रिवर्स इंजीनियरिंग इलेक्ट्रिक कॉर्निस AM82TV

मेरे पास एको बिजली के पर्दे की छड़ें हैं - AM82TV। यह मॉडल अपने भाइयों से प्रबंधन इंटरफेस के सबसे पूर्ण सेट के साथ बाहर खड़ा है। पर्दे को रेडियो द्वारा नियंत्रित किया जा सकता है, "सूखी संपर्क", चरण-दर-चरण नियंत्रण (नेटवर्क पर नियंत्रण तारों को छोटा करके) हैं। एक RS485 इंटरफ़ेस है - यह है अगर आप पर्दे को "स्मार्ट होम" से जोड़ना चाहते हैं। आप केवल वांछित दिशा में अपने हाथ से खींचकर पर्दे खोल / बंद कर सकते हैं। "बॉक्स से बाहर" गायब है, शायद, केवल वेब-आधारित इंटरफ़ेस, अच्छी तरह से, और MQTT।

मेरे पास लंबे समय से बिजली के पर्दे की छड़ें मज़बूती से काम कर रही हैं, लेकिन समय-समय पर एक इच्छा उन्हें अलग करने के लिए दिखाई देने लगी - जिज्ञासा से बाहर यह देखने के लिए कि क्या अंदर था और क्या यह लापता को जोड़ने के लिए एक ईएसपी 8266 (या ईएसपी 32) को इसमें डालना संभव था। आप निश्चित रूप से, बाहर से सब कुछ कनेक्ट कर सकते हैं, लेकिन यह बेहतर है कि उपस्थिति समान रहे और सब कुछ अंदर छिपा हो।

जो टूटा नहीं है उसकी मरम्मत न करें - यह मेरे बारे में नहीं है। पहले तो मैंने खुद से बुरे विचारों को दूर करने की कोशिश की, लेकिन समय के साथ, खुजली तेज हो गई और अब, वह समय आ गया जब इसे लड़ना पहले से ही असंभव था। मैंने मोटर को चील के ऊपर से निकाला और उसे नष्ट कर दिया। प्रारंभिक निरीक्षण में दो प्रश्नों के उत्तर देने थे: ESP8266 के लिए कोई जगह नहीं है और क्या यह अंतर्निहित बिजली की आपूर्ति का उपयोग करना संभव है। सब कुछ बस हल किया गया था। यह मोटर के सिरों से कुछ शिकंजा को हटाने के लिए पर्याप्त है। केवल एक चीज यह है कि शिकंजा के स्लॉट्स को पेचकश के साथ नहीं बनाया जाता है, लेकिन एक टोक्स हेक्स रिंच के साथ। उसके बाद, आप सामग्री को निकाल सकते हैं - एक गियरबॉक्स के साथ एक आवास में एक कलेक्टर मोटर और एक मोटर शाफ्ट सेंसर, एक 24-वोल्ट बिजली की आपूर्ति और एक नियंत्रण बोर्ड।

ईएसपी के लिए एक जगह है, बिजली की आपूर्ति एक शक्तिशाली मोटर के लिए डिज़ाइन की गई है और एक छोटे से अतिरिक्त भार को नोटिस नहीं करेगी। मैंने नियंत्रण बोर्ड पर विचार करना शुरू किया और ईएसपी के बारे में विचारों को पृष्ठभूमि में फीका करना शुरू कर दिया - एटमेगा 168 माइक्रोकंट्रोलर बोर्ड का दिल था। अगर ISP कनेक्टर (माइक्रोकंट्रोलर के इन-सर्किट प्रोग्रामिंग इंटरफ़ेस) को स्थापित करने के लिए बोर्ड पर कोई संपर्क नहीं था, तो यह मुझे रोक नहीं पाएगा, लेकिन वे वहां थे। ताकि आप मुझे सही तरीके से समझ सकें, मैं बिल्कुल भी प्रशंसक नहीं हूं। मेरे पास कोई प्रोग्रामर नहीं है और मैंने atmega माइक्रोकंट्रोलर्स के लिए कोड की एक भी लाइन नहीं लिखी है। फर्मवेयर को पढ़ने की कोशिश करने के लिए मुझे तत्काल एक प्रोग्रामर की आवश्यकता थी, लेकिन यह शाम को था और अब स्टोर में कुछ खरीदने का कोई रास्ता नहीं था। सुबह तक इंतजार न करने के लिए, मैंने ग्रोमोव प्रोग्रामर को इकट्ठा किया। फिर उसने नियंत्रण बोर्ड पर आईएसपी कनेक्टर को मिलाया, प्रोग्रामर से जुड़ा और फर्मवेयर को पढ़ने की कोशिश की - और इसे गिना गया।

सर्किट डायग्राम को समझे बिना माइक्रोकंट्रोलर के फर्मवेयर में कुछ समझने की कोशिश करना असंभव है। इसलिए, एक मुद्रित सर्किट बोर्ड पर, मैंने सर्किट को पुनर्स्थापित किया। मुझे अक्सर चित्र नहीं बनाने पड़ते। उन तत्वों को खींचने के लिए जो बोर्ड पर नहीं हैं, लेकिन मानक पुस्तकालय में नहीं हैं, मैंने आसान में एक चित्र खींचा। हां, यह GOST के अनुसार नहीं निकला (लेकिन प्रलेखन में माइक्रोकंट्रोलर को खींचा गया है, जो सुविधाजनक है)। एक टुकड़ा समझ के लिए पर्याप्त है:



इसके बाद, अधिकांश चित्र क्लिक करने योग्य हैं।

यदि आप चाहें, तो आप पूरी योजना से खुद को परिचित कर सकते हैं।

उसके बाद, मैं फर्मवेयर पर शोध करने के लिए तैयार था। बस मशीन कोड को असेंबलर mnemonics में अनुवाद करना विश्लेषण के लिए पर्याप्त नहीं है। आपको कार्यक्रम में किसी भी समय रजिस्टर और मेमोरी की स्थिति देखने की आवश्यकता है। दुर्भाग्य से, माइक्रोकंट्रोलर पर डीबगिंग स्वयं atmega168 के साथ संभव नहीं है, लेकिन आप फर्मवेयर को सिम्युलेटर में लोड कर सकते हैं। यदि आप माइक्रोकंट्रोलर स्ट्रैपिंग के असली लोहे को "महसूस" करना चाहते हैं, तो यह बहुत सुविधाजनक नहीं है, लेकिन हमारे पास जो कुछ है, उसे प्राप्त करें। मैंने Atmel Studio 7 स्थापित नहीं किया। मैंने फैसला किया कि एक अधिक कॉम्पैक्ट AVR Studio 4 पर्याप्त होगा। सिद्धांत रूप में, एक स्टूडियो विश्लेषण के लिए पर्याप्त है, लेकिन कुछ नियमित संचालन को अन्य सॉफ़्टवेयर में स्थानांतरित करना संभव है। मार्च में, रिवर्स इंजीनियरिंग टूल, गिद्र को प्रकाशित किया गया था। मुझे उसे जानने के लिए एक कारण, कुछ व्यावहारिक कार्य की आवश्यकता थी। यह सिर्फ एक अवसर है। प्रत्येक उपकरण व्यक्तिगत रूप से - एवीआर स्टूडियो 4 और घिदरा में मुझे थोड़ी छोटी गाड़ी मिली। AVR स्टूडियो, कई नेस्टेड सबप्रोग्राम संक्रमणों के साथ, अचानक आदेशों में सही संक्रमण पते प्रदर्शित करना बंद कर सकता है (पता शून्य हो गया)। Ghidra कभी-कभी अपने अनुक्रमण विश्लेषण में भटक गया। लेकिन एक बार में दोनों साधनों का उपयोग करने से इन विषमताओं के कारण की पहचान जल्दी से संभव हो गई।

फर्मवेयर में लक्ष्यहीन रूप से खुदाई करना बहुत दिलचस्प नहीं है। कोई खास काम हो तो बेहतर है। बंद होने पर, उत्सुक RS485 के लिए एक्सचेंज प्रोटोकॉल और हवा पर नियंत्रण प्रोटोकॉल का विश्लेषण हो सकता है। मैंने रेडियो प्रोटोकॉल में तल्लीन करने का फैसला किया।

एक बार, मैंने पहले ही एक रेडियो रिमोट कंट्रोल द्वारा प्रेषित सिग्नल ले लिया था और इसका विश्लेषण किया था।

रेडियो चैनल एक तरफ़ा है। मोटर केवल एक संकेत प्राप्त करने में सक्षम है और एक कमांड प्राप्त होने की पुष्टि नहीं करता है। हवा पर बिजली के कंगनी की स्थिति पर पूछताछ करना असंभव है। भौतिक स्तर पर, केवल एक रेडियो सिग्नल रिसीवर है। मोटर में कोई ट्रांसमीटर नहीं है। सिग्नल 433.92 मेगाहर्ट्ज की आवृत्ति पर रेडियो रिमोट कंट्रोल द्वारा प्रेषित किया जाता है। आयाम हेरफेर द्वारा कोडित। कमांड में एक विशेष फॉर्म स्टार्ट बिट, एड्रेस + चैनल और कमांड खुद होता है। आलेखीय रूप से, पूरे संकेत को निम्नानुसार दर्शाया जा सकता है:



एक चैनल को एक पते के हिस्से के रूप में माना जा सकता है। यदि आप चैनल शून्य पर एक कमांड प्रसारित करते हैं, तो इसे सभी उपकरणों द्वारा दिए गए पते के साथ निष्पादित किया जाएगा, लेकिन विभिन्न चैनलों के साथ। यह सुविधाजनक है यदि आपको कमांड को तुरंत बिजली के पर्दे की छड़ के समूह में स्थानांतरित करने की आवश्यकता है।

रेडियो प्रोटोकॉल के बारे में और पढ़ें ।

यह विश्लेषण करना कि रिमोट कंट्रोल कमांड कैसे प्रसारित करता है, मुझे पहले से ही चार टीमों के कोड पता थे। बहुत ज्यादा नहीं, जब RS485 के माध्यम से बिजली के पर्दे को नियंत्रित करने की संभावनाओं के साथ तुलना की जाती है। मैं यह सुनिश्चित करना चाहता था कि सभी टीमों की पहचान हो और कोई "ईस्टर अंडे" या सेवा दल नहीं थे।

विश्लेषण दृष्टिकोण सरल है। सर्किट आरेख दिखाता है कि माइक्रोकंट्रोलर के कौन से पोर्ट भौतिक उपकरणों से जुड़े हैं। फर्मवेयर फ़ाइल को Ghidra में पार्स किया गया है। यह सुविधाजनक है - कई नियमित संचालन स्वचालित रूप से किए जाते हैं। कोड या सबप्रोग्राम के एक विशेष टुकड़े के संचालन का विश्लेषण करने के बाद, इसे एक सार्थक नाम दिया जाता है। इसके अलावा, कोड स्निपेट और स्क्रीनशॉट मैं घिद्रा से लाऊंगा। सुस्त होने पर, सिम्युलेटर में कोड चलाएं। विशेष रूप से जटिल परिस्थितियों में, आपको चित्र बनाना होगा।

यह सुनिश्चित करने के लिए कि डिस्प्रेशन के दौरान atmega168 परिधीय रजिस्टरों के नाम सही ढंग से प्रदर्शित किए जाते हैं, मैंने avr8.pspec फ़ाइल को ठीक किया। एक अच्छे तरीके से, एक अलग नाम के साथ एक फ़ाइल बनाना आवश्यक होगा, लेकिन मुझे इस फ़ाइल को इसके मूल रूप में ज़रूरत नहीं थी और मैंने जो सही था उसे सही किया।
फर्मवेयर बाधित वैक्टर से शुरू होता है। कार्यक्रम की शुरुआत के लिए सबसे पहले संक्रमण वेक्टर है। यह इस तरह दिखता है:



अधिकांश व्यवधानों का उपयोग नहीं किया जाता है। यदि किसी कारण से इस तरह की रुकावट आती है, तो तुरंत एक वापसी आदेश निष्पादित किया जाएगा। रीसेट के लिए प्रसंस्करण में व्यवधान के अलावा, टाइमर 0 को ओवरफ्लो करने के लिए बाधित होता है, रिसेप्शन पूरा होता है, और USART में डेटा के अगले बाइट को प्रसारित करने की तत्परता भी संसाधित होती है। RS485 एक्सचेंज अब हमारे लिए ब्याज की नहीं है, लेकिन टाइमर ओवरफ्लो की समीक्षा करने की आवश्यकता है।

बेशक, टाइमर के बाधित होने से पहले, टाइमर को स्वयं कॉन्फ़िगर करना होगा। मैंने उस जगह के लिए डिसेबल्ड कोड में खोजना शुरू नहीं किया जहां से इनिशियलाइज़ेशन होता है। सिम्युलेटर में, मैंने एड्रेस 0x1fc पर एक ब्रेकपॉइंट सेट किया है - यह इंटरप्ट हैंडलर में दर्ज एड्रेस है। मैंने कार्यक्रम शुरू किया, एक स्पाइक मिला और बस वही देखा जो रजिस्टरों में लिखा गया था। lock का चयन timr0 के लिए clk / 8 पर सेट है। 8 मेगाहर्ट्ज बोर्ड पर क्वार्ट्ज के साथ, 1 मेगाहर्ट्ज की आवृत्ति के साथ दालें टाइमर पर आती हैं।

बाधा हैंडलर की शुरुआत:




टाइमर हर १० μ μs को ओवरफ्लो करता है। अन्य चीजों के बीच, बाधा हैंडलर रेडियो सिग्नल रिसीवर के आउटपुट से सिग्नल को संसाधित करता है। यदि सिग्नल सफलतापूर्वक परीक्षण से गुजरता है, तो प्राप्त डेटा 0x4af पर बफर को लिखा जाता है। बफर का आकार 6 बाइट्स है। यह पता + चैनल और कमांड बाइट के चार बाइट प्राप्त करने के लिए आवश्यक से एक बाइट अधिक है। शायद चेकसम के लिए रेडियो प्रोटोकॉल की छठी बाइट का इरादा था, लेकिन एट्रोफाइड। कभी-कभी ऐसा होता है। शायद कुछ आज्ञाओं के पूरक डेटा के लिए। RS485 इलेक्ट्रिक कॉर्निस कंट्रोल प्रोटोकॉल में, पर्दे को आंशिक रूप से बंद करने की आज्ञा है। इस मामले में, प्रतिशत में बंद होने की मात्रा पर डेटा के साथ एक अतिरिक्त बाइट प्रेषित होता है। रेडियो प्रोटोकॉल में एक समान टीम मौजूद हो सकती है। मुख्य कार्यक्रम में झंडा लगाकर डेटा की तत्परता के बारे में बताया जाता है - एक इकाई को पता 0x4bd लिखा जाता है।

यह रुकावटों के विश्लेषण को पूरा करता है और मुख्य कार्यक्रम के लिए आगे बढ़ता है।

0x1304 पते पर नेविगेट करते समय कार्यों का ग्राफ संक्षिप्त और सरल है:



हमें "मुख्य" करने की आवश्यकता है। हम पहले से ही रुकावटों का विश्लेषण कर चुके हैं और समझते हैं कि अगर किसी कारण से हम अचानक मुख्य से लौटते हैं और "go_to_sleep" में आते हैं, तो यह सपना सुस्त हो जाएगा - बिजली का पर्दा कुछ उपयोगी करना बंद कर देगा। संभवतः, फर्मवेयर लिखते समय, एक तैयार किए गए टेम्पलेट का उपयोग किया गया था और कलाकृतियों को इसके बाद बने रहे।

मुख्य रूप से, हमें उस स्थान को खोजने की आवश्यकता है जहां 0x4af बफर तक पहुंच है। आपको लंबे समय तक खोज नहीं करनी होगी केवल कुछ आदेशों में, एक सबरूटीन कहा जाता है, पते पर शुरू होता है 0x11b3, जहां यह बफर कॉपी और संसाधित होता है।

Rf_signal_buffer_processing (0x11b3) प्रक्रिया के कार्यों का ग्राफ:



यह ठीक वही जगह है जिसकी हमें ज़रूरत है, लेकिन यह थोड़ा जटिल है। समझने के लिए, मैंने चित्र बनाना शुरू किया। फ्लोचार्ट जैसा कुछ।

यहाँ होने वाली पहली बात यह है कि 0x4af बफर के डेटा को नए पते पर कॉपी किया जाता है - 0x49f और 0x4bd ध्वज रीसेट किया जाता है:



निम्नलिखित स्निपेट सबसे दिलचस्प है:



वास्तव में, यह हवा पर प्राप्त कमांड का संपूर्ण सत्यापन है। हालांकि यह स्पष्ट नहीं है, लेकिन आगे के विश्लेषण से पता चला है कि अगली शाखाओं के लिए संक्रमण निम्नलिखित रेडियो कमांड का प्रसंस्करण है यदि इससे पहले 0xcc कमांड प्राप्त हुई थी - सेटिंग्स मोड में स्विच करना। मुझे खुद टीमों के नए कोड में दिलचस्पी थी। क्या कमांड कोड 0x11, 0x33, 0x55 और 0xcc के अलावा कुछ भी है।

न तो यहाँ और न ही मैं कमांड के अंतिम - छठे बाइट के प्रसंस्करण को खोजने में सक्षम था। आंकड़े में, इसे लाल रंग में पार किया गया है। तो सभी टीमों में पाँच बाइट्स होते हैं। कम से कम AM82TV के फर्मवेयर में।

पहली चीज जो हम देखते हैं वह बफर के पांचवें बाइट की जांच कर रही है - कमांड का कोड। यहाँ, ऐसा लगता है, नए कमांड कोड थे - 0xad और 0xda। बफ़र से आदेश सफलतापूर्वक परीक्षण पास करता है यदि पता फ़ील्ड ईप्रोम में पहले से दर्ज पतों में से एक से मेल खाती है, या यदि कमांड कोड 0xad, या 0xda और पता फ़ील्ड == 0xaaaaaaaa है।


खैर, हम इस बात पर विचार करेंगे कि हमने अगला परीक्षण सफलतापूर्वक पारित किया है। अब कमांड कोड 0x4bf पर स्थित है। हमें यह खोजने की आवश्यकता है कि इस बाइट की सामग्री कैसे संसाधित होती है। ऐसा करने के कई तरीके हैं। सबसे सरल घिद्रा में असंतुष्ट कोड पर एक पाठ खोज है। यह देखना बाकी है कि इस बाइट की सामग्री कहां पढ़ी जाती है। यह सभी कॉल को खोजने के लिए एक गारंटीकृत तरीका नहीं है, लेकिन इस विशेष मामले में यह काम करेगा। तो, पहले, हम 0x1262 से शुरू होने वाली प्रक्रिया में एक बाइट पढ़ेंगे:



जिस पर एक ही स्थान से पहुंचता है - 0x5e0 पर स्थित एक टीम।

फंक्शन ग्राफ:



यह अफ़सोस की बात है, लेकिन पहले से ज्ञात सभी को छोड़कर सभी कमांड कोड: 0x11, 0x33, 0x55 और 0xcc इस प्रक्रिया में छूट गए हैं। यहां तक ​​कि कोड 0xad और 0xda पिछले चरण में पाए गए। कम से कम मैंने AM82TV इलेक्ट्रिक कॉर्निस के फर्मवेयर में रेडियो कमांड के नए कोड खोजने का प्रबंधन नहीं किया।

फिर भी, फ़र्मवेयर तक पहुंच है, इसे डिसाइड किया जा सकता है, देखें कि विशिष्ट फ़ंक्शन कैसे लागू होते हैं और अपने लिए कुछ बदलते हैं। या कुछ भी जोड़ सकते हैं।

फर्मवेयर और avr8.pspec फ़ाइल atmega168 के लिए संशोधित GitHub पर पोस्ट की गई है ।