Hack software to unlock hardware - o potyczkach z HUBami USB w moim tablecie

Hej,

Ostatnio kupiłem jeden z chińskich tabletów, bazujący na układzie RK3066. Podobał mi sie głównie właśnie ze względu na RK3066 - na tym układzie można wiele eksperymentować a procesor zainstalowany przy nim jest bardzo wydajny.

Zirytowało mnie jednak, że po podłączeniu HUBa USB urządzenia przyłączone do tego HUBa nie działały. Podłączane bezpośrednio do portu w tablecie działały bez problemów. Pomyślałem sobie, że nie jest to zbyt fajne, zwłaszcza, że gdzieś w podróży może przydać się klawiatura i myszka z pendrivem na raz.

Wiedząc, że praktycznie niemożliwe jest zbrickowanie tabletu, wziąłem się za zabawę. Pierwsze, co zrobiłem to zainstalowałem emulator terminala celem zrzucenia kodu jednej ciekawej funkcji do pliku.

Chodzi o funkcję hub_probe. Jest tam pewien interesujący fragment:

#ifdef  CONFIG_USB_OTG_BLACKLIST_HUB
      if (hdev->parent) {
              dev_warn(&intf->dev, "ignoring external hub\n");
              return -ENODEV;
      }
#endif

Widać, że wszelakie urządzenia mające rodzica (podłączone do innego urządzenia usb) będą ignorowane.

Zrzućmy sobie hexkod funkcji hub_probe do pliku. Zrzućmy sobie 512 bajtów za pomocą polecenia dd, podając jako input file /dev/kmem. Adres z którego będziemy zrzucać wydobędziemy za pomocą

cat kallsyms | grep hub_probe

Należy pamiętać, żeby w dd podać adres decymalnie, konwertując z powyższego polecenia wartość z HEXa na DEC.

Dobra, mamy plik zawierający 512b kodu maszynowego startując na funkcji hub_probe. Wrzućmy to w IDA pro, zaznaczając składnię ARMv7a.

Oto co nam się ukaże:

Mamy zaznaczone co musimy zmienić (zgodnie z kodem open-sorce Androida, w kernelu drugie porównanie w funkcji hub_probe służy do sprawdzenia, czy mamy styczność z HUBem). Zgodne z tym co widzimy dalej, skok bezwarunkowy (B) ma kod operacji 0xEA. Musimy zmienić więc 0x0A na 0xEA.

W przypadku mojego tabletu mam trzy opcje:

1. Edycja pliku kernela i udostępnienie go do flashowania.
2. Udostępnienie aplikacji edytującej /dev/kmem
3. Użycie polecenia dd, by wprowadzić hotpatch do /dev/kmem

Najpierw stworzyłem aplikację (2). Otwiera ona /dev/kmem modyfikując jądro po jej uruchomieniu. Stwierdziłem jednak, że nie chce mi się za każdym uruchamianiem tabletu włączać owej aplikacji. Stworzyłem więc sztywny patch na jądro (1). Plik kernel.img zawarty w ROMie udostępnianym do tabletu posiadał header i sumę kontrolną. Trzeba więc było wyciąć 8 pierwszych i 4 ostatnie bajty, celem uzyskania czystego obrazu kernela. Potem wyszukując po bajtach znalazłem cel i zmieniłem kod operacji 0x0A na 0xEA. Następnie spakowałem obraz kernela ponownie dodając sumę kontrolną i nagłówek. Wgrałem ROM na tablet.

Jak na razie hub USB działa świetnie (jak i 4 urządzenia podłączone do niego)

Metoda powinna działać w większości tabletów / telefonów, które programowo mają zablokowane HUBy USB. Przestrzegam jednak, że nie każde urządzenie "wyrobi" prądowo - nie chcę zatem odpowiadać za uszkodzenia układów USB w waszych droidach.