हुन सम्भव छैन। जे भए पनि, मैले PSoC आन्तरिक फर्मवेयर कसरी हटाएँ भनेर बुझ्नको लागि अर्को खण्ड हेर्नुहोस्।

स्रोत: www.habr.com