Milestone RecoveryImage

SÄGE!!!

Back to Topic,

ja das Recovery ist komplett signiert, kippst du ein Bit bootet es nimmer, hab ich jetzt auch schon zu genüge getestet. Das ganze läuft meiner Meinung so ab:

mbloader wird gestartet wenn man das gerät einschaltet, (position 0 im Nand b.z.w. einsprungspunkt des Prozis). Dieser loader verifiziert die Signatur des mbm (Motorola Boot Manager) (Offset 128k im NAND). Dieser wiederrum prüft die signatur von mdt4 und startet den LinuxBootloader von dort.
Angriffspunkt für mich wäre jetzt der mbloader, allerdings bräuchten wir erstmal zugriff auf den Flashbereich. Ob sich das ganze überhaupt lohnt ist jedoch die Frage, da der mbloader ja auch signiert sein kann und der pubkey dieser SIgnatur als e-fusebittable direkt im Prozi eingebrannt ist (die OMAP3 Platform unterstützt so ein Feature jedenfalls)

Spacefish schrieb:

SÄGE!!!
Angriffspunkt für mich wäre jetzt der mbloader, allerdings bräuchten wir erstmal zugriff auf den Flashbereich. Ob sich das ganze überhaupt lohnt ist jedoch die Frage, da der mbloader ja auch signiert sein kann und der pubkey dieser SIgnatur als e-fusebittable direkt im Prozi eingebrannt ist (die OMAP3 Platform unterstützt so ein Feature jedenfalls)

Zum Vergrößern anklicken....

Boote in den recovery modus -> dev: size erasesize name mtd0: 00020000 00020000 "mbmloader" Bequemster Weg zum dump ist ueber das update auf alldroid welches einfach "lol.sh" auf der sd card ausfuehrt. Dort passenden Befehl reinhauen. Aber wie du schon sagtest, das grosse Raetsel bleibt ob dieser Teil ueber die hw verifiziert wird. Allerdings waere es verwunderlich das man sich die Muehe gemacht hat die chain aufzubauen fals dem nicht so ist.

Schreibt eure Idee hier auf: motorola_milestone [And Developers]

Spacefish schrieb:

Angriffspunkt für mich wäre jetzt der mbloader, allerdings bräuchten wir erstmal zugriff auf den Flashbereich.

Zum Vergrößern anklicken....

Das ist kein Problem. Man kann mit einem kleinen Kernelmodul beliebige Bereiche des NANDs mappen. Schreiben geht zumindest mit der mbmbackup (mehr habe ich mich nicht getraut) Partition auch. sources

Spacefish schrieb:

Ob sich das ganze überhaupt lohnt ist jedoch die Frage, da der mbloader ja auch signiert sein kann und der pubkey dieser SIgnatur als e-fusebittable direkt im Prozi eingebrannt ist (die OMAP3 Platform unterstützt so ein Feature jedenfalls)

Zum Vergrößern anklicken....

Wahrscheinlich nicht, es käme mir seltsam vor, so einen Aufwand mit der Sicherung der restlichen Partitionen zu machen und dann so ein offensichtliches Scheunentor als Lücke offen zu lassen.

Zusammengefasst heißt das also, dass ein weiteres hacken des Milestones an einer Hardwareseitigen Signierung scheitern könnte... Also Motorola 1 : User 0 ???

Chris

KurrKurr schrieb:

Zusammengefasst heißt das also, dass ein weiteres hacken des Milestones an einer Hardwareseitigen Signierung scheitern könnte... Also Motorola 1 : User 0 ???

Chris

Zum Vergrößern anklicken....

Durchaus möglich.
Ist derzeit allerdings nur eine vermutung, da man das erstmal verifizieren müsste, was ohne das flashen eines eigenen bootloaders evtl schwierig werden könnte.
Flasht man allerdings einen eigenen bootloader könnte es halt passieren, das man ein irreparabel beschädigtes gerät in händen hält.

Gibt auch andere Ansätze, die bisher zumindest gedanklich verfolgt werden. Ist aber auch alles im von maui verlinkten wiki nachzulesen

Hi!

Um das ganze hier Ontopic zu halten, werde ich sinnfreies geposte wie: ui interessant. oder ähnliches löschen.

mfg, max!

jannau schrieb:

Das ist kein Problem. Man kann mit einem kleinen Kernelmodul beliebige Bereiche des NANDs mappen. Schreiben geht zumindest mit der mbmbackup (mehr habe ich mich nicht getraut) Partition auch. sources
....

Zum Vergrößern anklicken....

Hallo, Skrilax_CZ von modmymoto hat geschrieben das wir die CG32 brauchen damit wir probieren können ob wir die RSA überprüfung deaktivieren können.
Leider haben wir keine Adessen wo diese Gruppe anfängt und aufhört. Ausserdem ist diese CG auch nicht in der CDT.
Da man den ramdld anscheinend auch nicht modifizieren kann da dieser auch signiert ist wäre deine Methode die vermutlich letzte möglichkeit.
Kannst du es bitte mal versuchen ob du einen dump davon machen kannst.
Hier noch der link zu modmymoto:
http://www.modmymoto.com/forums/showthread.php?t=527842