E680: Rsa в Bp взломан Поделиться Опции

[dion]

Итак. Vilko таки удалось обойти RSA в BP E680i (скорее всего и A780). Началось все с того, что мне захотелось прошить BP от A780 в надежде на то что появится EDGE. В результате получился труп. Пришлось делать Testpoint. Короче говоря мануал:

1. Сделать бэкап текущего BP. Для этого качаем http://inhex.net/dion/motofan/e680_tp/ramldr_e680.rar. Включаем телефон зажав кнопки "Камера", "Громкость-" и "Вкл".

Кидаем AP-ный ldr: Вводим Base addr: a0200000 и Entry addr: a0200000. Жмем Send RamLdr
Кидаем BP-ный ldr: Base addr: 03fd0000 и Entry addr: 03fd0010. Жмем Send RamLdr
Собственно бэкап: Base addr: 10000000; Entry addr: 103FFFFF. Кнопка "Save Mem S"

Аналогично делаем на всякий случай отдельный бэкап PDS:
Base addr: 10370000; Entry addr: 1037FFFF. Кнопка "Save Mem S"

2. Разбираем тел:
Откручиваем отверткой T6 4 самореза. Два из них под крышкой акумулятора, два - спрятаны под резиночками с противоположной стороны.
Выковыриваем резиновую заглушку над камерой (прикрывает возможно гнездо для внешней антены).
Аккуратно снимаем половинку корпуса (по бокам посередине есть две защелки):



Плоской отверткой/ножем подковыриваем экран и снимаем вторую половину корпуса:



3. Отгибаем экран (он держится на гибком шлейфе). Отковыриваем ножем экранировку вокруг LTE.



Контакт тестпоинта находится между LTE и чипом памяти:





Укладываем плату в первую половинку телефона. Подключаем USB-кабель к телефону.
Нужно посадить эту ногу на землю и вставить батарею удерживая кнопки "Камера" и "Громкость-". Я использовал кусок провода с острым шилом на конце. Подсветка джойстика должна загореться. Не выключая телефон убираем ногу тестпоинта с земли. Достаточно сложно вставить батарею, удерживая нажатыми 2 кнопки и держа шило на ноге тестпоинта. Поэтому я обычной резинкой обмотал корпус так чтобы эти 2 кнопки были всегда нажатыми. Они же и придерживали батарею.



Качаем http://inhex.net/dion/motofan/e680_tp/ramldr_blank.exe
Запускаем ramldr_blank, кидаем AP-ный ldr.
Берем BP-ный ldr: http://inhex.net/dion/motofan/e680_tp/ldr_nogui.bin и заливаем его (как и в п. 1)
Жмем кнопку "Erase". Дожидаемся текста ACK ERASE. Все. Текущий бут снесен.

4. Собираем телефон в обратном порядке

5. Качаем http://inhex.net/dion/motofan/e680_tp/E680_BP_patched.rar. Распаковываем, открываем бинарь в HEX редакторе. Заменяем часть файла начиная с адресса 00370000 бэкапом своего PDS.

6. Включаем телефон с кнопками "Камера" и "Громкость-". Подсветка джойстика должна гореть. Запускаем ramldr_blank
Закидываем AP-ный ldr
Закидываем BP-ный ldr: http://inhex.net/dion/motofan/e680_tp/ldr_nogui_bp.bin
Жмем ERASE, дожидаемся ответа ACK ERASE
Вводим Base addr: 10000000 и жмем "Send Binary" и выбираем отредактированный E680_BP_patched.
Ждем окончания операции, вытягиваем акумулятор

7. Включаем телефон. Все должно работатью. Теперь BP не проверяет подпись CG1.

PS. Автор методики - Vilko.

PPS. Все действия кроме бэкапа можно сделать из под linux программой ezxflash. (Как я и делал)

PPPS. Может что-то забыл.. Завтра перечитаю, проверю

[bOOster]

Итак. Vilko таки удалось обойти RSA в BP E680i (скорее всего и A780). BP от

И как результат возможно запихнуть CG1 от А780 с поддержкой EDGE?? Пробовал уже?

Eще бы найти Европейскую версию A780.. У всех китайская.

И если быть точным - обход RSA найден. Тем кто взломает RSA, то есть найдет математический способ нахождения двух взаимных простых чисел - Нобелевскую премию по математике обещали.

[vshvets]

И как результат возможно запихнуть CG1 от А780 с поддержкой EDGE?

Eще бы найти Европейскую версию A780..

Доброе утро. Если я правильно понял-розыскивается СГ1.
Выкладываю.

R52_G_0D.74.A2R_0D.C0.B1P_SE6820AD3F1_L003_S008_P004_GCOA780000E1025_fullCG1.zip   ( 1.55 мегабайт ) Кол-во скачиваний: 461

[dion]

Я R52_G_0D.74.A2R_0D.C0.B1P_SE6820AD3F1_L003_S008_P004_GCOA780000E1025_full.rar шил.
Забыл написать.. Прошивки перед шитьем BP нужно исправлять. Иначе опять труп .
в http://inhex.net/dion/motofan/e680_tp/E680_BP_patched.rar - уже исправленный BP от A780. EDGE - хз, появилось или нет

[bOOster]

Опробую на досуге.

[carrier]

dion,
Не совсем понятно что это значит

Забыл написать.. Прошивки перед шитьем BP нужно исправлять. Иначе опять труп

Да и как там EDGE - работает?

bOOster,

Еще не опробовал?

[dion]

Забыл написать.. Прошивки перед шитьем BP нужно исправлять. Иначе опять труп

Это означет что после этого PST и любыми другими прошивалками, которые шьют и AP и BP вместе лучше не шить.

Да и как там EDGE - работает?

Пока что нет.. Но есть подозрение что тут просто покрытия EDGE нету. Пока нет возможности проверить.

[bOOster]

Ну там народ же дискутирует что определенные flex bits править еще надо..
У нас точно EDGE есть и работает.. но вот добраться до телефона пока не могу.

Хотя сильно сомневаюсь в успехе данный IC также используется в
Motorola E398/ V300/ V500/ V600 - а на них как известно EDGE не работал никогда! ВОт если бы V635 засветился..

Хотя есть еще такой GSM front end IC - возможно от него зависит поддержка EDGE. На старом 680 использовался MC13777 который EDGE не поддерживал - но его давно сняли с производства.. Возможно в свежевыпущенных данный IC заменили на чтото другое?

[dion]

Ну там народ же дискутирует что определенные flex bits править еще надо..

В дампе BP биты в SEEM уже поправленны. А вот на счет flexbits в AP - попробую поиграться

[bOOster]

Забыл написать.. Прошивки перед шитьем BP нужно исправлять. Иначе опять труп .

А чо править то надо? Как искать? На что исправлять?