हम पासवर्ड से संरक्षित माइक्रोकंट्रोलर रेनेसास एम 16 सी से सॉफ्टवेयर निकालते हैं

मेरा एक दोस्त है जो ऑटोमोटिव आयरन की मरम्मत में लगा हुआ है। उन्होंने किसी तरह मुझे एक स्वायत्त हीटर नियंत्रण इकाई से एक माइक्रोकंट्रोलर मिलाया। उन्होंने कहा कि उनके प्रोग्रामर इसे नहीं लेते हैं, और वह फर्मवेयर को आगे और पीछे स्थानांतरित करने में सक्षम होना चाहते हैं, क्योंकि कई ब्लॉक हैं, लोहे में वे अक्सर समान होते हैं, लेकिन वे जिन इकाइयों को नियंत्रित करते हैं वे अलग हैं। और ऐसा लगता है कि एक दोषपूर्ण के बजाय एक ब्लॉक है, लेकिन सॉफ्टवेयर अलग है और आप इसे बदल नहीं सकते हैं। चूंकि यह कार्य दिलचस्प था, इसलिए मैंने चारों ओर घूमने का फैसला किया। यदि विषय आपके लिए दिलचस्प है, तो कृपया, बिल्ली के नीचे ...

विषय M306N5FCTFP था। यह समूह M16C / 6N5 का एक माइक्रोकंट्रोलर है। M16C / 60 कोर मित्सुबिशी द्वारा विकसित किया गया था, और के रूप में 2003 से एमके के संदर्भ में इस कंपनी के उत्तराधिकारी रेनेसा हैं, अब इस ब्रांड के तहत इन माइक्रोकंट्रोलर्स को जाना जाता है।

माइक्रोकंट्रोलर के बारे में थोड़ा सा

कंकड़ 100-पिन QFP पैकेज में 16-बिट माइक्रोकंट्रोलर है। कर्नेल में 1 एमबी एड्रेस स्पेस, ऑटोमोटिव प्रदर्शन के लिए 20 मेगाहर्ट्ज की घड़ी आवृत्ति है। बाह्य उपकरणों का सेट भी बहुत व्यापक है: दो 16-बिट टाइमर और मोटर्स को नियंत्रित करने के लिए 3-चरण पीडब्लूएम उत्पन्न करने की संभावना, सभी प्रकार के UART, SPI, I2C स्वाभाविक रूप से, 2 DMA चैनल, एक अंतर्निहित CAN2BB नियंत्रक है, साथ ही एक PLL भी है। मेरी राय में यह बूढ़े व्यक्ति के लिए बहुत अच्छा है। यहाँ प्रलेखन से एक अवलोकन चार्ट है:



चूंकि मेरा काम सॉफ्टवेयर को फाड़ना है, इसलिए यह स्मृति में भी बहुत रुचि रखता है। यह एमके दो संस्करणों में निर्मित किया गया था: नकाबपोश और फ्लैश। मुझे मिला, जैसा कि ऊपर उल्लेख किया गया है, M306N5FCTFP। उसके बारे में, विवरण निम्नलिखित कहता है:

• फ्लैश मेमोरी संस्करण
• 128 KBytes + 4K (अतिरिक्त 4K - तथाकथित ब्लॉक ए उपयोगकर्ता को डेटा संग्रहीत करने के लिए एक उपहार के रूप में, लेकिन कार्यक्रम को स्टोर भी कर सकता है)
• वि ver। (+ 125 डिग्री सेल्सियस की सीमा के साथ मोटर वाहन संस्करण)

डेवलपर्स ने जो डिवाइस खींची है, उससे कैसे खींचें

यह केवल प्राकृतिक है कि आपको मेमोरी प्रोग्रामिंग कार्यों के लिए चिप डेवलपर द्वारा एकीकृत किए गए तंत्रों का अध्ययन करके माइक्रोकंट्रोलर से कुछ प्राप्त करने का प्रयास करना शुरू करना चाहिए। मैनुअल में कहा गया है कि निर्माता कृपया डिवाइस के इन-सर्किट प्रोग्रामिंग की जरूरतों के लिए मेमोरी में एक बूटलोडर रखे।



जैसा कि आप ऊपर की तस्वीर से देख सकते हैं, मेमोरी 2 भागों में विभाजित है: उपयोगकर्ता क्षेत्र, और बूटलोडर क्षेत्र। दूसरे में, एक डिफ़ॉल्ट बूटलोडर को कारखाने से लोड किया जाता है, जो उपयोगकर्ता की मेमोरी को लिख, पढ़, मिटा सकता है और एक अतुल्यकालिक, तुल्यकालिक या CAN इंटरफ़ेस के माध्यम से संचार कर सकता है। यह संकेत दिया जाता है कि इसे आपके स्वयं के लिए फिर से लिखा जा सकता है, या इसे फिर से नहीं लिखा जा सकता है। अंत में, यह आसानी से कम से कम UART के माध्यम से मानक बूटलोडर पर दस्तक देने की कोशिश करके सत्यापित किया जाता है ... आगे देखते हुए: हीटर निर्माता ने अपने बूटलोडर से परेशान नहीं किया, इसलिए आप इस दिशा में आगे खुदाई कर सकते हैं। तुरंत एक आरक्षण करें कि अभी भी एक समानांतर प्रोग्रामिंग विधि है, लेकिन चूंकि मेरे पास इसके लिए एक प्रोग्रामर नहीं था, मैंने इस विकल्प पर विचार नहीं किया।

बूटलोडर ऑपरेशन मोड में प्रवेश एक निश्चित संयोजन द्वारा प्रदान की जाती है CNVSS, P5_0, P5_5 एक हार्डवेयर रीसेट के दौरान। अगला, या तो मेमोरी की सामग्री की प्रतिलिपि बनाने के लिए अपनी उपयोगिता लिखें, या समाप्त एक का उपयोग करें। रेनेसा अपनी उपयोगिता प्रदान करता है, जिसे "एम 16 सी फ्लैश स्टार्टर" कहा जाता है, लेकिन इसमें एक कम पढ़ा हुआ कार्य है। यह डिस्क पर जो भी पढ़ता है उसे सहेजता नहीं है, लेकिन इसकी तुलना डिस्क से फाइल से करता है। यानी वास्तव में, यह पढ़ना नहीं है, लेकिन सत्यापन है। हालांकि, M16C-Flasher नामक एक जर्मन फ्री यूटिलिटी है, जो फर्मवेयर पढ़ सकती है। सामान्य तौर पर, प्रारंभिक टूलकिट को उठाया गया था।

पठन सुरक्षा के बारे में

सब कुछ काफी सरल होगा यदि बूटलोडर ने अनधिकृत पहुंच के खिलाफ सुरक्षा प्रदान नहीं की। मैं सिर्फ मैनुअल से एक बहुत मुफ्त अनुवाद दूंगा।

आईडी सत्यापन कार्य

सीरियल और कैन मोड का उपयोग कर सकते हैं। प्रोग्रामर द्वारा प्रेषित पहचानकर्ता की तुलना फ्लैश मेमोरी में दर्ज पहचानकर्ता के साथ की जाती है। यदि पहचानकर्ता मेल नहीं खाते हैं, तो प्रोग्रामर द्वारा भेजे गए आदेश स्वीकार नहीं किए जाते हैं। हालाँकि, यदि रीसेट वेक्टर के 4 बाइट्स FFFFFFFFh हैं, तो पहचानकर्ताओं की तुलना नहीं की जाती है, जिससे सभी कमांड निष्पादित हो सकते हैं। पहचानकर्ता 7 बाइट्स क्रमिक रूप से संग्रहीत है, पहले बाइट से, 0FFFDFh, 0FFFE3h, 0FFFEBh, 0FFFEFh, 0FFFF3h, 0FFFF3h, और 0FFFFBh पते पर शुरू होता है।

इस प्रकार, प्रोग्राम को एक्सेस करने के लिए, आपको पोषित 7 बाइट्स को जानना होगा। फिर, आगे देखते हुए, मैं उसी "M16C फ्लैश स्टार्टर" का उपयोग करके एमके से जुड़ा और यह सुनिश्चित किया कि शून्य और एफएफ के संयोजन काम नहीं करते थे और इस मुद्दे को किसी तरह हल करना होगा। तृतीय-पक्ष चैनलों के माध्यम से हमले का एक विचार तुरंत यहां सामने आया। पहले से ही मैंने अपने सिर में एक हेडस्कार्फ़ होने का नाटक करना शुरू कर दिया था, जो मुझे पावर सर्किट में करंट मापने की अनुमति देता है, लेकिन यह तय किया कि इंटरनेट बड़ा है और अधिकांश बाइक का आविष्कार पहले ही हो चुका है। कुछ खोजों को संचालित करने के बाद, मैंने जल्दी से हैकादे.आईओ पर पाया कि प्रोजेक्ट सर्ज 'क्यू 3k' बाज़न्सकी, जिसका शीर्षक "रिवर्स इंजीनियरिंग तोशिबा आर 100 BIOS" है। और इस परियोजना के ढांचे के भीतर, लेखक ने अनिवार्य रूप से सटीक एक ही समस्या का हल किया: एमके एम 306 के 9 एफसीएलआर से फर्मवेयर निकालना। इसके अलावा - उस समय कार्य पहले से ही सफलतापूर्वक हल हो गया था। एक तरफ, मैं थोड़ा परेशान था - एक दिलचस्प पहेली मेरे द्वारा हल नहीं हुई थी। दूसरी ओर, कार्य अपने शोषण में भेद्यता की खोज से बदल गया, जिसने बहुत तेज समाधान का वादा किया।

संक्षेप में, q3k, बिल्कुल उसी तर्क से, वर्तमान खपत के विश्लेषण के साथ अध्ययन शुरू किया, इस संबंध में यह अधिक अनुकूल परिस्थितियों में था, क्योंकि उसके पास चिपविस्परर था, फिर भी मुझे यह बात समझ नहीं आई। लेकिन कब से खपत चालू को हटाने के लिए उनकी पहली जांच अनुचित हो गई और वह शोर से उपयोगी कुछ अलग नहीं कर सके, उन्होंने प्रतिक्रिया समय पर एक सरल हमले की कोशिश करने का फैसला किया। तथ्य यह है कि बूटलोडर आदेश के निष्पादन के दौरान BUSY आउटपुट को खींचता है ताकि मेजबान को सूचित किया जा सके कि वह व्यस्त है या अगले कमांड को निष्पादित करने के लिए तैयार है। Q3k की धारणा के अनुसार, व्यस्त ध्वज को हटाने के लिए पहचानकर्ता के अंतिम बिट को स्थानांतरित करने से समय को मापने के लिए गणना के दौरान सूचना के स्रोत के रूप में काम कर सकता है। कुंजी की पहली बाइट को एन्यूमरेट करके इस धारणा की जाँच करते समय, एक समय विचलन वास्तव में केवल एक मामले में पाया गया था - जब पहली बाइट FFh के बराबर थी। समय मापने की सुविधा के लिए, लेखक ने क्वार्ट्ज गुंजयमान यंत्र को बंद करके और माप प्रक्रिया को सरल बनाने के लिए घड़ी इनपुट में 666 kHz वर्ग तरंग को लागू करके एमके को धीमा कर दिया। उसके बाद, पहचानकर्ता को सफलतापूर्वक चुना गया और सॉफ्टवेयर को पुनः प्राप्त किया गया।

पहला पैनकेक - एक रेक

हा! मैंने सोचा ... अब मैं जल्दी से अपने मौजूदा STM32VLDiscovery को STM32F100 के साथ बोर्ड पर प्रसारित करता हूं, जो कोड भेजेगा और प्रतिक्रिया समय को मापेगा, और टर्मिनल में माप के परिणामों को थूक देगा। क्योंकि लक्ष्य नियंत्रक के साथ ब्रेडबोर्ड पहले से यूएसबी-यूएआरटी एडाप्टर के माध्यम से पीसी से जुड़ा था, इसलिए ब्रेडबोर्ड पर कुछ भी बदलने के लिए नहीं, हम अतुल्यकालिक मोड में काम करेंगे।



जब बूटलोडर शुरू होता है तो इनपुट CLK1 जमीन पर खिंच जाता है, उसे पता चलता है कि वे उससे अतुल्यकालिक संचार चाहते हैं। इसलिए मैंने इसका इस्तेमाल किया - सस्पेंडर पहले से ही सोल्डरेड था और मैंने सिर्फ दो बोर्ड को तारों से जोड़ा: डिस्कवरी और ब्रेडबोर्ड को लक्ष्य M306 के साथ।

स्तरों के सामंजस्य पर ध्यान दें:

क्योंकि चूंकि M16 के टर्मिनलों पर TTL का स्तर है, और STM32 में LVTTL (सरलीकृत, विवरण के लिए डेटाशीट देखें) है, तो स्तर मिलान आवश्यक है। क्योंकि यह एक उपकरण नहीं है, जो कि एक जानी-मानी बैटरी के रूप में काम करना चाहिए, काम करना चाहिए और काम करना चाहिए, लेकिन वास्तव में यह एक बार टेबल पर कनेक्ट हो जाता है, तो मैं लेवल ट्रांसलेटर्स से परेशान नहीं होता: STM32 से पांच-वोल्ट एमके पचा उत्पादन स्तर, 3 वोल्ट के अर्थ में इसे "1" मानता है। , M16 से आउटपुट 5V सहिष्णु STM32 इनपुट को खिलाया जाता है ताकि यह बुरा न लगे, और हम उस पैर को रखना न भूलें जो RESET M16 को ओपन ड्रेन मोड में खींचता है। मैं भूल गया हूं, और यह खोए हुए समय के गुल्लक के लिए + 2 घंटे है।
यह न्यूनतम एक दूसरे की ग्रंथियों को समझने के लिए पर्याप्त है।

हमलावर सॉफ्टवेयर का तर्क इस प्रकार है:

1. हम नियंत्रक के साथ एक संबंध स्थापित करते हैं। ऐसा करने के लिए, आपको रीसेट पूरा होने तक इंतजार करना होगा, फिर 20 से अधिक एमएस के अंतराल के साथ 16 शून्य वर्ण संचारित करना होगा। यह स्वचालित रूप से विनिमय दर का निर्धारण करने के लिए एल्गोरिथ्म को काम करने के लिए है, क्योंकि इंटरफ़ेस अतुल्यकालिक है, और एमके को इसकी आवृत्ति के बारे में कुछ भी नहीं पता है। ट्रांसमीटर की शुरुआती गति 9600 बॉड होनी चाहिए, यह इस गति पर है कि लोडर गणना करता है। उसके बाद, यदि वांछित है, तो आप 9600-115200 की सीमा में उपलब्ध पांच में से एक अलग विनिमय दर का अनुरोध कर सकते हैं (हालांकि मेरे मामले में लोडर ने 115200 पर काम करने से इनकार कर दिया)। मुझे गति को बदलने की आवश्यकता नहीं है, इसलिए मैंने बस बूटलोडर संस्करण को सिंक्रनाइज़ेशन को नियंत्रित करने का अनुरोध किया था। हम FBh पास करते हैं, लोडर "VER.1.01" जैसी लाइन के साथ प्रतिक्रिया करता है।
   
2. हम "अनलॉक" कमांड भेजते हैं, जिसमें कुंजी की वर्तमान पुनरावृत्ति होती है, और व्यस्त ध्वज को साफ होने तक समय को मापते हैं।
   
   कमांड में F5h कोड, पते के तीन बाइट्स होते हैं जहां पहचानकर्ता क्षेत्र शुरू होता है (मेरे मामले में, M16C कर्नेल के लिए, यह 0FFFDFh है), लंबाई (07h), और पहचानकर्ता स्वयं।
   
3. हम पहचानकर्ता के अंतिम बिट के संचरण और व्यस्त ध्वज को हटाने के बीच के समय को मापते हैं।
   
4. हम कुंजी बाइट को सॉर्ट किया जा रहा है (प्रारंभिक चरण में KEY1), हम वर्तमान बाइट के सभी 255 मूल्यों के माध्यम से सॉर्ट करने तक चरण 2 पर वापस लौटते हैं।
   
5. हम आँकड़ों को टर्मिनल (अच्छी तरह से, या हम "बोर्ड पर") विश्लेषण करते हैं।
   

लक्ष्य एमके के साथ संवाद करने के लिए, मैंने समय मापने के लिए STM32 में USART का उपयोग किया - इनपुट कैप्चर मोड में एक टाइमर। केवल एक चीज, सादगी के लिए, मैंने कुंजी के अंतिम बिट और ध्वज को हटाने के बीच का समय नहीं मापा, लेकिन ट्रांसमिशन और ध्वज की शुरुआत के बीच। कारण यह था कि अंतिम बिट बदल सकता है, और अतुल्यकालिक मोड में कैप्चर इनपुट को संलग्न करने के लिए कुछ भी नहीं था। इसी समय, UART हार्डवेयर है और ट्रांसमिशन समय मूल रूप से समान है और इसमें कोई ठोस त्रुटि नहीं होनी चाहिए।

परिणामस्वरूप, सभी मूल्यों के लिए, परिणाम समान थे। पूरी तरह से समान। टाइमर की घड़ी आवृत्ति क्रमशः 24 मेगाहर्ट्ज थी, समय संकल्प 41.6 एनएम है। ठीक है, ठीक है, मैंने लक्ष्य एमके को धीमा करने की कोशिश की। कुछ भी नहीं बदला है। यहाँ मेरे दिमाग में यह सवाल आया कि मैं गलत क्या कर रहा हूँ, जैसा कि q3k ने किया था? तुलना के बाद, अंतर पाया गया: यह एक तुल्यकालिक विनिमय इंटरफ़ेस (एसपीआई) का उपयोग करता है, और मैं एसिंक्रोनस (UART) हूं। और कहीं न कहीं, मैंने उस क्षण पर ध्यान आकर्षित किया जो मुझे शुरुआत में याद आया। यहां तक ​​कि तुल्यकालिक और अतुल्यकालिक बूटलोडर मोड के लिए वायरिंग आरेख पर, तैयार आउटपुट को अलग नाम दिया गया है:



सिंक्रोनस में यह "BUSY" है, अतुल्यकालिक में यह "मॉनिटर" है। हम टेबल को "स्टैंडआर्ट सीरियल I / O मोड में आउटपुट फंक्शन्स" में देखते हैं:


"शिमोन सेमेनिक ..."

ट्रिफ़ल, जो पहले छूट गया था, गलत जगह ले आया। दरअसल, अगर सिंक्रोनस मोड में यह बिल्कुल बूटलोडर व्यस्त झंडा है, तो अतुल्यकालिक मोड में (जो धारावाहिक I / O मोड 2 है) ऑपरेशन को इंगित करने के लिए सिर्फ एक "ब्लिंकर" है। शायद, सामान्य तौर पर, ट्रांसीवर की तत्परता का हार्डवेयर संकेत, और इसलिए इसके उठाने की अद्भुत सटीकता।

सामान्य तौर पर, हम जमीन से वीसीसी को एससीएलके पिन पर रोकने वाले को मिलाप करते हैं, वहां तार को मिलाते हैं, इसे सभी एसपीआई को हुक करते हैं और शुरू करते हैं ...

सफलता!

तुल्यकालिक मोड में, सब कुछ लगभग समान है, केवल कनेक्शन स्थापित करने के लिए कोई प्रारंभिक प्रक्रिया की आवश्यकता नहीं है, सिंक्रनाइज़ेशन को सरल किया जाता है, और समय पर कब्जा अधिक सटीक रूप से किया जा सकता है। अगर मैंने तुरंत इस विधा को चुना तो मैं समय की बचत करूंगा ... मैंने फिर से पिछले बिट से समय को जटिल नहीं किया और माप लिया, लेकिन कुंजी के अंतिम बाइट को स्थानांतरित करने से पहले टाइमर शुरू कर दिया, अर्थात्। हम टाइमर को चालू करते हैं और इसे KEY7 ट्रांसमीटर को भेजते हैं (ऊपर स्क्रीनशॉट में, तर्क विश्लेषक से, आप कर्सर के बीच की दूरी देख सकते हैं। यह मापा समय अंतराल है)।

यह एक सफल पहचान के लिए पर्याप्त से अधिक था। यहाँ एक बाइट की गणना है:



एक्स-अक्ष पर, हमारे पास असतत गणना की संख्या है, क्रमशः वाई-अक्ष पर, संचरित कुंजी मान। सिग्नल-टू-शोर अनुपात ऐसा है कि यहां तक ​​कि किसी भी फिल्टर की आवश्यकता नहीं है, जैसे स्कूल में एक सूचना-विज्ञान पाठ में: हम सरणी में अधिकतम पाते हैं और अगले बाइट के चयन पर जाते हैं। पहले 6 बाइट्स को आसानी से और जल्दी से चुना जाता है, आखिरी के साथ थोड़ा और मुश्किल: वहाँ यह बस धमाकेदार हलचल है जो काम नहीं करता है, आपको प्रत्येक प्रयास से पहले "शिकार" को रीसेट करने की आवश्यकता है। नतीजतन, प्रत्येक प्रयास के लिए लगभग 400 एमएस लगते हैं, और खोज सबसे खराब स्थिति में, डेढ़ मिनट के क्षेत्र में होती है। लेकिन यह सबसे बुरा है। प्रत्येक प्रयास के बाद, हम एक स्थिति का अनुरोध करते हैं और जैसे ही हम अनुमान लगाते हैं, रुक जाते हैं। सबसे पहले, मैं आम तौर पर जल्दी से पेन के साथ पहचानकर्ता के ऊपर चला गया, कंसोल आउटपुट को एक्सेल में डालना और ग्राफ को प्लॉट करना, सभी को अधिक से अधिक इसलिए कि यह एक बार का कार्य था, लेकिन लेख के लिए मैंने सुंदर कंसोल के लिए, स्वचालित पुनरावृत्ति को जोड़ने का फैसला किया ...



बेशक, अगर डेवलपर ने बूटलोडर (अपने द्वारा प्रतिस्थापित) को मिटा दिया, तो बाहर निकलना इतना आसान नहीं होगा, लेकिन मोटर वाहन इलेक्ट्रॉनिक्स में, एमके अक्सर बंद नहीं होते हैं। विशेष रूप से, एक अन्य हीटर से नियंत्रण इकाई में, जिसमें एक ही रेनेसा के V850 को स्थापित किया गया था, सब कुछ तारों की एक जोड़ी को टांका लगाने और फर्मवेयर को एक मानक उपयोगिता के साथ कॉपी करके तय किया गया था। यह ईसीयू दुनिया में संपूर्ण क्रिप्टोक्यूरेंसी इंजन है। जाहिरा तौर पर निर्माता चिप ट्यूनिंग और अन्य प्रकार के हस्तक्षेप की घटना को पसंद नहीं करते हैं ... हालांकि यह कवच और गोले की दौड़ की तरह है - ग्रंथियां तेज, अधिक महंगी हैं, लेकिन कोई विजेता नहीं है ...

संदर्भ:

1. https://www.dataman.com/media/datasheet/Renesas/M16C6N5Group.pdf
   
2. https://hackaday.io/project/723-reverse-engineering-toshiba-r100-bios/log/51302-ec-firmware-dumped
   
3. https://q3k.org/slides-recon-2018.pdf