Lte2 Rsa - взломано., Готовое решение,проверено L6,L7,V360,V3i Поделиться Опции

[Archy]

ВНИМАНИЕ! Тема только для опытных пользователей!

СВЕРШИЛОСЬ! Итак, мы закончили работу над методикой залома LTE2.
Подходит для телефонов L2, L6, L7, V360, V3i и других.
Исключение составляют телефоны с бутом 09.xx, на них пока что не удалось снять RSA.

Немного теории:
Дыра, через которую мы обходим RSA - в CG7 (подписи бута) - там часть данных самой подписи можно использовать как код, в котором джампом выводится управление, т.е. за пределы подписанного блока.
Точку входа ставим на этот самый код...
Ну и, соответственно, получаем управление за пределами подписи - остальное уже дело техники...
Вот метод исправления CG7:

- сливаем свой CG7(или вытаскиваем из shx своей прошивки, дело вкуса)
перед патчем проверяем что байты по +1140 равны E5 9F C0 00, если нет - CG7 требует иной модификации. такие версии - "в студию".
- патчим:
по смещению 0xC80 в CG7 прописываем значения 46 C0 48 01 68 00 47 00 10 04 00 00 (изначально там будут FF)
- вливаем обратно.

CG18 (подпись прошивки) опять-же оказывается почти не нужна , нам от неё потребуются лишь первые 16 байт - заголовок, в котором раньше был адрес самой CG18 (11FE0010) - он меняется на адрес CG7 - т.е. 11F80000 (правим CG18 как написано тут)

Код

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F
-----------------------------------------------------------
00000000   11 F8 00 00 ....дальше не важно.................   .ш.A..

- таким образом бут проверяет CG7, считая что проверяет CG18 - и в CG7 нет диапазона адресов CG1 - и, ясен пень, ошибка проверки CG1 таким образом не вылезает.
То есть вместо проверки прошивки идет повторная проверка CG7...
Далее - начало CG1, которое правится (правим так):

Код

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F
-----------------------------------------------------------
00000000   11 F8 11 41 ....дальше не важно.................   .ш.A..
00000010   B0 01 FF FB ....дальше не важно.................   .яы...

Поняли, в чем прелесть?
Делаем эти изменения в указанных СG, собираем монстра - и шьём, даже ТЕСТ ПОИНТ НЕ ПОНАДОБИТСЯ!
Методика патчинга - правим CG18, CG7, правим заголовок CG1, добавляем в "монстра" CG3 (с той же прошивки, откуда остальные кодовые группы), вносим свои изменения/патчи в CG1, затем прошиваем всё это ЦЕЛИКОМ. Всё...

Единственное НО - пока не можем бэкапить - записывать ПДС, но уже пишется полностью открытый "дуал-бут" для ЛТЕ2, так что...

На V3i другая адресация, поэтому патчить надо будет так:
В CG18 в начале пишем 12F80000
В CG1 пишем по смещениям:
0000000: 12F81141
0000010: B001FFFB
В CG7 правим как выше описано

На L7e, K1, Z3 снова иная адресация, по идее патчить надо так:
В CG18 в начале 13F80000
В CG1 пишем по смещениям:
0000000: 13F81141
0000010: B001FFFB
В CG7 правим как выше описано
НО! Почему-то не работает. Возможно, виновата какая-то дополнительная проверка в новых 0А.* бутах, может, что-то еще... Кто имеет знакомых со смарт-клипами и один из этих телефонов, зайдите к ним, смените одну цифру в ИМЕИ и СНИМИТЕ ПОЛНЫЙ БЭКАП (без ПДСа), только не смаррт-клипом (он кодирует бэкапы). Ну и бэкап в студию!

P.s. Любые обсуждения авторства данной методики будут моментально наказаны БАНом.
Авторство команды смартклипа, метод был слит оттуда с лёгкой правкой. НИКАКОГО ФЛУДА и ОФФА!
Обсуждаем только по сути.

p.s. Тема до зачистки:

Lte2_Rsa____.rar   ( 18.35 килобайт ) Кол-во скачиваний: 5291

p.p.s. Вот простенькая программа для снятия RSA. Работает только на распакованных файлах!

RandomRSA2.rar   ( 165.14 килобайт ) Кол-во скачиваний: 18549

З.з.з.ы. Собираем и шьем прошивку с помощью FB 3.0.2 и выше, также можно шить через RSD_lite версии 3.3 и выше.

Сообщение отредактировал Random - 16.3.2007, 20:23

[V360]

На этом теле я неделал тестпойнт потому залить AER немогу.

[QUOTE]Варианты залить бут в бланк-тело без ТП не проходят обычно (как и ПДС)
ПДС уникален (так во всяком случае писали еще про Е398)
Если даже зальется бут, то остально е будет без толку (если АЕР - как родная была изначально)
При слезании с АЕР с помощью ТП, делался ФулРепеир, но родная проша была 5АР[QUOTE]

Полсе залитя моей прошивки тело было в постоянном бланке т.е. встваляешь батарею тело сразу падает в бланк.
Т.е. вынимание а затем вставка батареи аналогично замыканию ТП. Я лично вчера слил таким образом pds и boot.
Я тест пойнт на V360 делал уже раз 100 поэтому знаю что если тело в бланке то сним можно очень много чего сделать главное иметь бекап boot и pds. Поэтому я считаю что если тело упало в бланк то оно имеет теже возможности что и ТП. Единственная неприятность может быть если повредится PDS а boot будет нормальным тогда тело перейдет во флешмод а PDS восстановить будет нельзя без ТП. Я так уже попадал на одном теле (хотя может кто знает как залить PDS без ТП я нет).

Ну что никто нерешается попробовать?

P.S. Если найдутся храбрецы то лить мою прошивку нужно P2K Easy Tool 3.9 у меня именно после перепрошивке им тело перешло в бланк.

[060787]

Прога для обхода RSA выдает, что файлы нельзя пропатчить. Телефон V235, платформу точно не помню, качал отсюда

[sasha45]

060787, а зачем ты 2 раза нажимаешь на кнопку "Снять RSA"?

[Random]

060787, а зачем ты 2 раза нажимаешь на кнопку "Снять RSA"?

На самом деле я уже встречал прошивки, в которых в CG18 на 4 байта смещено место где патчиться, может это одна из таких

[sasha45]

Random, не знаю. но у меня такая байда была когда вместо одного раза на кнопку "Убрать проверку RSA" нажимал 2 раза.

[bos38]

Я отключил Rsa с помощью RandomRSA2. Начал собирать в FB3 а как выбрать RAM Downloader. FB3 при сохранение выдает ошибку 6. Может я не правильно собираю? Напишите пож. как надо собирать с помощью FB3. Или выложите уже готовую R479_G_08.B5.10R. А то у меня наверно ничего не получится. Пожалуйста

[Crond]

как выбрать RAM Downloader

Выбираешь из папки с FlashBackup'ом, Стартовый адрес на твоей я не знаю, но на L7 - 03FC8000

[Ideya]

Я отключил Rsa с помощью RandomRSA2. Начал собирать в FB3 а как выбрать RAM Downloader. FB3 при сохранение выдает ошибку 6. Может я не правильно собираю? Напишите пож. как надо собирать с помощью FB3. Или выложите уже готовую R479_G_08.B5.10R. А то у меня наверно ничего не получится. Пожалуйста

Как собрать: обработка прошивок в ФБ3, жмем на RAMDLD выбираем в папке ФБ3 папку Loaders в ней файл для V3i. Спросить про адрес указываешь этот 03FC8000. Теперь жмешь на добавить и выбираешь CG1 адрес начала вводишь тот что ниже. Рядом указываешь что это именно CG1. Так же для CG7 и CG18. Адреса приведены ниже. Для V3i не нужно добавлять CG3. Но адресс ее указан. Когда все добавишь жмешь на сохранить как и сохраняешь под *.shx.
CG 1 (100A0000 - 1135FFFF)
CG 3 (10040000 - 1009FFFF)
CG 7 (12F80000 - 12F9FFFF)
CG18 (12FE0000 - 12FE07FF)

[павлеГ]

начал собирать прошивку столкнулся с проблемой....
какой начальный адрес нужно приписать для л7е, когда выбираешь рамблд?
и собирать её я так понял надо под профилем к1
неполучается(
ткс...рассказываю как делал
...за основу взял чистую прошивку R452D_G_08.03.0AR
...разобрал на части(с профилем к1)...
...через прогу RandomRSA2 отключил какбы рса, начальный адрес написал 13F80000(начальный адрес CG7)
...собирал так....сначала выбрал лоадер(к1, другово вроде нету)...далее добавлял по одной группе(начальные адреса ставил те, кторые были у прошивки
CG1 - 10092000
CG2 - 11AC0000
CG3 - 10040000
CG4 - 11860000
CG7 - 13F80000
CG15 - 115E0000
CG18 - 13FE0000
вот...собираю это всё в прошывку...шью - флэшбекап ругается после
записи загрузчика....
на экране телефона:
Critical Error
DAA5
19ED
помогите разобраться...чонетак...(

[Archy]

Положи этот файл в папку FB3/Profiles

R452D_L7e.prof

Код

[FB3 Profile]
ID=R452D_L7e
Model=Motorola L7e L7i
UseLdr=1
RamDld=Z3 (0AC2).ldr
Addr=03FC8000
Jump=03FC8010

[Code Groups]
BOOT=10000000-1000FFFF
;PDS=10010000-1001FFFF
CG1=10092000-115DFFFF
CG2=11AC0000-13F5FFFF
CG3=10040000-10091FFF
CG4=11860000-11ABFFFF
CG7=13F80000-13F9FFFF
CG15=115E0000-1185FFFF
CG18=13FE0000-13FE07FF

Адрес начальный в проге RandomRSA2 укажи как 13F80000, сними РСА (КНОПКУ ЖАТЬ ТОЛЬКО ОДИН РАЗ!!!).
Потом качни (если у тебя ее нет) оригинальную прошивку на pontoprint.com.ua/l7e, замени нужные сг(1,7,18), а потом прошей её, когда будешь прошивать, обязательно прошей cg1, cg3, cg7, cg18. Ну или вообще полностью.
Всё.

[MerlKory]

Archy, павлеГ, прошивку сделал, заломанную, R452D_G_08.03.0AR но пока не смог пропатчить доступ к яве ... чуть подробнее что сделал - в этом треде

Я ответил тебе там. Зачем ты к ней чужой ленг прилепил? Я же родной выложил 2Е...
В общем все обсуждения в том топике только.
ок ... ленг крутил родной !!!! ) просто не у тебя стянутый ...

Сообщение отредактировал MerlKory - 30.1.2007, 15:52

[павлеГ]

Archy, это я понял....
основная трабла происходит при сборке....
зы...нубский вопрос...а это...чем создать-то R452D_L7e.prof))) я пока изменю просто какойнить из существующих
кстате арчи и мерл...вы просто друг друга не понимаете паходу)))) непарьтесь)))човы...

[MerlKory]

павлеГ, блокнотом ... можешь взять от K1... только обрати внимание на бутлоадер ... у тебя могёт не быть к Z3 ... то же самое - оставляешь от К1

[павлеГ]

павлеГ, блокнотом ... можешь взять от K1... только обрати внимание на бутлоадер ... у тебя могёт не быть к Z3 ... то же самое - оставляешь от К1

непонял про z3?
изменил профиль л7(копию точнее)...нотепабом....флэшбекап выдал ошибку....щас заного ставлю..

[Sinet]

павлеГ, ты не просто скопируй, там к первой строчке добавится информация о месте от куда ты скопировал. Должно быть так:
[FB3 Profile]
ID=R452D_L7e
Model=Motorola L7e L7i
UseLdr=1
RamDld=Z3 (0AC2).ldr
Addr=03FC8000
Jump=03FC8010

[Code Groups]
BOOT=10000000-1000FFFF
;PDS=10010000-1001FFFF
CG1=10092000-115DFFFF
CG2=11AC0000-13F5FFFF
CG3=10040000-10091FFF
CG4=11860000-11ABFFFF
CG7=13F80000-13F9FFFF
CG15=115E0000-1185FFFF
CG18=13FE0000-13FE07FF

Просто тоже сначала скопировал, а там перед первойстрочкой была инфотрмация откуда скопировал. Так что проверь ещё раз.

[павлеГ]

всё...профиль заработал....прошивка не льётся....
флэшбэкап:
Выполнение команды JUMP...
Ошибка!

на экране телефона:
Critical Error
DAA5
19ED

[sasha45]

Archy, извини за , но не мог бы ты назвать приблизительные сроки выхода DualBoot для LTE2 телефонов? Уж очень душу ломит от ожидания

[MerlKory]

павлеГ, проверь что у тебя во флешбыкапе есть файл из этой строчки
RamDld=Z3 (0AC2).ldr
если что - замени её на строчку от К1

[Archy]

Блин, надо шить RSD_Lite 3.3 или выше, я же писал тебе в личке
ФБ3 нужен только для замены кодовых групп, но им это лучше не шить...

[павлеГ]

прошился...увидел это:
Boot Loader
0a.C0
SW Version:
R452D_G_08.03.0AR
PH SIG ERR: 39:02:
откатываюсь...

[Archy]

Ха! А ведь да - и у меня не вышло - все то же самое...

Данная методика пока НЕ РАБОТОСПОСОБНА на L7e, K1, Z3...

НЕА. Не катит, как и на К1 - ничего не получилось.
Завтра буду дергать счастливого владельца смарт-клипа по поводу L7e, Z3, K1..

[Archy]

Ищется бут версии не 0А.* на К1-Z3-L7e, т.е. на R452*

[Motohobiman]

Вот блин,значит доступа к ФС на L7e не видать пока.

[MerlKory]

Ищется бут версии не 0А.* на К1-Z3-L7e, т.е. на R452*

думаешь такой есть ??? если только выправить младшие версии бутов от L7 ... но кто это сможет сделать ???

[Archy]

+ он нужен с подписанным лоадером...
В любом случае завтра постараюсь узнать, как смарт-клип решает данную проблему.......

[MerlKory]

+ он нужен с подписанным лоадером...
В любом случае завтра постараюсь узнать, как смарт-клип решает данную проблему.......

лоадер взять оттуда же ... только попросить Рэндома подправить карту памяти ... ну или попробовать с нашим лоадером ..
кстати - загляни сюды ... тут немного ковыряю сертифы и подписи ...

[Archy]

В общем плохая новость - смарт-клипа команда тоже РСА на Л7е-К1 пока не заломала...
Жаль, наверное, из-за малого кол-ва запросов со стороны клиентов... Пока тишина.

ИМХО надо найти работоспособный бут, старее 0А.*, ибо проблема на 99% в нём.

[павлеГ]

арчи, есть вероятность что он может быть у самых первых л7е и подобных(т.е. которые вышли в продажу самыми первыми?)

[Sinet]

Непонятный трабл. Телефон в360 был с 9м бутом, я его понизил до 08.D0 и попытался снять RSA. После снятия телефон включается, но при его закрытии на внешнем экране нет верхней строчки(батарея, антена и тд). Если же я ставлю патч на снятие подписи и ещё другие то телефон так же прекрасно всключается,но при закрывании флипа вообще вырубается(повисает и горит клава, помогает только вынимание акума). Не пойму в чём дело. Делал это уже с другим телефоном и всё было ОК. Даже если влить рабочую прошивку из того что я уже сделал то таже фигня. Хотя вроде все офсеты совпадают.
В чем же трабл??

[БАВ]

Sinet:
А до этого какая прошивка стояла, АЕР? Как люди понижают бут-то! Вроде без ТП пока не получается! Или есть уже чего?

[Random]

Sinet,
Бут стоит от V360? Или от L7?
Насколько я помню, вместе с бутом ставиться видеодрайвер, может из-за этого несоответсвие

[MerlKory]

арчи, есть вероятность что он может быть у самых первых л7е и подобных(т.е. которые вышли в продажу самыми первыми?)

есть вероятность, что буты более младших версий чем 0A.xx для нашего тела не существует ... потому что у всех (даже тех, кто купил первые модели) не оказалось такого .... просто моторола не стала применять старый код...

Random, а ты можешь достучаться до Вилко и спросить его, смогёт ли он нам помочь - сравнить буты L7 и L7e ... ????

[Archy]

наверняка не подойдут - Л7 32МБ, наш 64...
т.п. не распиливая экран можно сделать, не проблема, найти бы бут пониже, а в идеале с подписанным лоадером.

[MerlKory]

Archy, проблема не в объёмепамяти, а в установленном контроллере дисплея ... а он вроде и за камеру отвечает .... а камера уже 1.3... и вот из-за этого могут быть траблы ..... но... появилась идея как это проверить... проверю - отпишусь ...

[Sinet]

БАВ, стояла AER. Бут я понизил с помощбю ТП.

Random, заливал тот что выложил RekGRpth в этой теме. Лил его на другое тело и там все отлично. Проблема не в нем, я это уже выяснил. Всё таки получилось снять РСА с помощью твоей проги и он заработал. Тогда я поставил ещё патчи(5 патчей что выложил RekGRpth тут и заменил бутсплеш) и тел опять вырубался при закрытии флипа. Тогда я только поставил патч на отмену подписи корелета и о чудо телефон не перезагружался и тел нормально работает. Так и оставил. Но непонятки так и остались. Похоже меняется что то не то в прошивке и тел не правильно понимает процедуру закрытия флипа. Но почему это происходит не понятно. Ведь на одном теле всё прекрасно работает, а на другом нет. Пробовал заливать и ту прошивку что работает на другом теле, и результат тот же.

А сегодня попытался снять РСА на л7 с прошивкой AER и после залития правленной прошивки тел выпал в бут и входил в него сразу после вставления акамулятора, при этом на экране были все стандартные надписи, а ни какого сиг эррора небыло(что само по себе странно) видать подпись снялась не до конца. Я первым делом попытался залить бекап, но не тут то было. РСД выдавал ошибку после разбития прошивки на кодовые группы, а флеш бекап начал прошивать, но теперь телефон вылетел с ошибкой и в буте теперь появились надписи сиг эррор. Но по прежнему РСД выдавал ошибку. Тагда я предположил что ФБ только CG1 не может влить. И так и оказалось. Влил поочерёдно все кодовые группы через ФБ, кроме первой. И затем уже РСД уже стал прошивать тело. Я прошил CG1, но тел опять не врубился. Тогда я уже прошил весь бекап через РСД и тел заработал. Поставил Хот микс(обновление только, а прошивку оставил). На этом, по инициативе хозяена тела , я эксперементы над телом прекратил.
А прошивать я его стал из за того что хозяин влил чужой мма. Самое интересное что тел работал, но отсутствовало половина меню, а в некоторые, что были, тел не входил. Хотел залить просто мма, но тел упорно не хотел переходить в п2к режим, как модем определялся, а вот в п2к не смог перевести ни одной прогой. Разумеется флеш режим прекрасно определял тело.
Вот такие у нас моторы

[Archy]

Блин ну можно же т.п. без распила делать - в Ломаем и Строим 2 статьи уже...
На коннектере клавиатуры на ЛТЕ2 есть т.п. контакты...

Вывод: НЕ НАДО БОЯТЬСЯ Т.П.!

[AlexProw]

На коннектере клавиатуры на ЛТЕ2 есть т.п. контакты...

Плиз! Дайте ссылку на фото для V360!

[Archy]

Не попадались, но глянь соседний топик

[rodik84]

Подскажите пожалуйста V3 (R374____17R) с бутом 07.Е0 относится к какой группе и реально ли снять РСА на нём?

[wert]

rodik84, Ну это обычная v3 просто LTE, ну так уже снято давно, разве нет, юзай Последний флэшбакап для снятия RSA.