Gudin 29 авг 2011 в 18:52

Обход встроенной защиты PIC-микроконтроллеров

5 мин

106K

Компьютерное железо

Из песочницы

+56

Комментарии 44

alk0v 29 авг 2011 в 19:32

интересно, китайцы так и делают, проводя реверс-инжиниринг ))

Levsha100 29 авг 2011 в 19:51

Рад что ссылка пригодилась :)
>было бы очень интересно узнать, как он все это определил по внешнему виду
Разные узлы имеют разные характерные структуры, например логично предположить, что большая однообразная площадь- это flash-память.

Gudin 30 авг 2011 в 06:09

Это да, понятно. Но вот например как распознать по внешнему виду кристалла тот же ИОН? Или внутренний осциллятор например? Это ведь достаточно мелкие по площади структуры, и как там можно выделить специфические элементы я пока не понимаю.

atd 30 авг 2011 в 07:22

осциллятор находится по подключенным к нему пинам (эти ножки не рероутятся даже на топовых контроллерах, иначе они просто не заведутся)

Ocelot 29 авг 2011 в 19:52

Так же хочется заметить, что во всенародно любимых микроконтроллерах AVR fuse-биты имеют похожую структуру (точно так же перепрограммируются), что позволяет надеяться, что описанная методика пригодна и для них!

А вот тут облом! В AVR установленному Fuse- или Lock-биту соответствует записанный в ячейку ноль. То есть ультрафиолетом можно только установить защиту, но не снять.

grobik 29 авг 2011 в 20:24

Ну вообще-то при стирании биты любой флэш памяти выставляются в 1, а при записи переходят в 0. Чтобы перевести обратно в 1 нужно провести операцию стирания.

Ocelot 29 авг 2011 в 20:30

Если верить статье, УФ излучение переводит ячейку в состояние «0»:

Я провел эксперимент, в котором запрограммировал PIC-контроллер значениями 0xFF вместо 0x00, и затем проэкспонировал его в моем УФ-ППЗУ стирателе
…
Когда я извлек контроллер из стирателя, то обнаружил, что flash-память действительно была очищена и вернулась в изначальное состояние

Ocelot 29 авг 2011 в 20:36

Тысяча чертей! Всегда нужно читать оригинал.

When I took the device out of the eraser, I found that indeed the FLASH memory was blanked to it’s normal all 1’s state

grobik, вы правы, стертая ячейка = 1, записанная = 0, ультрафиолет стирает ячейку в 1.
Переводчику: поправьте это место, пожалуйста, исказили суть до противоположности.
Резюме: с АВР технология тоже должна сработать.

Gudin 30 авг 2011 в 06:11

Да, сейчас поправлю все. Но возникает встречный вопрос: а почему бы действительно не сделать так, что активный бит защиты соответствует 0? Тогда не получилось бы таким методом стереть.

Ocelot 30 авг 2011 в 06:59

> активный бит защиты соответствует 0
Это так и есть, что для PIC, что для AVR.
Имеете в виду наоборот: 1-есть защита, 0-нет? Тогда атака получается еще проще: ткнул иголкой, разрушил ячейку, и всё.

Gudin 30 авг 2011 в 07:10

Ну в смысле сделать бы так, что облучаем УФ и получаем защищенную прошивку (как вы сначала написали).
Иголкой — вариант интересный, но как бы не снести то, что стоит в непосредственной близости.

atd 30 авг 2011 в 07:20

Так нельзя сделать потому что в этом случае вы не сможете ничего сделать с только что вышедшим с завода контроллером. Т.к. одна из групп конфиг-битов запрещает запись.

Ocelot 30 авг 2011 в 07:34

Lock-биты не запрещают стирание всей памяти. Можно же сделать так, чтобы по команде стирания Lock-биты выставлялись в 0 (записывались).

VDG 1 сен 2011 в 21:03

Это решаемо одним однократно программируемым на фабрике вентилем, который пережигается после дефолтной установки lock-битов.

Levsha100 29 авг 2011 в 21:35

Ходят легенды что когда-то их(фьюзы в аврах) прожигали лазерами.

imwode 29 авг 2011 в 21:10

Блина, надо с балкона свои платы в тенек перенести

puffofsmoke 29 авг 2011 в 21:11

Не совсем понял из статьи. На чип карты «Золотая корона» можно наличности выше имеющейся добавить?

Ocelot 29 авг 2011 в 21:18

Конечно. Только у них защита круче, УФ лампочки не хватит. Идите в районную поликлинику, в рентген-кабинет, и облучайте там свою карту не меньше часа.

alk0v 29 авг 2011 в 21:19

Вы действительно верите, что деньги хранятся на карте?

Ocelot 29 авг 2011 в 21:20

А баланс мобильника — на симке, да :)

puffofsmoke 29 авг 2011 в 21:35

Садить в лужу умных Петросянов, думающих, что они всё знают, много приятнее, чем простых людишек. Спасибо Вам, что Вы есть.

puffofsmoke 29 авг 2011 в 21:37

www.korona.net/scdp/page?serviceid=150386&prfx_obj=150386&sc=textblock&origin=content&event=link%28viewgroup%29&class=textblock&objclass=textblocks&obj=205958

На пункте «Как пополнить карту?» должны закрасться смутные подозрения.

puffofsmoke 29 авг 2011 в 21:33

Написал же для сверходарённых Золотая Корона.
Именно на ней, деньги хранятся на карте (несколько лет назад — хранились). Посредством банкомата можно перекинуть некую сумму денег со счёта на карту и оплатить покупку в кассе с терминалом, который никак в момент оплаты не соединён с банком. Внезапно!

Ocelot 29 авг 2011 в 22:06

А вы, уважаемый, вместо того, чтобы выпендриваться, лучше бы рассказали об этой уникальной в своем роде платежной системе, или даже провели бы исследование на предмет «что там как хранится».

puffofsmoke 29 авг 2011 в 22:12

А смысл? Я лично для вас полчаса назад комментарий со ссылкой написал. Помогло?

Ocelot 29 авг 2011 в 22:22

Конечно. Проникся.
P.S.: А ссылка битая.

puffofsmoke 29 авг 2011 в 22:23

Дай угадаю. Firefox

Ocelot 29 авг 2011 в 22:29

Не угадали, в Firefox как раз все заработало. Опера.

puffofsmoke 29 авг 2011 в 22:34

День не прошёл даром. Вы научились замечать ссылки и открывать их.

Ocelot 29 авг 2011 в 22:37

Обожаю хабр!
Тут даже тролли интеллигентные. Всего вам доброго :)

naum 30 авг 2011 в 04:54

^{Уже классика.} Вы оба такие муси-пуси!

DIHALT 31 янв 2020 в 21:31

В Золотой короне да, насколько знаю.

dimas 4 сен 2011 в 11:15

если сможете подписать ключом банкомата, то да :)

serafims 29 авг 2011 в 22:12

Вторая интересная статья за неделю о внутренностях процессоров! И при этом достаточно нестандартная! Отлично.

Lifelover 30 авг 2011 в 04:04

Перевод, кстате, изобилует косяками.

> ряд металлических «щитов» над транзисторами
Shield — экран.

> Магнитная пленка
Electrical tape — изолента.

> Я провел эксперимент, в котором запрограммировал PIC-контроллер значениями 0xFF вместо 0x00, и затем проэкспонировал его в моем УФ-ППЗУ стирателе, пока принимал душ и проверял почту.
Когда я извлек контроллер из стирателя, то обнаружил, что flash-память действительно была очищена и вернулась в изначальное состояние, и что защитные fuse-биты так же были деактивированы.

I performed a simple experiment where I programmed the PIC device with a ramping pattern (0×00->0xFF over and over again) and then tossed it in my UV-EPROM eraser for the length of oh, about a good long shower and some email checking. When I took the device out of the eraser, I found that indeed the FLASH memory was blanked to it’s normal all 1’s state, and that the security fuses were unaffected.

Тут вообще весь смысл переврал.

А оригинальное статейко неплохое.

atd 30 авг 2011 в 05:01

PIC 18 стирается по-дефолту в 0xFFFF (PIC16 в 0x3FFFF), поправьте косяк.

atd 30 авг 2011 в 05:01

s/0x3FFFF/0x3FFF

atd 30 авг 2011 в 05:03

P.S.: ramping pattern 0×00->0xFF over and over again — это 00 01 02 03… FD FE FF 01 02 03…

DjoNIK 30 авг 2011 в 08:00

Только мне кажется, что этому топику место в другом блоге?

dlinyj 30 авг 2011 в 09:18

Эту статью бы три года назад…

datacompboy 30 авг 2011 в 17:17

блин. вот есть у меня доступ до эл.микроскопа. а вот как снять корпус с микросхемы… кислота, вроде, тоже водилась… надо будет попробовать! :)

BarsMonster 31 авг 2011 в 07:54

Хочу только добавить, что лампа которую он держит не выглядит на 250нм )
Скорее там унылая 365нм лампа черного света, кварцевые на 254нм светят белым светом (они божественно красивые… Жаль на них нельзя смотреть...).

Ocelot 31 авг 2011 в 21:10

Вот этот стиратель, честные 253,7 нм. Это у камеры цветопередача хромает.

dimas 4 сен 2011 в 11:18

опечатка — вырезана из изобенты

Зарегистрируйтесь на Хабре, чтобы оставить комментарий