обход rsa на motomagx телефонах, проверено и работает на V8, E8, Z6, U9 Поделиться Опции

[yakk]

Итак, мне наконец-то удалось обнаружить дыру в загрузчике motomagx телефонов, которая позволяет запустить телефон с неподписанной AP-прошивкой

Внимание: если вы собираетесь делать то что здесь описано со своим телефонам - вы делаете это на свой страх и риск.. я не отвечаю за убитые вами телефоны..

Немного теории
Дыра обнаружилась в irom-загрузчике BP. При включении телефона бут (mbm AP-части) первым делом загружает в оперативную память bp-loader и передаёт BP команду выполнения bp-loader. irom-загрузчик BP проверяет подпись bp-loader и, если с ней всё в порядке - передает исполнение bp-loader'у. Важный момент - непосредственно перед проверкой подписи irom загрузчик BP проверяет наличие в заголовке bp-loader указателя на некоторую структуру и если этот указатель есть - разбирает эту структуру.. Эта структура, помимо заголовка, содержит набор адресов и значений; irom-загрузчик записывает в каждый из адресов (если адреса по его мнению корректные) соответствующее значение.. Таким образом есть возможность заполнить эту структуру самостоятельно и переложить на BP работу по "отпатчиванию" бута AP (бут AP в данный момент загружен в оперативку, его подпись уже проверена ранее и он ожидает ответ BP, что bp-loader прошел проверку подписи).. При этом саму структуру можно расположить за подписью и в ней же описать патч приводящий заголовок bp-loader к исходному состоянию, чтобы он нормально прошел проверку подписи..
Необходимые дополнения в bp-loader:
Размещаем за подписью bp-loader структуру следующего формата:
первые четыре байта от начала структуры - 0xB17219E9 - константа, по которой проверяется корректность структуры.
следующие четыре байта - размер структуры (должен быть кратен восьми, но не больше 256).
Дальше следует список адресов и значений (четыре байта на адрес и четыре - на значение).
В заголовке bp-loader необходимо поставить указатель на эту структуру, (четыре байта по адресу +0x14 от начала bp-loader) и указатель на этот указатель (по адресу +0x0c от начала bp-loader).. Соответственно чтобы bp-loader прошел проверку подписи - нужно будет вернуть заголовок к изначальному виду (обычно в данных полях нули) и поэтому первыми патчами описанными в структуре - делается именно запись нулей в данные поля.. Дальше следуют патчи которые нужно применить к ап-буту..
После ряда экспериментов я получил минимальный набор патчей бута которые приводят к тому что телефон соглашается работать с неподписанной прошивкой для бутов 06.a3 (e8) и a3.cf (v8) - телефоны которые "дожили" до победы..
Патчи зависят от версии бута, при установке неправильных патчей, или правильных, но не соответствущих версии бута - получаете труп. У меня уже лежит убитый z6 - на нём пробовались ранние версии патчей, в которых я не учёл некоторых проверок в буте, у dimichxp - убитый е8. Получится ли восстановить эти телефоны - большой вопрос..
Ну, основные вещи вроде все написал, прилагаю полученные буты, которые нужно просто прошить в телефон, если версия бута Вашего телефона совпадает с одной из указанных.. Хотя даже если совпадает - подумайте лишний раз насколько Вам всё это нужно ))

если кто возьмется портировать это на другие версии бутов/телефоны - имейте в виду что нужно быть предельно внимательным и перепроверять всё что делаете, попытка скорее всего будет только одна!!!

a3.cc (z6) - проверил на своём восстановленном z6 - всё работает, только ругается на security-версии кодовых груп, если их затирать. т.е. можно просто их сохранять.. хотя я поправил в cdt требование не проверять rootfs и лэнг - лэнг пересобранный и ничем не дополненный, rootfs - не пересобирал, просто стер подпись и security-версию.. если не править cdt - валится с ошибками на проверке версий, после исправления cdt - нормально работает..

ps: патч для бута 06.2b (zn5) - пока находится в стадии тестирования, не гарантируется, что его применение приведет к обходу RSA, но будучи прошитим на телефон с соответствующей версией бута - трупов быть не должно.. (чуть инфы для интересующихся - на новых версиях патчей не делается подмены инженерности, т.е. патчатся только собственно функции проверки подписей)..
06.2b (zn5).

pps: добавил патч для бута 06.a9 (e8) - пока для тестирования, хотя в принципе я его проверил - телефон после установки патча работал с неподписанными группами. опять же следим за версиями кодовых групп и не зашиваем всё без разбору..

добавил патч для бута 06.2a (u9) - спасибо за тестирование andrey_moto.

Сообщение отредактировал yakk - 16.1.2009, 3:57

[theCore]

Hi yakk i noticed that even ARGONs bl checks for the same structure maybe it's possibile to bypass also argons rsa...

yakk: i haven't work with ARGON, so i don't know correct answer.. the way described here will work if ARGON's dsp and cpu shares the same ram, and ARGON's irom loader allows to write to ram.. To check that, you need at least to find the way to read out ARGON's dsp irom... May be there is some other way to use that structure on ARGON - look for it ..

edit1: i will have a look but i didn't understand well about this structure

edit2: in V6 bl that structure is also present in the bl, exactly at 0xA0000084. (bl should start at A0000000 but i think that is not bl maybe is the irom-loader, in my opinion bl starts at 0xA0001000), if you want to take a look

edit3: i was wrong in edit2 , there's no irom-loader

Сообщение отредактировал theCore - 11.1.2009, 20:08

[Skrilax_CZ]

On page 4 there is English translation.

[andrey_moto]

Простите за настойчивость но для у9 будет такое или нет?

yakk: если будешь тестировать - могу сделать скажи какая версия бута и, по возможности, дай ссылку на бутреплейсер..


Добавлено позже (15.1.2009, 14:12):
Блин что с жимом сегодня? Короче бут последний который всех обломал, 27_06r прошивка и выше. В архиве должен быть бутреплейсер. А могу выложить его себе на фтп когда домой приду. Насчет тестов чет стремно. Я так свой з6 убил а потом хорошо что восстановили ты и ганжа. Спасибо. На у9 пока тп нету. Да и разобрать не известно как!

Сообщение отредактировал yakk - 15.1.2009, 11:36

[mardariy]

вот ссылка на реплейсер для U9, могу "потестировать") https://rsddownload.motorola.com/download/R...replacer.shx.gz

yakk: спасибо за ссылку.. я уже отдал патч на бут 06.2a andrey_moto на тестирование.. пока ждем от него результата

Сообщение отредактировал yakk - 15.1.2009, 20:07

[andrey_moto]

Все отлично работает на у9! Стояла последняя проша 27-09R прошил патч. Пересобрал ленг от этой же проши и вуаля, тел живой и работает на ура. Спасибо уакк!!! Настало время для у9!

yakk: добавил бут 06.2a от u9 в закрепленное сообщение..

Сообщение отредактировал yakk - 16.1.2009, 3:55

[r.o.m.a.N]

добавил патч для бута 06.2a (u9) - спасибо за тестирование andrey_moto.

На ZN5 тоже стоит бут 06.2a. Патченный бут от U9 встанет на зину?

[Slim_Shady]

сорри за навязчивость нне скажете, как продвигается работа с обходом\взломом на зайне?

yakk: никак не продвигается потому как проверять патченый бут не на чем )) если есть желание - можешь сам потестить бут 06.2а (zn5): http://_upload.com.ua/get/900665377/ только гарантий никаких дать не могу..

Сообщение отредактировал yakk - 24.1.2009, 10:08

[PUSYA]

Is this ZN5 RSA Patch?

Yes

Download doesn't work, cannot try.

zn5_062a.rar   ( 140.11 килобайт ) Кол-во скачиваний: 8466

Сообщение отредактировал PUSYA - 24.1.2009, 11:43

[yakk]

Решил выложить кое-какой инструмент который наваял за время ковыряния в прошивках на scma11: процессорный модуль для иды, работающий с старкоровским кодом - модуль не доведен до ума - фунционал сильно уступает стандартным ida-вским модулям, но желающих ковырять - это вряд ли остановит )) в общем прикладываю сборку для ida 5.2, ошибки наверное есть, так что исходники берем здесь http://hg.ezxdev.org/starcore-idap - и смотрим что к чему.. вообще модуль будет работать на dsp который в scma11 и argon, скорее всего будет работать на pog - хотя тут инфы недостаточно..
ps (или к чему это всё ) - хотелось бы найти способ запуска своего кода на bp-части magx телефонов, это не принципиально для пользователей, но хотелось бы сказать - что рса побороли полностью ))

[Neomoto]

В буте пишет No RSA

yakk, а можно сделать чтобы как раз-таки это No RSA не писалось? Хочется прошить этот бут, но не хочется потом в сервисном центре получить отказ в гарантии если что с телефоном случится.

yakk: можно - нужно патч поправить, хотя имхо лучше чтобы писалось чтобы видно было что к чему..
на случай сервиса - лучше просто прошить родной непатченный бут т.к. если будут ковырять телефон серъезно - всё равно заметят что бут неродной..

Сообщение отредактировал yakk - 25.1.2009, 9:21