STM32去掉孔雀石1.10d固件唯一ID软件保护的过程

yjmwxwx · 发表于 2024-5-11 15:04:16

爱科技、爱创意、爱折腾、爱极致，我们都是技术控

您需要登录才可以下载或查看，没有账号？立即注册

x

本帖最后由 yjmwxwx 于 2024-5-11 15:25 编辑

最近搞视频没素材拍，正好有个网友给我个固件，因为我以前改过以前版本的，正好试试拿来当素材，只是我技术不行，也没硬件不能保证我分析的正确和是简单的方法。

修改后孔雀石1.10d版本的BIN文件，我没硬件没法验证，只是分享下过程，不保证能用变砖头别怪我。

1.10d.zip (327.1 KB, 下载次数: 0)

修改过程视频
https://www.bilibili.com/video/BV1Nm421p744/?spm_id_from=333.999.0.0

这个固件采用STM32唯一ID防止被人抄袭，ID号经过加密后生成64位数密码，再把64位密码储存到FLASH，程序还有密码表和FLASH完整性校验，因为以前分析时候已经知道他密码表的内容，直接搜索BIN文件还容易就找到了密码表。

刷固件后，本机ID生成的密码和密码表里面进行比较，密码表里面没有就限制功能。

IDA PRO怎么打开固件的网上很多教程，这里就不再重复了。

ida pro工程.zip (1.59 MB, 下载次数: 0)

因为以前知道了密码表里的，这次直接在新固件BIN文件里面搜索就可以了，通过搜索知道了密码表在新固件的0x803b1d0，于是直接搜索这个地址，就找到了密码表比较程序

程序入口R2是密码表地址，R0和R1是本机64位密码

密码表比较入口.png

比较程序，R6=0x3ca8是密码表长度，因为密码是64位所以有1881个注册用户，密码表里没本机号把0x58写到R7地址+0X818的地址，有本机号写0XFA到这个地址，可以把密码表里注册用户替换成非注册用户的密码，也可以通过把R6=0X3CA8改大来增加密码表长度，把非注册用户密码添加到后面空白地址，还可以直接把0XFA写到那个地址。

和密码表比较.png

密码表还有完整性校验程序，校验长度0X3CB0

密码表完整性校验.png

ldr r3, = 0x3c2efb46是校验正确结果，直接把下面STR R0, [r4, # 8]里面的R0改成R3来绕开。

还有几个死循环不知道是干什么的，因为没硬件没法验证，直接把B命令替换成MOV R0, R0，因为这条命令下面就是正确跳转结果，只要让这条指令失去作用就行了。

死循环.png

通过看反汇编看到代码最后还有数据这个不正常，于是发现有全FLASH完整性校验，校验范围从0X8000000开始到0X8100000

校验FLASH完整性.png

还有个校验程序，从大概0x800dd88开始到0X80DFFFF

完整性校验.png

需要修改的地方，因为我没硬件验证所以看到可疑的就改。用编译器直接生成机器码，我技术不行不会别的方法。地址@df04 从str r0, [r4, # 8] 改成 str r3, [r4, # 8]

asm.zip (2.84 KB, 下载次数: 0)

@df04
str r0, [r4, # 8]
str r3, [r4, # 8]
@df84
aa:
b aa
mov r0, r0
@e6b0
bb:
b bb
mov r0, r0
@dffa
str r4, [r7, # 0x818]
str r2, [r7, # 0x818]
@de86
str r0, [r3]
str r2, [r3]
@ddac
str r0, [r4]
ldr r3, [r3]
@ddae
ldr r3, [r3]
str r3, [r4]
@dec6
str r0, [r3, # 4]
str r2, [r3, # 4]
@de16
ldr r0, [r3, # 8]
str r2, [r3, # 8]
@de18
cmp r0, r2
cmp r2, r2

复制代码

从固件剪出密码表的方法，直接用dd命令

剪出的密码表

密码表(包含1881个密码).zip (11.94 KB, 下载次数: 0)

125589 · 发表于 2024-5-11 15:23:57

啊？完全看不懂的说

吃烧饼喝三鹿 · 发表于 2024-5-11 15:26:17

感谢楼主分享哈

wangxiangtan2 · 发表于 2024-5-11 15:46:27

这是个高手，搞逆向都可以

kyd12345 · 发表于 2024-5-11 16:07:31

mark一下备用

wh100ta · 发表于 2024-5-11 16:08:53

听说孔雀石有2.0以上的固件了，但愿有大神可以搞搞类似的研究：）

猪小呆 · 发表于 2024-5-11 16:34:16

楼主可以分析一下许老师100k电桥的序列号算法吗：
https://oshwhub.com/nxpyhgp001/stm32lcd-biao

yjmwxwx · 发表于 2024-5-11 17:00:36

本帖最后由 yjmwxwx 于 2024-5-11 17:02 编辑

猪小呆发表于 2024-5-11 16:34
楼主可以分析一下许老师100k电桥的序列号算法吗：
https://oshwhub.com/nxpyhgp001/stm32lcd-biao ...

可以倒是可以，只是没什么动力，不如直接破解简单，许老师搞的ID保护比较简单没完整性校验什么的，记得很多年前改过，一个固件是直接绕过，另一个是把提示码改成密码。我没许老师电桥的硬件哦，所以没法验证，变砖不要怪我。

固件.zip (47.17 KB, 下载次数: 3)

chenlei1910 · 发表于 2024-5-11 17:06:34

b站看到视频了，你是原作者吗。

猪小呆 · 发表于 2024-5-11 17:07:03

yjmwxwx 发表于 2024-5-11 17:00
可以倒是可以，只是没什么动力，不如直接破解简单，许老师搞的ID保护比较简单没完整性校验什么的，记得很 ...

大神就是牛逼。。。

wu314296988 · 发表于 2024-5-11 20:23:38

在b站看过大神的讲解！

茶壹杯 · 发表于 2024-5-11 20:31:21

哥们很有天赋没在IT行业搞研究实在是可惜

amo73 · 发表于 2024-5-12 13:09:58

不错，很久没关注了，刚看下楼主在B站已经圈粉几万，看来已经不用外出工作了，这条网红路走对了

yjmwxwx · 发表于 2024-5-12 16:00:19

wangxiangtan2 发表于 2024-5-11 15:46
这是个高手，搞逆向都可以

我搞这个就是入门级别技术，只是我愿意分享自己学到的东西

yjmwxwx · 发表于 2024-5-12 16:01:22

chenlei1910 发表于 2024-5-11 17:06
b站看到视频了，你是原作者吗。

是的，平时搞点DIY的东西分享

yjmwxwx · 发表于 2024-5-12 16:02:30

猪小呆发表于 2024-5-11 17:07
大神就是牛逼。。。

不要捧杀我了。。我是个在家蹲16年还在靠啃老吃饭的人，不敢吹牛

yjmwxwx · 发表于 2024-5-12 16:03:13

茶壹杯发表于 2024-5-11 20:31
哥们很有天赋没在IT行业搞研究实在是可惜

都快奔4了，而且还是农村家里蹲，只能在家务农了

猪小呆 · 发表于 2024-5-12 16:14:16

yjmwxwx 发表于 2024-5-12 16:03
都快奔4了，而且还是农村家里蹲，只能在家务农了

B站那么多粉丝，随便搞点什么产品卖卖都能赚钱了，比如你可以设计自己的内阻仪卖，精度达到TS457的水平，价格比TS457便宜一点，那么多粉丝根本不愁卖，ADC用8毛多的CS1237：
https://www.mydigit.cn/thread-449258-1-1.html

yjmwxwx · 发表于 2024-5-12 16:15:14

amo73 发表于 2024-5-12 13:09
不错，很久没关注了，刚看下楼主在B站已经圈粉几万，看来已经不用外出工作了，这条网红路走对了 ...

纯粹为爱发电，比如我这次破解的这个固件，人家专业怎么也要收费100元吧，免费分享出来就算拍成视频也是没收入的，我搞的别的制作也是自己花钱买的电子元器件，只是得到网友的支持才有了薅厂家羊毛的机会，但是自己不努力搞制作也没薅的机会，去年参加了好几个厂家活动得奖，不算扣税薅到3000多元，还有个2000元奖也不知道给不给发，我去年在LCSC就花了2000多，第一次实现免费玩还有赚。

我们县城很多搞电动叉车的，都是对外采购电控部分，我也没机会接触那些厂家的人，要不直接抄袭或者自己做都可以，最起码能找个工作，一个月给我发2000元我就愿意干。

靠视频网站不靠谱的，视频网站赚的这点钱不够电费，薅厂家羊毛和视频网站收入都不可能持续，靠这些以后吃饭都成问题。

给你看看我B站的收入

截图_2024-05-12_15-56-51.png