JaicraB Blog

MEGAUPLOAD

2012-01-21T00:33:00.011+01:00

INTERNET, cuando era libre.
Anonymous ahora somos todos.

PS3, Preloader Advance 2

2011-12-25T20:14:00.008+01:00

Traigo la versión 2 del Preloader Advance.

Las mejoras:
-Archivo de configuración para elegir las acciones.
-Restaurar todas flashes.
-Hacer backups de todas las flashes.
-Optimización del codigo.
-Salida automática del Service mode.

Funcionamiento:
-Estar en Service Mode.
-Copiar Lv2diag.self y advance.cfg en el USB
-Modificar al gusto el fichero advance.cfg
-Introducir los backups en el usb segun el advance.cfg
-Encender con el USB introducido en el puerto mas cercano al lector.

Las pruebas :
-Mientras el COREOS este bien y permita acceder al Service mode, esta utilidad recuperara todas las flash.
-El cambio de HDD en una versión 3.56 no es problema en los sistemas con memorias NOR. No hace falta hacerlo atraves de un UPDATE.

Suerte!

Descarga: Preloader Advance 2
mas info: Demonhades.org

PS3, Preloader Advance

2011-12-24T19:16:00.005+01:00

Ya esta disponible la herramienta para poder restablecer cualquier "/dev_flash".
No es mas que un programa que se ejecuta sin módulos externos.

El porque lo encontramos que al no poder cargar las librerías básicas alojadas en la "/dev_flash" hay que hacer uso de Syscalls directas al núcleo.
La compilación es limpia de STUB de los módulos externos, de ahí que solo ocupe unos pocos KB...

La función es de cargar el fichero "/dev_usb000/flash1.bin" y escribirla en modo RAW a la "/dev_flash". No sin antes montar la "/dev_flash" en modo Write.

Es simple pero efectivo. No tiene peligros de bricks, aunque nos equivoquemos de backup o quede sin finalizar por motivos varios.

En principio funciona en todos los firms, aunque principalmente esta diseñado para JFW-DH356MA por los problemas de semibricks y en cambio de HDD cuando el sistema guarda dentro la "/dev_flash".

Sino tenéis backups la podéis pedir a cualquiera que tenga el mismo firm e incluso extrayéndola del pup y montándolo en un sistema FAT.

Su uso es sencillo. En Factory Mode renombrar el "Preloader Advance.self" a "Lv2diag.self" y copiarlo a un USB. Dentro del USB copiar en la raíz el backup de la flash con nombre "flash0.bin"
Conectar el USB en el puerto mas cercano del lector, y encender el sistema.
El led parpadeara en verde. Significa que esta restaurando la flash.
Cuando acabe el proceso se apagara. Comprobar el log que crea en el USB para salir de dudas.
Ya solo toca sacarlo del factory mode con el "Lv2diag.self" step2 que corre por la red.

Descarga: Preloader Advance : http://www.multiupload.com/XDCH2FC3W9
Para su uso y mas información dirigiros a : htttp://www.demonhades.org

Agradecimientos:
M***S, Mi gran maestro
Lara, Por cambiarme el sueño y permitirme trastear por las noches....
Demonhades, por capullo ;)
Y a la comunidad de demonios.

Buenas fiestas a todos.

PS3, Cobra

2011-07-08T01:42:00.003+02:00

Flynn me mando este texto explicando esta proteccion que lleva el Cobra, espero que sirva para abrir los ojos a aquellos interesados en reversar los dumps.

COBRA RTOC TRICK EXPLAINED

El JIG Cobra posee diversas medidas de proteccion para asegurar que su codigo no podria ser utilizado de forma correcta aun en el caso de que su codigo pudiera ser dumpeado.

Este truco en el registro rtoc es el primero utilizado para este fin aparte de dificultar el analisis.
El registro rtoc es inicialmente guardado en la pila para conservar el rtoc del lv2 y poder recuperarlo posteriormente:

# =============== S U B R O U T I N E

cobra_syscall_sm_shutdown_hook: # CODE XREF: syscall_379 j

.set arg_20, 0x20
.set arg_28, 0x28
.set arg_30, 0x30
.set arg_38, 0x38
.set arg_40, 0x40

mflr %r0
std %r0, arg_20(%sp)
std %rtoc, arg_28(%sp)

En este punto tenemos que explicar que es el DELTA OFFSET.
El DELTA OFFSET es un metodo usado en el x86, en sus momentos originales en la creacion de virus informaticos,
para poder calcular la direccion de memoria en la que nos encontramos dentro del mar de bytes en la RAM.
En los momentos originales un virus informatico no sabia cuando arrancaba donde se encontraba dentro de un ejecutable,
pues dependiendo del ejecutable podia estar en un sitio inicial u otro, para ello se invento el DELTA OFFSET.

El DELTA OFFSET puede ser usado en cualquier sistema, el procedimiento es:

- Usando el registro que indica la direccion actual de ejecucion (o la siguiente dependiendo del sistema)
- Restandole el tamaño del codigo previo que usamos a este valor obtenido desde el registro.

Sabiendo esto, y tomando por ejemplo el procesador x86 donde el registro EIP no puede ser leido directamente se invento el truco
de hacer una llamada a una "subfuncion" que es simplemente la siguiente linea a la llamada:

call x
x:
pop eax

La instruccion call en x86 guarda en la parte superior de la pila la direccion de la instruccion siguiente asi misma.
De esta forma usando pop extraemos de la parte superior de la pila este valor, y se guarda en eax por ejemplo, ya teniendo la direccion de memoria
en donde estamos, solo faltaria restar lo anterior y ya tenemos el calculo exacto.

En el PowerPPC podemos usar este truco usando la instruccion equivalente que es BL (BRANCH LINK), la cual salta a una "subfuncion" pero antes guarda
en el registro LR la direccion siguiente al BL.

bl _delta_offset

_delta_offset:

En este punto vemos el truco usado para la creacion del rtoc del cobra en este momento.
Si nos fijamos tanto r0 como rtoc son pasados a 0:

li %r0, 0
li %rtoc, 0

Posteriormente se le da el valor 0x11DE0 a rtoc:

oris %rtoc, %rtoc, 1
ori %rtoc, %rtoc, 0x1DE0

A r0 se le da el valor 0x920:

oris %r0, %r0, 0
ori %r0, %r0, 0x920

Se le resta a r0 el valor de rtoc:

subf %r0, %r0, %rtoc

A diferencia del x86 en PowerPPC el registro LR se puede leer directamente con la instruccion mflr, ponemos en rtoc el valor obtenido por el delta offset:

mflr %rtoc

Para calcular el delta offset final restamos las instrucciones anteriores ejecutadas al delta offset, que eran 4, es decir 16 bytes:

addi %rtoc, %rtoc, -0x10

Por ultimo le sumamos el valor de r0 al rtoc final del delta offset, guardando el resultado en el rtoc, siendo este ya el rtoc cobra adecuado para este hook, :) :

add %rtoc, %rtoc, %r0

Ya teniendo el cobra rtoc se guardan en la pila los 3 argumentos que el hook recibio:

std %r3, arg_30(%sp)
std %r4, arg_38(%sp)
std %r5, arg_40(%sp)

Se llama a la funcion del cobra en donde se chequeara el primer argumento en busca del comando 0x8202 (un comando especial a lo habitual, :)) :

bl cobra_syscall_sm_shutdown

Tras hacer lo necesario en el cobra, se recupera de la pila el rtoc original, al igual que los argumentos que el hook recibio, se ejecuta la instruccion original
que fue sobreescrita en la entrada de la syscall 379 (en este caso) para tener nuestro hook, y se llama a la syscall original del lv2:

ld %rtoc, arg_28(%sp)
ld %r3, arg_30(%sp)
ld %r4, arg_38(%sp)
ld %r5, arg_40(%sp)
mfcr %r12
bl original_syscall_sm_shutdown

Al volver se recupera el LR original desde la pila y se vuelve a lo que el indique, :)

ld %r0, arg_20(%sp)
mtlr %r0
blr

# End of function cobra_syscall_sm_shutdown_hook

PS3, Cobra. Dumps

2011-06-24T10:32:00.006+02:00

Esto es de todos. Disfrutemos.

Cobra 1.2 http://www.megaupload.com/?d=MKF02IXN
Cobra 2.0 http://www.megaupload.com/?d=NEP6CVW7
El nucleo es 3.41v2 Original.

Mi apoyo a Graf_Chokolo. Ayudale.
http://grafchokolo.com/grafchokolo-fight-sony.html

PS3, Cobra TEAM

2011-06-20T16:14:00.010+02:00

Saludos a Cobra TEAM.

0x500000 7C 08 02 A6 48 00 00 05 7C 68 02 A6 3C 80 00 00

0x500010 38 84 00 08 7C 64 18 51 41 82 00 58 38 C0 00 00
0x500020 64 C6 BA AD 60 C6 CA FE 3C 80 00 01 38 84 98 68
0x500030 3C A0 00 01 38 A5 AE D0 7C A4 28 51 41 82 00 34
0x500040 78 A5 E8 C3 7C A9 03 A6 7C 84 1A 14 E8 A4 00 00
0x500050 78 A7 00 22 7C 07 30 00 40 82 00 10 78 A5 00 20
0x500060 7C A5 1A 14 F8 A4 00 00 38 84 00 08 42 00 FF E0
0x500070 F8 01 00 10 F8 21 FF 81 F8 41 00 28 3C 80 00 01
0x500080 38 84 1D E0 7C 44 1A 14 48 00 0C 39 E8 41 00 28
0x500090 38 21 00 80 E8 01 00 10 7C 08 03 A6 38 60 00 00
Por cierto, podríais haber cambiado aunque sea las tablas de hash del Psgrovee.
Seguir vendiendo los conocimientos de todos los SCENERS.

En construcción :

Además de:
-Gestor de plugins de arranque.
-Apps en segundo plano.(Example : FTP mientras juegas)
-Carga de payloads antes de entrar en XMB. Payload Cobra Gratuito...
. . .

PD: Cobra Team, me vino defectuoso el switch para cambiar de PC - JIG - DG. Me lo cambiáis?

PS3, Actualizar sin lector

2011-01-30T18:02:00.006+01:00

He modificado el Lv2diag.self con el único objetivo de poder meter un UPDATE sin necesidad de tener que depender del lector.
Es un paso mas para poder aprovechar las PS3 con defectos en la controladora del BD.

La modificación se basa en saltarse dos pasos en el proceso de actualización.
"BD FIRMWARE" y "Bul-ray Disc Player list Revoke".
Cuyos parches son los siguientes:

offset 0x3CF0 = 0x419E0044
offset 0x3C50 = 0x48000034

Esto permite omitir las dos funciones relacionadas con el BD-Drive.
Evitamos el error y dejamos que el sistema continue actualizando.

Aun no esta solventado el problema de ejecutar Hombrews sin lector.
Espero que pronto salga alguna solución.
Aun así el objetivo de esto no es la piratería, sino un paso mas para la SCENE para consolas sin lector.

USO

Activar Service Mode.
Copiar en la raíz de un USB el Lv2diag.self que proporciono.
Copiar en la raíz el fichero PS3UPDAT.PUP de la actualización que se desee.
Encender la PS3 con el USB insertado en el puerto 0 (el mas cercano al lector).
Esperar hasta que se apague.
Copiar el Lv2diag.self del STEP2(no lo proporciono yo).
Insertar el USB en el puerto 0.
Encender y a los pocos segundos se apagara.

ACLARACIONES

No hace falta decirlo, pero por si acaso.
Es responsabilidad vuestra. La compatibilidad es la misma que el Lv2diag.self original.
Lv2diag es una herramienta peligrosa, informaros de ello.
Gracias psmaniaco por testearlo!
Suerte!

Descarga: http://www.megaupload.com/?d=EMBKXG35
MD5: 3615770407c0c3fa00d8ca49c8adb362

PS3, Alejandro

2010-12-16T22:44:00.004+01:00

Esta aplicacion permite el montado de la unidad /dev_Alejandro.
Esta unidad es un espejo de la unidad /dev_flash, estando esta activa igualmente.

La unidad /dev_flash carece de permisos de escritura, util para leer como
se hacia antiguamente, sin embargo la nueva, SI tiene permisos de escritura.

Es por ello, que no nos hacemos responsables del mal uso que se pueda dar a esta aplicacion, al metodo usado, etc.

Como usuarios finales SOIS RESPONSABLES DEL USO QUE HAGAIS DE DICHO PROGRAMA
EN VUESTRAS MAQUINAS!

Tenerlo en cuenta antes de querer manipular el firmware, archivos XML, etc.

JaiCraB & ps3mrenigma

Descarga: http://www.megaupload.com/?d=5NB4KESE

P.S ¿Porque el nombre de Alejandro? Quien sabe, igual tiene algo que ver con alguno de nosotros...

Los comentarios en este blog estan cerrados. Para comentar ir al blog de ps3mrenigma http://ps3mrenigma.wordpress.com/

PS3, SCENE

2010-12-02T13:10:00.007+01:00

Es increíble... las tonterías que uno lee.
Para empezar mi nick es JaiCraB y no JaircraB ni JailCrab.
No busco fama, ni un ego especial. Tengo mi blog , pongo lo que quiero cuando quiera y a quien quiera.
Odio a los busca famas, egopollas, los hypers y todo los adjetivos relacionados.
Me ha sentado fatal que hagan una batalla campal entre comunidades en mi blog. A mi ni me va ni me viene los problemas entre vosotros.

Aunque no lo creáis hay mucha gente que han logrado cosas que ni imaginais. Crean hype?
Gente que no pone la miel en los labios para después cobraros por ello.
Este es mi hobbie, toqueteo lo que me de la gana, y muestro lo que quiero que la gente sepa.
Estoy en contra de la piratería. Personas que se ganan el jornal programando horas y horas, para que luego venga el listo de turno diciendo... con esto podre jugar al GT5? ni lo se ni me importa.
La gente, grupos que realmente se lo merece, por tener una ideología basada en la mía, que le guste aprender, divertirse,etc,etc.. lo comparto todo.
Hace unas semanas conseguí una cosa muy interesante. Lo iba a publicar para que todos saliéramos beneficiados. Porque no se publico? Por ciertas personas que me querían pagar por el Code. Rotundamente NO!. Por eso motivo ni lo publique. Salimos todos perdiendo.
Pobre Hermes, comparte y luego sacan un producto a su nombre. Pero hasta donde ha llegado esto? Hasta que punto vais a seguir comprando?
Estoy contigo Hermes con la jugada, aunque no estoy del todo conforme con tu ideología de aplicar lo que sabes sobre la piratería.

Queréis pruebas??

Tengo todo el firmware desencriptado, aqui pongo solo algunos ejemplos interesantes:

liblv2.sprx -> http://pastie.org/1340957
sysconf -> http://pastie.org/1340971

vsh.elf -> http://pastie.org/1340979
vsh.elf -> http://pastie.org/1340985
vsh.elf -> http://pastie.org/1340990

nas_plugin -> http://pastie.org/1340992
sys_init_osd.elf-> http://pastie.org/1340997
game_ext-> http://pastie.org/1341009

Hace dos mes que los conseguí por métodos propios que no voy a vender, sino compartir con los que lo merecen.
A los demás, que ni se molesten en preguntar como desencriptar los archivos, el que sabe como no hace falta que se le indique, y el que no, pues si no lo sabia, tampoco lo podría aplicar

Seguir así y vereis a donde llega la SCENE... Yo por lo pronto, por todos vosotros, todo lo que haga no comparto NADA. Y menos los que andan beneficiándose para poder jugar al GT5...me dais lastima.

Yo con Math no tengo ningún problema, ni nos conocemos para poder criticarnos. Lo que te voy a responder a tu consejo. Hasta que no vea que DemonHades me falla, seguirá siendo un amigo.

Gracias a Elhaim por todo lo que me ha enseñado. Y por ser una persona cojonuda. Sobre todo persona!

Gracias a toda la comunidad Demonhades por las donaciones para poder hacerme con un JIG.
Y a la gente en general que defensa una SCENE libre, fuera la piratería, que respeta los trabajos de los demás, y que hacen todo esto posible simplemente porque les gusta.

Alguna duda?

PS3, Special Execution Mode?

2010-12-01T12:57:00.010+01:00

Visto lo visto..., no solo los egopollas saben hacer cosas para llamar la atencion y despues vender sus producto...
Te lo regalo DemonHades, Feliz cumpleaños!

PS3, USB FIRM LOADER 0v3

2010-09-22T13:42:00.009+02:00

Aquí os traigo la nueva versión.

Mejoras:

Optimización del código.
Arreglado la asignación del puerto USB.
Arreglado la pantalla en negro.

Recomendaciones:

Solo tener un USB MASS STORAGE conectado al cargar el USB FIRM LOADER.

NO ACTUALIZAR estando en modo USB FIRM LOADER.

Descarga: http://www.megaupload.com/?d=NNWVP2RF

Gracias por informar los bugs!

PS3, USB FIRM LOADER

2010-09-17T22:50:00.012+02:00

Este programa permite simular la dev_flash desde un USB. Permitiendo así un Custom Firmware.
Podremos modificar los ficheros de nuestra nueva dev_flash (USB) a nuestro antojo, sin correr el riesgo de tirar la PS3 a la basura. Es una versión beta, seguramente encontraréis fallos.
Seguiré trabajando en ello cuando el tiempo me lo permita.
Recordar que no sufre ningún riesgo la consola. Todo lo que se cambie de la nueva dev_flash realmente lo estaréis haciendo en el USB.

Requisitos:
1.- Syscall PEEK and POKE.

Instalación:
1.- Copiar con el "FTP server" todo el contenido de la /dev_flash al USB(en la raiz).
2.- Copiar el JaiC_USB_FIRM_LOADER.pkg también en la raiz del USB.
3.- Instalar el paquete.

Uso:
1.- Introducir el USB en la PS3.
2.- Ejecutar USB FIRM LOADER. Después de unos segundos volvera al XMB. El nuevo firmare esta cargado.

Veréis que cualquier cosa que hagáis el USB se pondrá en marcha. Ideal para modificar RCO , intercambiar modulos , lo que imaginéis.

IMPORTANTE!!
No actualicéis estando en modo Firmware Live. Eso reiniciaría el sistema volviendo a poner la dev_flash original y os actualizara!
No UPDATE FROM USB FIRMWARE LOADER!

Descarga: http://www.megaupload.com/?d=UVB1KRLN

Saludos.

PS3, Lector BD

2010-08-03T23:05:00.006+02:00

Como se comento, teníamos trabajos paralelos al exploit de Otheros.
Tenemos acceso al Lector BD como si de una unidad más se tratase del propio PC.

Las características según EVEREST son:

SONY PS-SYSTEM 302R
Firmware Revision =4151
Tamaño del buffer =8 MB
Region Code =1
Remaining User Changes =0
Remaining Vendor Changes =0
*Supported Disk Types
BD-ROM Read
BD-R Read
BD-RE Read
HD DVD-ROM =No soportado
HD DVD-R =No soportado
HD DVD-RW =No soportado
DVD-ROM =Read
DVD+R9 Dual Layer =No soportado
DVD+R =No soportado
DVD+RW= No soportado
DVD-R9 Dual Layer= No soportado
DVD-R =Read
DVD-RW =Read
DVD-RAM =No soportado
CD-ROM =Read
CD-R =Read
CD-RW =Read
Buffer Underrun Protection =Soportado
C2 Error Pointers =Soportado
CD+G =No soportado
CD-Text =Soportado
Hybrid Disc =Soportado
JustLink =Soportado
LabelFlash =Soportado
Layer-Jump Recording =No soportado
LightScribe =No soportado
Mount Rainier =Soportado
SMART =No soportado
CSS =Soportado
CPRM =Soportado
AACS =Soportado
VCPS =No soportado
BD CPS =No soportado

--------------------------------------------
Estamos investigando extraer el FW, será el siguiente paso.
Si quieres ver algún fichero extraído lo teneis aquí.
Saludos!

PD: Para malas lenguas...sino queréis hacer algo útil en la SCENE de la PS3 abandonar el barco y dejar de tirar cañones.

PS3,Peticiones 1

2010-06-04T12:43:00.012+02:00

Hola!
He recibido algunas peticiones de como aplicar todo en otros modelos.
Aquí os lo pongo.

PS3 Modelo 60 Gigas
Mantener viva la RAM despues del reinicio, para así no perder los datos.

Extraer las dos resistencias. No recuerdo cuando la extraje si era una resistencia doble o si eran individuales. De no hacerlo, se puede quemar. Vosotros mismos!

Exploit por LPT.

Aconsejo que desde el punto de soldadura al transistor sea lo más corto posible. Del transistor al PC no importa. El mío mide 1 Metro.

Si el cable soldado hasta el transistor excede tendremos como consecuencia luz amarilla, bloqueos, inestabilidad general...

Por ejemplo:

Sobre el software usar la Version 2, se adapta a cualquier CPU.

Software:

http://www.megaupload.com/?d=QKKNKZJJ
Uso:

http://jaicrab.blogspot.com/2010/03/ps3software-generador-de-pulsos-v2.html

Cualquier cosa ya direis.

Un saludo!

PS3, Lv2, y que?

2010-05-08T02:00:00.010+02:00

BLD:
http://www.megaupload.com/?d=FUUYJ5B9
Source:
http://www.megaupload.com/?d=IY7QBX7Z
+info: Al final del articulo.

Buenas!
Por motivos laborables no he tenido ocasion de dedicarme a mi hobbie. Aunque dispongo de menos tiempo le sigo dedicando algo de tiempo.
Nos quedamos con el metodo de Dump del lv2, pero no sera del todo util sin tener un software adecuado, por ese motivo abro las puertas por si alguien quiere ayudar que no lo dude.
Contactar a hadesteam@hotmail.com .
HadesTeam? Un pequeño grupo sin animo de lucro ni buscafamas, simplemente nos gusta aprender. Este grupo consiste principalmente en las siguientes personas: JaicraB, DemonHades, Calimba, DanteHades y Druida.
Dicho esto, no dudeis en ayudar.

Principalmente que buscamos con el Lv2? Como ya sabreis el PUP tiene una serie de comprobaciones con Hmac_Sha1. Si logramos hacer un Dump limpio del proceso de instalacion del PUP lograremos hayar la Key Hmac_sha1 y poder asi desempaquetar un PUP para proceder a cambios y volver a crear su Hash.

Como?
Nos hace falta un Otheros.bld tan simple como efectivo. Un BLD que lleve incorporado el exploit y un soporte para poder Dumpear la memoria. Si alguien se ofrece voluntario en programarlo contactar. En cuanto tengamos el dump se procede a la busqueda de la Key. He diseñado unos programas la cual facilita la faena:

jaic_Hmac_sha1_file.zip
Nos facilitara encontrar la Key.

Informacion Extra
La instalacion del PUP tiene 3 fases :
1.- Comprobacion de los Hash descrito en el PUPHeader.bin
2.- Desenpaqueta el UPDATE al area cache del disco duro Fat32.
3.- Comprobacion de hardware y update de los modulos.

Proceso
Tener un segundo disco duro formateado con el sistema PS3 y tener el BLD(anteriormente mencionado). Introducir el primer disco duro y entrar al recovery con el PUP en un USB.
El primer proceso al ejecutar el PUP desde el recovery comprueba los hashes descrito en el fichero PUPHeader.bin. Si todo es correcto desempaqueta el UPDATE en el disco duro. En ese momento hace un reset y vuelve a continuar con la instalacion. En ese momento que reinicia ya hemos perdido la KEY, ya que seria remplazado por otros datos. Solucion? Mantener la Motherboard alimentada constantemente y provocar un apagado instantaneo.

"El siguiente dia explicare como mantener la placa alimentada sin que el sistema se de cuenta.(es curioso ver el ventilador en marcha, el disco duro y demas perifericos y la luz roja encendida).
Tambien explicare como provocar un apagado instantaneo con un pequeño fallo controlado sobre la BIOS. "

Con estos dos metodos se puede apagar la PS3 en cualquier momento mantieniendo la RAM y efectuar un Dump.

Objetivos
Conseguir la key Hmac_Sha1 y poder recomponer un PUP. La ventaja de poder cambiar modulos de actualizacion.

Si quereis ayudar hadesteam@hotmail.com .

Actualmente, al no tener el BLD especial estamos investigando el lector BD con buenos resultados.
Saludos!
PD: ItSuGa se ha ofrecido voluntario para traducir esta pagina al Ingles. Aun esta en construccion, pero podeis verla en http://jaicrab-en.blogspot.com/ . Gracias ItSuGa.

PD2:
Os dejo una base minima para poder construir el otheros.bld.
El BLD ocupa 30 Kb y tiene funciones al HDD con ext2 para guardar el DUMP. Las funciones estan descritas.
Incorpora la tabla de llamadas lv1 y funciones ASM.
Esta preparado para montar el mecanismo del exploit. Espero que sirva de ayuda a los interesados que no sabian por donde empezar.
Ha sido compilado con el toolchain de pdaXrom.
BLD:
http://www.megaupload.com/?d=FUUYJ5B9
Source:
http://www.megaupload.com/?d=IY7QBX7Z

PS3, lv2 COMO??

2010-04-03T15:23:00.011+02:00

Metodo extraccion JaicraB-DemonHades.

Antes de nada, tener cuidado si lo vais hacer, no me hago responsable.

Se trata de mantener con vida la RAM a la hora de pasar a Otheros. Para ello tenemos que tener la memoria alimentada en todo momento para que al reinciar no se borren los datos.

Plano general:

Zona A

Este zona es delicada. En ese punto nos econtramos con dos resistencias juntas. Hay que extraerla(Quitarla, sino podriais provocar un cortocircuito). Tiene 4 patas. En este punto le indica al integrado MOSFET que la RAM se apague.

Se trata de abrir el circuito al quitarle esas dos resistencias juntas para poder alimentarlo aparte.

Zona B
De ese punto conseguimos la alimentacion. Se puede poner en cualquier parte de esa pista.

Zona C

En este punto hay que hacer un puente para anular las dos resistencias.

Zona D

El punto del exploit.

Mini Circuito

Aqui teneis la parte tecnica. Es posible que la primera vez que se inicia lo tengais que hacer por el recovery.

Resumire un poco los siguientes paso. Entrar en XMB. Tocar, ejectura, configurar, se trata de llenarlo con mas informacion. Ejecutar un juego, introducir un BD, etc, etc.

Luego iniciais Otheros( Otros sistema operativo).

Dumpear con el exploit.

Recuerda:

Los primeros 36 Megas es la "memory privilege", contiene lv0,lv1,lv2. El resto de memoria son residuos del XMB(muy interesante) y datos de Otheros.

Lo siguiente seria iniciar un sistema linux base y hacer un dump completo. Asi conseguiremos mas datos del XMB y menos residuos.

Lo malo que se me acabaron las dos semanas de vacaciones .... :( me hubiese gustado tener otra mas para seguir con el tema.

Suerte a todos, y compartir!

PS3.lv2

2010-04-03T12:30:00.004+02:00

Buenas.
No entiendo como en un tema de un bien comun puede haber bandos. No se trata de poder beneficiarnos todos? Recapacitar.
El Dump anterior contiene muchos residuos y datos de la sesion otheros. Lo importante es el metodo usado. No se trata de "Cold-boot-attack", NO! .Es un ataque en caliente y es normal que hayan cosas mezcladas.
En todo caso hay un area de 36 MB que teoricamente es poco probable que se introduzca datos residuales. Apartir de 36 MB se mezclara la sesion de otheros con la sesion de XMB. Como depurar esto? Cargando un minikernel, una pequeña distribucion de linux y dejar mas memoria intacta y proceder al dump.
Siguiente paso?
Se nos abre a TODOS una infinidad de proyectos. Se pueden recolectar todos los SELF , volcar el proceso de una Actualizacion...
------------------------------------
Estoy elaborando la explicacion del metodo, os lo prometi. NO seais impacientes ;)
------------------------------------
Un segundo DUMP solo del area "privilege" de 36 MB.
http://www.megaupload.com/?d=KDS62IC6
Pass: jaicrab.jaicrab

PS3. Mira por donde, LV2 !

2010-04-02T22:11:00.010+02:00

Buenas a todos!
Hace una semana empeze a desmontar por primera vez una PS3 e instalar Linux sin tener ninguna experiencia. Mi unico objetivo era enseñar a la gente a cambiar la refrigeracion de una PS3. Poco a poco me fue llamando la atencion el mundo de la SCENE y en un semana os entrego el lv2.

Aqui concluye una tarde larga con unico pensamiento. Gracias DemonHades por compartir tu experiencia conmigo y por estar toda la tarde conmigo debatiendolo comprobando y por enseñarme todo lo que sabes en dos horas. La verdad que sin DemonHades hubiese sido casi imposible. Una persona grande y sabia.

Despues de toda una tarde llevando un proyecto en mente, hemos podido dumpear el lv2.
Hemos tenido acceso de lectura de la ultima sesion de XMB antes de entrar en Otheros.

Lo prometido es deuda.
Ya explicare el metodo a seguir por si vosotros mismo quereis hacerlo.
Disfrutarlo!

lv0lv1lv2 : http://www.megaupload.com/?d=R0711LAS
Pass: jaicrab.jaicrab

No useis el Copy & Paste para poner la contraseña. Puede fallar.
Not make use of copy & paste to decompress. May fail.

----------------------------------------------------
Siguiente paso?
El siguiente paso es inmaginable.
Antes de nada os explicare mañana si puedo el proceso de como poder hacerlo.
No es un simple volcado de lv2, sino que es un volcado de toda la sesion anteriormente abierta en XMB. Lo que hay que depurar la manera de hacer el dump para no mezclar cosas de la sesion de Otheros y asi poder analizar todo lo que hayamos ejecutado en XMB. En este dump esta echo con un tamaño superior del lv2, la cual contiene basura de la sesion de otheros mezclada con XMB.
El area de lv2 es intacta, son los primeros 36 megas, que consiste en lv0,lv1,lv2.
Abres una puerta y te encuentras con 50 mas, cada nueva puerta te puede abrir otras 50 puertas mas. Escoje tu ruta a investigar y compartelo con todos.

PS3, Instalacion XorHack v2.0

2010-04-01T08:37:00.006+02:00

Lo dicho.

Empeze con la version 1. Soy de aquellos que sale el StarCraft 2 y tengo que empezar por el primero ;).

La fuente la teneis en http://www.xorloser.com/ . Muy buena utilidad y con infinidad de pruebas e investigaciones. Se lo ha trabajado mucho.

XorHack v2 = http://xorloser.com/blog/wp-content/uploads/2010/03/xorhack_v2.0.zip

Eliminacion de XorHack V1

Sino instalasteis la primera version saltar al proximo punto.
Vamos a la consola, con ello pulsando CRL+ALT+F1.
Nos logueamos en consola y despues hacemos un
#sudo -s
Una vez siendo ROOT nos introducimos en la carpeta donde compilamos en el anterior en el caso del ejemplo:
#cd Exploit
Y le damos a la opcion de desinstalar poniendo
#make uninstall
Si todo ha ido bien lo tendremos desinstalado. Recomendable trabajar en otra carpeta con la nueva actualidad.
#cd ..
Instalacion XorHack v2.0

#mkdir Exploit2
#cd Exploit2
Descargamos el fichero de la pagina de xorloser
#wget http://xorloser.com/blog/wp-content/uploads/2010/03/xorhack_v2.0.zip
Lo descomprimimos
#unzip xorhack_v2.0.zip
Empezamos a preparar la instalacion
#make
#make install
Y por lo pronto, sino sale ningun error tendremos las nuevas tablas de funciones actualizada y un par de ordenes muy comodas de trabajar

Nuevas caracteristicas:
1.- Funcion ps3peek. Nos permite mostrar un rango de memoria desde la consola como si fuese un visor Hexadecimal(muy logrado).Tambien nos permite hacer volcados del rango especifico en un fichero binario. Todo desde consola.
2.- Funcion ps3pook. Lo contrario a lo anterior. Mete valores hexadecimales en la posicion de memoria que le indiques. (Tambien en consola)
3.- Funcion ps3exec. Gran novedad. Ejecutar syscall en lvl1 desde consola, podiendo enviar argumentos y recibir los resultados. Hay publicada una tabla grande con todas las funciones. Peligrosa herramiento, nos podemos quedar sin la PS3 sino sabemos lo que tocamos.(Desde consola). Os dejo el link de todas las llamadas del LVL1 que se puede invocar desde ps3exec Aqui
4.-Sigue incluyendo como en la versiona anterior los comandos dumprom,dumphv y dumpbl.(volcado automatico del BL y del HV).

Opinion personal:
No soy Dark_Alex como comentan.
Si habeis visto las llamadas syscall del lvl1 uno os habreis dado cuenta que se puede hacer de todo con el inconveniente que os hara falta el pulso magico. Ya no hay escusa por ser caro el aparato. por 0,40€ tienes el hardware y el software pulido Generador de pulsos por lpt1.
No hay escusa, sino quieres es porque te da miedo soldar un cable en tu PS3! ;)
Os explicare mas sobre el funcionamiento. Debo irme!
ANIMAROS!

PS3,Software generador de pulsos V2

2010-04-01T08:15:00.002+02:00

Generador de pulsos V2.

El generador de pulsos que puse estaba muy poco depurado y teoricamente mal planteado. A mi me funcionaba, pero es cierto que no siempre iba a la primera. Asi que he echo una segunda version, mas depurada y controlado por ciclos. Porque por ciclos? Cada ordenador es diferente, CPU, BUS, etc etc. Por eso mismo cada ordenador tendra su propio ciclo la cual se averigua empezando siempre por el mas pequeño hasta encontrarlo ;). En mi caso es el 3, corriendo MSDOS bajo una maquina virtual VMWARE.

Uso:

1.- Mantener desconectado el LPT1 del PC. (Al iniciar el sistema suele estar activado la tension).
2.- Ahora se genera el pulso a traves de los numeros: 1 al 9.
3.- Empezar siempre por el 1 almenos durante 25 intentos. Si notais que el generador no influye en la PS3 continuar por el numero 2 otros 25 intentos.
4.- Una vez corra el Exploit, salis del programa pulsando cualquier tecla y acordaros del numero de ciclos que os funciono bien para la proxima vez.

Descargas:

Codigo fuente y compilado: http://www.megaupload.com/?d=QKKNKZJJ

Pass: jaicrab.jaicrab

Colecciones de fotos:

PS3,Segundo Volcado

2010-04-01T02:12:00.000+02:00

Buenas noches/madrugada.

Antes de nada, puntualizar que tengais cuidado si vais a aplicar el circuito anteriormente explicado.
El programa hay algunas criticas, que decir, teneis el codigo fuente, modificarlo a vuestro antojo! a mi me funciona y tal como me funciono lo he transmitido. Los volcados de memoria paso lo mismo, ni las mire. Tal cual las obtube las copie en un Pendrive, las comprimi y las subi sin mirar ni siquiera el contenido.
Tambien tengo que puntualizar que en ninguno de los volcados hasta la fecha, incluyendo esta segunda prueba estaba conectado la placa de comunicacion(bluetooh, wifi).

Vamos a lo que vamos. He echo un segundo volcado para ver las variaciones de una a otra. Ya sea por corrupcion de datos que se quedaron atras al provocar el pulso o simplemente zonas variables del HV.
El volcado del Boot es identico y no se entiende nada :S. Seguramente este cifrado o no contiene ningun String.
El volcado del HV es diferente, aunque muy parecido al primero que hice.

Sacar vuestras conclusiones.

HV: http://www.megaupload.com/?d=ZO4K6OYT
BootLoader: No es necesario, es identico al anterior.

Pass: jaicrab.jaicrab

Ya direis. Suerte a todos.

PS3,Dump...Completo

2010-03-31T15:13:00.001+02:00

Buenas.
Ya he conseguido hacer el Dump del Hyper y del BL. :D
Al final el generador de pulso lo he echo atraves del PC y el puerto paralelo.

Dumps:
HV: http://megaupload.com/?d=SJ0NX5SQ (descomprimido: 16.777.216 Bytes)

BL: http://www.megaupload.com/?d=X9KX2WSA (descomprimido: 262.144 Bytes)

Pass del zip: jaicrab.jaicrab

Esquema LPT1:

Programas:

(NO ME HAGO RESPONSABLE de daños al cacharro, es un programa muy simple, poco depurado. Es poco probable q se queme algo, pero tambien tener en cuenta q el puerto LPT1 es muy delicado. Suerte!)

Codigo fuente y compilado: http://megaupload.com/?d=7EJW43VG

Recomendable hacerlo bajo MSDOS. Descargaros el disco de inicio del Windows 98, copiar el ejecutable y ejecutarlo. No conecteis el puerto LPT1 hasta q no lo indique el programa. El codigo fuente esta echo con Turbo c++.

Pass: jaicrab.jaicrab

Lo importante de todo es compartir y no guardar nada y mas si es por el bien comun. No hagais mal uso de mis MAC y datos propios de mi PS3 ;)

Cualquier pregunta o sugerencia son bienvenidos en los comentarios. El proximo "capitulo" destripar el volcado. Hasta la proxima!

PS3, Resucita, vuelve a las andadas

2010-03-31T14:04:00.000+02:00

Lo dicho, buena noticia para mi. Vuelve a funcionar la PS3.
El problema? no era la fuenta, sino las dos resistencias donde va el cable del exploit. Por causa de toquetear varias veces el cable.
He tenido q cambiar las dos, reciclado de un PDA q tenia roto.
Por si ha alguien le pasa lo mismo, las resistencias son de 45 Ohms. Probe poniendole dos resistencias convencionales de 1/2 Watio y no iba. Aun asi, las que tiene puesto son de 35 Ohms pero son SMD.
Volvemos a las andadas, a por el DUMP.

PS3, Fuente alimentacion K.O.

2010-03-30T18:21:00.001+02:00

Lo dicho, parece ser que se ha estropeado la fuente de alimentacion.
Seguro que ha sido por apagarla demasiadas veces desde el boton trasero haciendo las pruebas(que no se haya jodido el boton,quien sabe).

Nos vemos!

PS3, Exploit,Puesta en marcha

2010-03-28T19:38:00.000+02:00

Parece ser, que poner en marcha el exploit y salga al 100% con exito es una loteria , no desesperemos.

Una vez instalado como he descrito anteriormente, recomiendo reiniciar. Al ser tan "delicado" q salga bien, recomienda hacerlo recien reiniciado y sin loguerta en la interface grafica. Es decir, una vez nos pida los datos del usuario nos iremos a un terminal pulsando Control+Alt+F1. Alli nos logueamos con el usuario de la instalacion.

Una vez logueado nos pondremos como root con el siguiente comando " sudo -s ". Introducimos la contraseña de root y ya estamos listo para probar el exploit.

El comando para poner en marcha el exploit es "ps3exploit" la cual hay q añadir un argumento. La cantidad de veces que te de la oportunidad de provocar la falla del hypervisor y que aprobecharemos para hacer los Dumps de memoria.

Pondremos "ps3exploit 100". Nos dara 100 oportunidades para lograr la hazaña.
Nos saldra el mensaje para pulsar el boton del circuito mas la cuenta hasta llegar a los 100. Se trata de no dejarlo llegar a 100 xD. Como sabremos si funciona? Si el exploit detecta la pulsacion del circuito lo notaras, empezara hacer los volcados de la RAM. Y si no lo detecta? Nos informara que has echo los 100 intentos y se quedara tan contento. Sino lo detecta no os desespereis, repetir de nuevo "ps3exploit 100" hasta lograrlo.
En mi caso, aun no lo he echo funcionar. Creo q debe de ser el circuito, que esta mal montado, el cristal de 26 Mhz como comente o que realmente el circuito no vale.
Os comento...

PS3, Linux y Exploit

2010-03-28T14:27:00.000+02:00

Hola de nuevo.
Me dispongo a instalar ubuntu-8.10-alternate. Se puede descargar aqui.

Otra cosa necesaria para continuar es bajarse el exploit, en este caso es el exploit de Geo pero modificado por xorloser. Lo podeis descargar de aqui.

Instalacion de Otheros
En principio es sencillo. Una vez descargado la imagen se quema en un CD(nero, deepburner, etc).
Se introduce en la PS3 y nos vamos a "Ajustes del sistema", "Instalar otro sistema operativo". Nos encuentra un fichero en el lector /CD/PS3/OTHEROS.BLD. Le decimos q si queremos instalarlo.
Una vez instalado, nos vamos a "Sistema predeterminado", y seleccionamos "Otro sistema". Se reiniciara y empezara la instalacion de Ubuntu.
(Tener en cuenta que si no tenemos reservado un espacio en disco para otro sistema nos sera imposible instalarlo).
La instalacion es simple, solo hay q seguir los pasos.

Instalacion del Exploit
Una vez instalado Ubuntu podemos continuar sobre el Exploit.
A mi principalmante he instalado el SSH server para conectarme desde el PC y controlar la consola como si estubiera en ella. No es necesario
Os dejo los comandos de la instalacion(cualquier cosa comentarme) y el log completo aqui:

linux@PS3:~$ sudo -s
root@PS3:~# mkdir Exploit
root@PS3:~# cd Exploit/
root@PS3:~/Exploit# wget http://xorloser.com/blog/wp-content/uploads/2010/03/xorhack.zip
root@PS3:~/Exploit# unzip xorhack.zip
root@PS3:~/Exploit# ls
root@PS3:~/Exploit#mv /usr/src/linux-ports-headers-2.6.25-2/ /usr/src/linux-headers-2.6.25-2/
root@PS3:~/Exploit# make
root@PS3:~/Exploit# ls
root@PS3:~/Exploit# make install
root@PS3:~/Exploit#

PS3,Puntos de soldadura sobre la placa

2010-03-28T00:56:00.000+01:00

Segun Geo el punto es el siguiente:

Yo he decidido seguir la pista hasta un punto mas grande para soldar. En este caso a sido en la penultima resistencia:

Los 5V , 3,3V y la masa lo sacare de la placa de "comunicaciones" , donde se encuentra el bluetooh y el wifi (por cierto, si no se conecta esta placa tampoco funciona la Ethernet):

Cosas curiosas:
-Si solo pones el cable en el punto de GEO se enciende la luz AMARILLA
-Si pones el punto de GEO y la masa, se queda colgada en cuanto empieza a salir el XMB, sin luz amarilla
-Si lo pones todos la PS3 actua con normalidad.

Siguiente paso...Acabar de instalar linux y probar el exploit.

PS3, Circuito de los 40ns, Lo montamos?

2010-03-27T20:02:00.001+01:00

FRACASADO

Ya tengo el material, despues de 3 horas de busqueda a un "pueblo" cercano. Aun asi no he encontrado un cristal de 25Mhz, asi q le tengo q poner uno de 26,770 Mhz(espero q no varie mucho la historia :S)
Que decir, q la suma de todo, incluyendo la placa con topos no ha superado los 3 €.
Esta tarde-noche-madrugada me pondre manos a la obra. Informare.
-----------------------------------------------------------------------------
Son las 22:10 y ya tengo medio montado el circuito. Me surgen unas dudas no dificiles de resolver:
Los integrados se tienen q alimentar con 5V.- Tengo localizados los puntos de la fuenta donde sale ese voltage.
El 3,3v tambien lo tengo q localizar.
La chica de la tienda me ha dado todas las resistencias mal :S, asi q he tenido q poner mas en serie para que me de el valor.
Por ahora tengo el circuito asi:

---------------------------------------
Circuito terminado.

Siguiente paso, Instalar linux (esta apunto) y soldar el circuito a la play.

PS3, Circuito de los 40ns

2010-03-27T00:31:00.001+01:00

Buenas noches.
Mañana por la tarde voy a recojer los componentes para hacer el circuito sigüiente:

En cuanto venga de compras lo monto. Os pondre los pasos (mientras me lo estudio :S).

PS3, Con disipadores de PC

2010-03-26T17:26:00.000+01:00

Buenas.
He conseguido una segunda Play3, algo tocada, ya que se apaga cada 10 minutos por sobrecalentamiento.
Voy a proceder a distripar e intentar remachar el problema para otro dia poder investigar sobre ella.

Paso 1:

Dispongo de una PS3 a destripar.
Una capturadora de video y un PC destina solo a hacer de Tv.

Me dispongo a destripar. y dejo la placa sola.

Paso 2:
Adaptacion de unos disipadores AMD q tenia por aqui. Preparar el cableado para tener bien visible la placa.
Preparo los ventiladores.
Miro la forma de colocarlo de la mejor manera. Aplicamos pasta termica, y me dispongo a colocarlos bien.

Hago cables mas largos de la fuente de alimentacion y del lector.

Ahora adaptare la fuente de alimentacion para tener la placa suelta sin nada encima ni debajo.
Aqui tenemos el aparato listo, listo para instalar linux.

El sigüiente paso sera montar el circuito de los 40ns, y hacerle los dos puntos de soldadura en la placa.
Aplicaremos el exploit e intentare hacer el volcado del dump y hacerlo publico(ya que lo q corren por ahi dicen q son incompletos..)
Hasta mañana