हैकिंग PSVita - पहला कदम, PSP एमुलेटर

हैलो, मेरा नाम अलेक्जेंडर है। थोड़ा अपने बारे में। मेरी उम्र 16 साल है, मैं 11 वीं कक्षा खत्म कर रहा हूं, मैं एक ऐसे शहर में रहता हूं जो राजधानी से बहुत दूर है। 2.5 साल से मैं सोनी गेम कंसोल के बारे में प्रोग्रामिंग में लगा हुआ हूं। कई प्लगइन्स और कार्यक्रमों के लेखक, साथ ही हाल ही में, फर्मवेयर।

मुझे लगता है कि बहुत से लोग पुराने PSP को याद करते हैं जो 2005 से हमारी आँखों को भा रहा है। कई, बच्चों के रूप में, धनी माता-पिता के साथ अपने साथियों से बहुत ईर्ष्या करते थे जो इस तरह के उपहार के साथ अपने बच्चे को खुश कर सकते थे। लेकिन समय बीत जाता है, प्रौद्योगिकी में सुधार होता है, और पीएसपी समान नहीं है। लगभग एक साल पहले, सोनी ने PSVita नामक एक नई परियोजना शुरू की, जिसे NGP (नेक्स्ट जनरेशन पोर्टेबल) और PSP2 के रूप में भी जाना जाता है। कंपनी स्वयं अंतिम शब्द का तिरस्कार नहीं करती है, इसे कोड नाम के रूप में उपयोग करती है। कंसोल को अच्छी तकनीकी विशिष्टताएँ और विशिष्ट सुविधाएँ प्राप्त हुईं। PSP के कई हैकर्स ने खुद को हैकिंग PSVita डिफेंस में फेंक दिया है।

पीएसपी के क्षेत्र में व्यापक अनुभव होने के बाद, दृश्य के अधिकांश दृश्य विशेष रूप से पीएसपी एमुलेटर की ओर मुड़ गए, जिनमें से डिवाइस स्वयं पीएसपी के आंतरिक डिवाइस के लगभग समान है।

चरण 1 - पीएसपी एमुलेटर में यूसमोड एक्सेस

पीएसवीटा पर पीएसवीटा पर पीएसपी एमुलेटर का पहला और वर्तमान यूरमोड शोषण, बफर ओवरफ्लो कमजोरियों पर बनाया गया था। प्रारंभिक कोड और "पानी" जो बफर पर डाला गया था, पीएस स्टोर में कड़ी मेहनत के पैसे के लिए खरीदे गए खेल के शरीर में बचा था। इस क्षेत्र में कमजोरियों के लिए डी / क्रिप्टिंग को सहेजना और खोज करना PSP के साथ इन बचत की अनुकूलता के लिए संभव बनाया गया था।

मैं आपको और बताऊंगा कंप्यूटर सुरक्षा विशेषज्ञों से लेकर आम लोगों तक किसी भी असेंबलर का अध्ययन करने वाले बफर अतिप्रवाह भेद्यता का बहुमत क्या है। लेकिन मैं इसे अपने दृष्टिकोण से समझाने की कोशिश करूंगा।

खेल सहेजें को पढ़ता है, इसे पार्स करता है और संरचना को डेटा लिखता है। ऐसा होता है कि डेटा को स्ट्रैची फ़ंक्शन द्वारा कॉपी किया जाता है या स्प्रिंट फ़ंक्शन में एक स्ट्रिंग तर्क के रूप में कार्य करता है। ये कार्य सुरक्षित नहीं हैं क्योंकि वे स्टैक से आवंटित आउटपुट बफ़र के आकार को नियंत्रित नहीं करते हैं।

मान लीजिए कि गेम में एक कोड है।

//    struct { char username[64]; int other_data[256]; }SaveData; ReadSavedata(&SaveData); //    //   char username_backup[64]; //   sprintf(username_backup, "%s", username); 

यह कुछ भी नहीं था कि मैंने अन्य_डेटा खंड को छोड़ दिया। मैं यह दिखाना चाहता था कि खिलाड़ी के नाम के लिए 64 बाइट्स के अलावा सेव में अभी भी जगह है। यदि हम खिलाड़ी के नाम को 128 वर्णों तक विस्तारित करते हैं, तो कमजोर कार्य, बफ़र के आकार पर ध्यान न देते हुए, आपके पॉइंटर द्वारा डेटा लिखेंगे। 128-64 = 64। अर्थात्, बफ़र 64 वर्णों से भरा होगा। और, चूंकि बफर स्टैक से आवंटित किया गया है, स्ट्रिंग से मनमाना डेटा कोड के सेवा रिकॉर्ड में भर जाएगा।
ऑपरेटिंग निर्देशों की 3 किस्में हैं।

1. रजिस्टर $ ra (अनुदेश जूनियर)

यदि भविष्य में स्टैक से डेटा $ ra रजिस्टर (MIPS में पता वापसी रजिस्टर) को पुनर्स्थापित किया जाता है, तो हम एक मनमाने पते से कोड निष्पादित कर सकते हैं। "जूनियर $ आरए" निर्देश हमें सेवा देगा, जिसका उद्देश्य उप-भाग से मूल भाग में कोड वापस करना है। बेशक, हम अपने कोड को सहेजने के लिए खाली स्थान पर रख देंगे, 64 अतिरिक्त बाइट्स हैं, जो प्रचुर मात्रा में हैं।

2. जालर अनुदेश का तर्क

यदि डेटा को रजिस्टर में पुनर्स्थापित किया जाता है, जो कि jalr निर्देश का तर्क है, तो हम पहले मामले के समान कोड को भी पुनर्निर्देशित कर सकते हैं। अंतर केवल इतना है कि इस मामले में आपको कोड के साथ छेड़छाड़ करनी होती है, जब पहले मामले में आप बफर को तुरंत नोटिस करते हैं ("डिबगर में अपवाद - बस त्रुटि (इंस्ट्र)")।

3. तर्क स्वा

यदि हम स्वा (स्टोर शब्द) निर्देश के तर्कों को नियंत्रित करते हैं, तो हम अपने लिए पुनर्निर्देशन सहित किसी भी निर्देश को स्थानापन्न कर सकते हैं।

इन सभी जोड़तोड़ को PSP पर डिबगर (psplink) का उपयोग करके किया जाता है, फिर संरक्षण को क्रिप्टो किया जाता है और स्पष्ट रूप से खरीदे गए कमजोर गेम के साथ PSVita नाश्ते के लिए परोसा जाता है।

सबूत के तौर पर, मैं डेटा बचाने के लिए एक शोषण का उपयोग करके शुरू की गई हैलो वर्ल्ड का स्क्रीनशॉट प्रदान करूंगा।


यदि केवल एक usermode शोषण है, तो usermode सॉफ्टवेयर लोडर (Vita आधा-बाइट लोडर) को पोर्ट करना संभव है। इसमें बहुत सारे प्रतिबंध और कीड़े हैं, लेकिन, फिर भी, यह उपयोगकर्ताओं को केवल पहली कंसोल (डेंडी, अटारी, सेगा, गेमबॉय एडवांस) के इम्यूलेटर का आनंद लेने से नहीं रोकता है।

चरण 2 - PSP एमुलेटर में कर्नेल एक्सेस

अगला चरण कर्नेल एक्सेस है। जब हमें कर्नेल मेमोरी में परिवर्तन करने का अवसर मिलता है, तो हम सिस्टम के साथ कुछ भी कर सकते हैं। यह प्रसिद्ध हैकर और डेवलपर Total_Noob द्वारा किया गया था, जिसने अनाम बने रहने की इच्छा रखने वाले व्यक्ति से लीक हुए कर्नेल शोषण के आधार पर CEF (कस्टम एमुलेटर फ़र्मवेयर) लिखा और जारी किया था। 1.81 फर्मवेयर के बाद, हैकिंग के मामले में एक लंबा संकट था। कोई भी नया शोषण जारी करने की जल्दी में नहीं था, तब मैंने खुद को छोड़ने का फैसला किया। और अब आप 1.81 से 2.02 तक के फर्मवेयर पर CEF का उपयोग कर सकते हैं। अब मैं उनकी अवधारणा को समझाने की कोशिश करूंगा। मुझे लगता है कि वह कई लोगों से परिचित है।

1. पढ़ें-केवल कर्नेल शोषण

जहां तक ​​आप जानते हैं, केवल उपयोगकर्ता अधिकार होने पर, आप कर्नेल मेमोरी नहीं लिख सकते हैं या पढ़ भी सकते हैं। ऐसा करने के प्रयास "ब्रेकिंग" मॉड्यूल को निष्पादित करने और फिर पूरे सिस्टम को क्रैश करने तक सीमित हैं। ऐसा लगता है जैसे उसके पास नहीं है, यह कर्नेल मेमोरी है। लेकिन हम जानते हैं कि यह है और इसका पता भी - 0x88000000 है।

लेकिन हम कहां से शुरू करते हैं? हमारे पास फर्मवेयर मॉड्यूल नहीं हैं, और हम उन्हें प्राप्त करने के लिए कर्नेल मेमोरी नहीं पढ़ सकते हैं!
ऐसा करने के लिए, हमें केवल-पढ़ने योग्य कर्नेल खोज की आवश्यकता है। इसका सिद्धांत सरल है। हमें कर्नेल मॉड्यूल में फ़ंक्शन का उपयोग करना चाहिए, जो पॉइंटर को लिख सकता है या फ़ंक्शन से कोड सेगमेंट का मान लौटा सकता है, जिसका पता फ़ंक्शन के तर्क से ही सेट किया जा सकता है। अनुसंधान के लिए, आप PSP फर्मवेयर मॉड्यूल का उपयोग कर सकते हैं (मैं 6.60 की सिफारिश करता हूं)। सब के बाद, कई स्थानों पर PSP एमुलेटर का फर्मवेयर बस PSP के फर्मवेयर के समान है, जैसा कि मैंने ऊपर कहा था। तदनुसार, छेद बने रहे।

एक "टपकी" फ़ंक्शन का एक उदाहरण (कचरा और सेवा निर्देशों के बिना एक उदाहरण)।

 sceKernelReadOnlyKxploit: move $s0, $a0 lw $v0, 0($s0) 

रजिस्टर $ a0 फ़ंक्शन का पहला तर्क है, जिसका मान तब रजिस्टर $ s0 में ले जाया जाता है। रजिस्टर $ s0, बदले में, lw निर्देश का दूसरा तर्क है; यह पता सेट करता है। Lw के लिए पहला तर्क रजिस्टर $ v0 है, जो रिटर्न ऑपरेशन (C) में मान लौटाता है। Lw निर्देश एक लोड शब्द है - एक चार-बाइट शब्द लोड करना (इसका पता दूसरे तर्क का मूल्य है) रजिस्टर में (पहला तर्क)।
ऊपर दिए गए पैराग्राफ को समझने के बाद, हम यह निष्कर्ष निकाल सकते हैं कि यह फ़ंक्शन पहले तर्क में निर्दिष्ट पते पर चार-बाइट शब्द का मान लौटाएगा।

इस फ़ंक्शन के लिए शोषण इस तरह दिखेगा।

 u32 *target = (void *)0x08A00000; u32 i; for(i = 0; i <= 0x00400000; i += 4) { *(target + i) = sceKernelReadOnlyKxploit(0x88000000 + i); } 

नतीजतन, आकार में 0x00400000 बाइट्स के कर्नेल मेमोरी की सामग्री को पता 0x08A00000 स्मृति में लिखा जाएगा। एक फ़ाइल के रूप में सहेजें यह मुश्किल नहीं होगा, साथ ही समान कमजोरियों की खोज भी होगी।

आवश्यक मॉड्यूलों को बाहर निकालने के बाद, उनकी जांच की जा सकती है। डिस्क्लेमर प्रैक्टिकल द्वारा किया जाता है।

2. कर्नेल शोषण लिखें

इन जानवरों की खोज के साथ तनाव पैदा करना होगा, वे बहुत दुर्लभ और मूल्यवान हैं। मैं केवल मूल अवधारणा की व्याख्या करूंगा।
SceKernelLibcTime फ़ंक्शन (sysmem.prx मॉड्यूल को देखें, फर्मवेयर कोड 6.60 को देखना बेहतर है और अब के लिए PSP पर प्रयोग करें)। रजिस्टर $ a1 पर jalr देखें? अब सोचें कि अगर ऊपर दिए गए कुछ निर्देशों से आप "lw $ a, 2244 ($ v1)" मिटा दें तो क्या होगा? यह सही है, हम jalr तर्क पर नियंत्रण हासिल करेंगे और किसी भी मौजूदा पते पर कोड निष्पादन को पुनर्निर्देशित करने में सक्षम होंगे। हम यह कैसे कर सकते हैं? केवल कर्नेल फ़ंक्शन का उपयोग करना।

तो, आप केवल फ़ंक्शन के इनपुट तर्कों ($ a0- $ a3, $ t0- $ t7) और संरचनाओं में त्रुटियों की उपस्थिति का उपयोग करके स्टोर निर्देशों (sw, sh, sb) के दूसरे तर्क के नियंत्रण के लिए कर्नेल फ़ंक्शन की जांच करके एक उपयुक्त फ़ंक्शन पा सकते हैं। विशेष रूप से संरचनाओं से सावधान रहें।

इस तथ्य के मद्देनजर कि बाद को अमूर्त रूप से लिखा गया था, आप मेरे पुराने लेख में यहाँ इस बारे में अधिक पढ़ सकते हैं।
MIPS वास्तुकला पर एक अच्छा संदर्भ विकिपीडिया पर है ।
MIPS के उदाहरण पर खरोंच से एक उत्कृष्ट कोडांतरक ट्यूटोरियल (जिसके लिए ब्रैडली केजेल के लिए विशेष धन्यवाद) यहां पाया जा सकता है ।
फर्मवेयर 6.20 और 6.60 में PSP कंसोल पर गिरी के दोहन का विवरण।

साभार: सिल्वरस्प्रिंग, मालॉक्सिस, डार्क एलेक्स और some1।

अंत में, मैं यह कहना चाहता हूं कि मैं पायरेसी का समर्थन नहीं करता और यह लेख केवल सूचनात्मक उद्देश्यों के लिए लिखा गया था। यदि आपके कोई प्रश्न हैं, तो मैं हमेशा ट्विटर पर जवाब देने में प्रसन्न रहूंगा (फ्रॉस्टेगैटर)। आपका ध्यान देने के लिए धन्यवाद।