Ковырнём Прошивку ..., Hex Workshop 4.0, Hiew etc... Поделиться Опции

Vilko

Спасибо, теперь все ясно.

Ждем твоего добро на отсутствие CRC внутри самих проишивок, а не shx

B)

[Vilko]

А чего ждать? даже если что не так и прошивка выдаст ошибку - включится аварийный загрузчик(по *+#) и можно зашить нормальную прошивку... :)
я именно так проверять и буду... :)

[Evy]

Да нету там никаких CRC скорее всего, и потом, если заливать свой shx через PST, он ведь должен пересчитать тогда сумму? так что не надо париться 8))

Vilko

Если есть возможность, то выложи дамп всей памяти от с650. Типа такого который ты слил с с350. У меня только с350, хочу прошивки поредактировать.

Ждем :P B)

P.s.

Можно и расшифрованый флэш для с650 (сам не могу ((, потому шта нет машинки с650, и, соответственно, нет и ключа BlowFish)
Вот.

[Vilko]

Zergio
Прошивка от 650 не шифрована - просто разбирай shx и копайся.
а ключ в моих прогах пока подходит для всех телефонов p2k
(проверено на прошивках от V6x, T72x, Vxxx, Cx50)

2 Evy имеется ввиду какой-либо crс внутри самих бинарников.
т.е. прошивка сама может проверять свой код при старте.
я тоже считаю, что таких нет, но кто знает? :)

Vilko

Thanx for support!

Спасибо ;)

[Vilko]

Доделал сегодня свой ram-downloader, залил его в телефон и с его помощью скачал всю оперативку и флешку от С650 :)
2 интересные фишки из обнаруженного:

1 - shx и скачанный дамп полностью идентичны, за исключением того, что в началн shx не хватает 256Кб кода - начального загрузчика телефона, т.е. при перепрошивке этот код остается неизменным. (насчет fullflash не знаю, не видел)

2 - 3я кодовая группа в прошивке shx (PART2.BIN после shx_tool) - это пользовательская область прошивки, та, в которой содержатся файлы, seem, sms, зап. книжка, органайзер.
т.е. если в shx положить вместо этого бинарника кусок памяти со своего телефона - при перепрошивке получишь все свои настройки :)

[Agent 707]

Насчет CRC хочу поделиться мнением: проверка CRC запросто может быть сделана в начальном загрузчике, типа он при включении загружается и проверяет сначала CRC прошивки. Обратите внимание, что в компьютере BIOS при старте проверяет свой CRC и CRC CMOS'а. Так что проверку на этапе загрузки вполне могли встроить и в телефон (на случай повреждения Flash'а, например, типа если Flash будет поврежден, повредится и прошивка, и при подсчете CRC это обнаружится, и может даже телефон тебя пошлет в сервис-центр, типа "Contact Service" выдаст на экран). Так что проверка должна быть, имхо. Чтобы ее обойти придется искать, где хранится эталонная CRC-сумма, и определить, по какому алгоритму считается. Такое мое мнение... Ну, а если разработчики схалтурили, то подсчета CRC может и не быть B)

[Vilko]

уже нашел что-то на эту тему.
1 - начальный загрузчик 100% проверяет наличие нескольких "сигнатур" - определенных байтов по определенным адресам.
2 - есть некий блок данных, при проверке которых могут выдаватся сообщения "MEM_MAP Blank", "Service Req'd", "Code Corrupt" . состав этого mem_map и принцип проверки пока не понял.

[PhantomSM-Tula]

Vilko

Доделал сегодня свой ram-downloader, залил его в телефон и с его помощью скачал всю оперативку и флешку от С650

а где его (ram-downloader) можно взять?

как бинарники привести к нормальному виду?

почему на сайте motorolka.ru и на других сайтах лежит только flash, a flex'a нет, почему?
или я чё-то пропустил?

[BeZ]

PhantomSM-Tula
flex может быть встроен во flash, так же как и lang pack, а может существоать и отдельно

[BeZ]

Кароче, пытался написать прошку для сборки бинарников в SHX....

возникли трудности в некоторых местах....
1. в самом начале файла строки

P2K Superfile .... 3.60 ..... 2.00 .... Tue May 20 13:10:53 2003 ... UNIX Generated Superfile .......

точками обозначил пустоту... и далее после последней фразы очень много пустого места до адреса 001FECh . Смотрел различные прошивки от разных моделей, в некоторых местах этого пространства попадаются какие-то данные по разным адресам... так и не понял что с этим делать....

Понял только одно, что первая CodeGroup начинается с адреса 001FECh
во всех прошивках
блоки данных начинаются с заголовка S00600004844521B

2. но вот заканчиваются иногда одинаково а иногда по разному

вот примеры

• S70511010242A4
• S70510010C00DD
• S70500000000FA
• S7054353B96843

причем файл всегда заканчивается уникальной строкой S7054353xxxxyy

где 4353xxxx - это адрес (???? интересно как его определить)
yy - это контрольная сумма, как ее считать я знаю...

так же есть еще проблема
с содержимым блоков
каждая часть блока представляет собой S-запись

вот например

S3 45 11010000 29C34B32380CD1669BDAF03B6BF69777EFC83D16ED4746A3A0BBADA223F8BAE7EC7AD52F64DD66A1EC7AD52F64DD66A1EC7AD52F64DD66A1EC7AD52F64DD66A1 60

и так,
обобщенный формат

S3 xx yyyyyyyy DATA zz
xx - размер данных вместе с полем адреса
yyyyyyyy - адрессс - как его определять, вернее начальный адрес, не понятно, но известно, что следующая S-запись будет нахождится по адресу address+ 40h
в принципе вот две проблемы:

1. определение начального адреса блока
2. определение адреса в стоке, завершаюшей блок

если это узнать, то прошку скоро доделаю...
контрольные суммы для каждой S-записи вычислять тоже умею

[BeZ]

В принципе, кому интересно ковыряние, можете поглядеть первую страницу этой темы...


вот еще что обнаружил в прошивках

данные загрузчика начинаются по следующему адресу:
1. для T720 - 11010000h и далее... до 11037FC0h (05.08.52R)
2. для T72xi - 11010000h и далее... до 1101FFC0h (54R, 59R, 65R)
3. для с350 - 11060000h и далее... в основном, до 11073BC0h (прошивки 37R и 74R)

очень интересно, что для пункта 1 загрузчик имеет размер 160кб
для случая 2 около 60 кб
для случая 3 около 80 кб

[BeZ]

Evy

Да нету там никаких CRC скорее всего,

я конечно не в курсе этого, но имхо, используется формат Motorola S-Records
то там для каждой S-записи считается CRC
так же для заголовков CRC считается и для S-строки завершающей блок тоже CRC считается...


Этот файл в каждой строке CRC имеет....

и потом, если заливать свой shx через PST, он ведь должен пересчитать тогда сумму?

это еще не известно.... я пока не рискнул попробывать сделать это
сумму то он может пересчитать, наверное и пересчитывает и сранивает с той суммой, что в S-строке поставлена...

так что не надо париться 8))

а попарится все равно придется... :(

по крайней мере владелцам t72x, то есть мне :(, т.к. Vilko узнал, что у них стоит проц мотороловский M-Core, а не arm'ский... так что нет пока возможности что-то загрузить в память телефона, как это делал Vilko :(

[BeZ]

Сегодня меня пробрало на прошивку телефона...
заливал новые прошивки...
ну и заодно залил флекс от с350 (от 37R) в свою трубу t722i

кароче, произошло следующее.... пропал пункт Java Tools (сто пудов это живет не в 32 симе)... Так даже ПСТ мне сказала, что ява не поддерживается телефоном (точно так же мне ПСТ говорила, когда я с350 мучил), хотя с нормальным родным флексом все ок... все работает...
так же попробовал залить флекс от т720, телефон стал перегружаться - это я исправил прошивкой нормального родного флекса

А теперь по поводу прошивки самодельного SHX файла
ПСТ ругалась на меня и сказала, что checksum не совпадает, типа твой s-file неправильный...
я пытался просто залить shx без заголовка (типа, Motorola P2K super file и т.д. и т.п.), попробовал сделать еще SHX следующего вида...
залил прошивку в телефон только с английским языком.. русского нет, решил из старой прошивки выдрать русский, создал файл SHX с заголовком из старого SHX, поместил туда из строго же SHX codegroup1 (boot loader), а затем codegroup4 (lang pack)... попробовал прошить пст, так она опять заругалась, что контрольная сумма не та.... типа файл поврежден...

значит надо искать где живет контрольная сумма, имхо, в заголовке файла она, а также и версия бутлоадера и всякой ерунды, типа дата, еще что то, это все отображается когда в пст открываешь shx для прошивки, там есть поля, они заполняются данными из shx, скорее всег о берутся из заголовка....


будем дальше разбираться...

[BeZ]

А кто-то про CRC говорил другое....
весь файл напичкан этими CRC
и ПСТ все это сверяет

[mad74]

А кто-то про CRC говорил другое....
весь файл напичкан этими CRC
и ПСТ все это сверяет

Да, причем, не самым простым способом. Я попробовал сделать довольно безобидную вещь, убрать лого оператора. Забил пробелами свой MegaFon RUS, причем делал это прямо в SHXe, меняя байты в названиях других операторов таким образом, чтобы это были английские символы и контрольная сумма данной SRecord оставалась неизменной. В итоге MultiFlashFlex матерится, что не может прочитать заголовок, так что вариант, что контрольная сумма SHX файла завязана только на CRC входящих в него SRecords, похоже, отпадает.

WBR!

[BeZ]

mad74

Забил пробелами свой MegaFon RUS, причем делал это прямо в SHXe, меняя байты в названиях других операторов таким образом, чтобы это были английские символы и контрольная сумма данной SRecord оставалась неизменной.

И как же это у тебя CRC строки осталось не изменной????
Ты хоть знаешь как она вычисляется???
Ты не прав, если ты даже изменишь букву W на S, то CRC в S-строке уже изменится, надо новую CRC подсчитывать...

но дело не в этом, эту CRC подсчитать легко, но есть еще какая-то контрольная сумма на весь файл, или может быть еще на что-то, на блоки, например, я не знаю, вот с этим больше проблем

[Vilko]

Народ, инфу о заголовке shx и контрольных суммах в нем дам в понедельник.

[mad74]

И как же это у тебя CRC строки осталось не изменной????
Ты хоть знаешь как она вычисляется???
Ты не прав, если ты даже изменишь букву W на S, то CRC в  S-строке уже изменится, надо новую CRC подсчитывать...

но дело не в этом, эту CRC подсчитать легко, но есть еще какая-то контрольная сумма на весь файл, или может быть еще на что-то, на блоки, например, я не знаю, вот с этим больше проблем

как считается CRC в SRecords, я знаю, причем мне вчера удалось все-таки сделать то, что хотел, и ПСТ открывает файл без ругани. Я все это делал с прошивкой R312ULS_G_09.10.29R_gsm_flash_dev.shx (for С350L), вот исходная строка:

S345103E4EC0656C6C00524F20434F4E4E455800436F736D6F726F6D00524F204F52414E4745004D54532D525553004D656761466F6E20525553005255535F53434E00534353D1
и измененная:
S345103E4EC0656C6C00524F20434F4E4E455800436F736D6F726F6D00524F204F52414E4745004D54532D525553002020006D666F6E20525553665255665F63674E00534353D1

Я делал это с надписью Мегафон, при наличии симки другого оператора может получится очень веселое название;-). Соглашусь, что это баловство и непосредсвенно с программным кодом такое не пройдет, но все равно хочу найти либо эту прошивку вместе с русским лэнгпаком для ПСТ, либо отдельно языковой пакет для нее хоть под виктора, хоть под ПСТ, если найду, обязательно попробую перешить...

WBR!

[BeZ]

mad74

интерсесно, как это у тебя могло прокатить.
у тебя же CRC S-строки по идее должна измениться (пересчитывать для проверки не буду) и еще какие-то CRC....

у меня тоже есть прошивка кульная, но без русского :( вот тоже бы найти ленг пак для нее :)

[mad74]

так я как раз и пересчитывал все. Вот имя опсоса
4D656761466F6E2052555300
т.е. MegaFon RUS/00
уменьшаем себе проблемы, переставив нулевой байт:
4D00656761466F6E2052555365
а дальше меняем байты так, чтобы их сумма не менялась
2D00656761666F6E2052555365
2000656761666F6E2D52555365
а насчет других CRC хитро там как-то, можешь в одном байте старший разряд поменять и ничего не будет, меняешь в нем же младший- облом...

[BeZ]

mad74

Мне Vilko уже маленько разяснил формат заголовка SHX

там есть описание кодовой группы и ее контрольная сумма
и еще есть контрольная сумма на весь SHX

[brutal]

Народ, инфу о заголовке shx и контрольных суммах в нем дам в понедельник.

Vilko
Уточни, в какой понедельник? :) Ждём инфу

P.S. Всем здрасти. Я из отпусков хоть и давно вернулся, но дел накопилось, вот только теперь по-тихоньку выхожу из подполья. Много тут нового накопали смотрю! Vilko и все кто копает в этом направлении - respect!!!

[Vilko]

brutal
Хотел выложить в прошедший... но что-то на работе аврал. :(
времени не хватает... какие-то обрывочные данные сейчас уже есть, но куски выкладывать не хочу, составлю нормальное описание, выложу...

[Agent 707]

Есть рацпредложение - поискать эмуляторы ARM-процев, может быть они позволят более удобно копаться в коде. Скоро наверное скачаю ARMulator (под Линукс, если что, про виндовую версию ничего не знаю, может и есть, тоже поищу), может быть он подойдет. А вообще кульно было бы забодяжить эмулятор Мотороловских мобил :) .
Кого интересует CRC - у меня есть техническое описание CRC16 и CRC32, с примером кода генерации CRC на Pascal.
Еще насчет CRC, то, что вы называете "CRC на каждом шагу":
наверняка CRC есть в каждом файле. Кроме того, возможно какой-то файл - это файл базы данных, тогда вполне возможно, что каждая запись этой БД тоже защищена CRC. Плюс ко всему файл может быть архивом - тоже CRC на каждый файл внутри архива, и наверняка сам файл прошивки целиком тоже защищен CRC.
Одно не пойму - неужели в Мотороле так боялись таких вот умельцев, что ТАК все защитили этими контрольными суммами?

[BeZ]

Agent 707

как тебе сказать?

S-Records - там в каждой строке контрольная сумма...
плюс на весь SHX контрольная сумма
+ на каждую кодовую группу контрольная сумма


это не защита от взлома, имхо, это защита от порчи данных

если испорченные данные в телефон загрузить?
что тогда может произойти, просто не известно как телефон работать будет

вот лишняя предосторожность не помешает... и я не вижу ничего здесь плохого...

ого интересует CRC - у меня есть техническое описание CRC16 и CRC32, с примером кода генерации CRC на Pascal.

это не сложно.... инфы навалом инете, а реализовать тоже не тяжело...
подсчет суммы байтов и взятие по модулю значения
типа для CRC-8 надо брать младший байт, CRC-16 - младший word ну и т..д

А пока ожидаем известий от Vilko по поводу формата заголовка SHX файла
в нем собака зарулась :D

[Vilko]

Скачали и проанализировали прошивку с V500
итог:
Железо на V500 и С650 практически одинаковое, т.е. все п рограммы из V500 идут на 650 и наоборот.
начальный загрузчик(тот, что включает телефон, принимает прошивки и пр.) у них вообще абсолютно одинаковый.
разница только в памяти - V500-32, C650-16 и в BlueTooth.

[brutal]

Приятно, чёрт подери, за такие деньги иметь почти V500 :)

[BeZ]

brutal
я бы не сказал....

память, экран, голубой зуб, раскладной корпус


может быть к v300 ты хотел сказать? там то зуба нет...

но экран и размер памяти... все равно не то...

[C001eR]

[BeZ]

C001eR*[WaVe]
моя прошивка... :D

Я так понял никто кроме R321_G_0A.10.19R на С550 не заливает <_<
На новых С550 какая прошивка и флекс?
Я нашел еще две флешки:
1AR, 21R, есть ли еще, новее, кто их ставил что нового?
А флексы отдельные для С550?
Про русские языковые пакеты:
06,0d,11,2c,2d,2e,31,32,33,34,36 это так и все?

Прошил Виктором R321_G_0A.10.21R на свой страх. Все работает clap;applo
Пока особой разницы не вижу.
Хотя виктор и говорил, что флешка для С450, Е380, С370 и размер его самого 8 мегов всего
Ну а Флекс хоть другой у кого есть, кроме SE4381AXXU1038?

R321_G_0A.10.21R для С550 не совсем подходит, не работает Java и подсветка гаснет

с помощью P2KTools в меню motorolla c 350 L появилось java приложения, потом запустил pst и с помощью стала активной кнопка включения java, попробуйте должно работать.

[Booroondook]

shrek

c 350 L появилось java приложения

Не обольщайся - Явы в С350 (включая модификацию "Л") нет.
А наличие пункта меню еще ничего не значит - это просто неработающая "пустышка".

[Dms]

Что то ни чего не могу прочесть с помощью p2ktool.exe
Попробовал прочесть С450, долго думала прога, индикатор прогресса чуть пополз и выдала:
CMD: Answer packet invalid!
Fail!
На V500 сразу пишет
Fail!
Подскажите как вы их читаете, какие адреса вбиваете, может там какие дрова нестандартные или еще чего надо?

[Vilko]

Dms
пробуй адреса с 0 или с 800000
если индикатор сначала пополз - значит что-то читать начал, а потом читаемые адреса кончились...
для Vxxx серии есть более совершенная программа, читающая память - она загружается в память телефона и сама начинает передавать содержимое памяти, а не использует функции прошивки. читаемость в этом случае - 100%
если интересует - стучись в асю 57190216

[Vilko]

прога для сливания С650/Vx00/E398 - http://anton.tbg.ru/ramldr.zip (версия пока очень отладочная, посему не удобная)
запускаем, ждем переключения в flash-режим
жмем "send ramldr" и выбираем файл ldr.bin(идет в архиве)
файл закачивается, после этого очищаем лог и начинаем скачивать память - блоками по 1Мб. пишем адрес блока, который нужно скачать, в поле "Base address" жмем "savmem" и память сохраняется в файл с именем = базовому адресу.
адрес прошивки для этих телефонов - 10000000
размер - для 650 - 16Мб, остальные - 32Мб.
адрес пишем в hex
т.е. 10000000
...
10F00000
и т.п.
если тел. "подвис" - введен несуществующий адрес - аппарат через 20-30 секунд выключается, это нестрашно. просто включаете и продолжаете процесс.
ВНИМАНИЕ, подходит только для вышеперечисленных моделей телефонов.