Demontaż i zrzucanie pamięci Flash z kamery SQ11 Mini DV za pomocą programatora SPI CH341A

Jakiś czas temu kupiłem jeden z tych tanich, prawie na pewno bzdurnych aparatów Instagram przypominających kostkę od Ali Express. Prawie na pewno klon czegoś lepszego.


SQ11 Mini DV jest sprzedawany wraz z oświadczeniami "1080p", "HD", "noktowizor". "podczerwień". Zostały one przyjęte z dużym przymrużeniem oka.

Rozebrałem go kilka miesięcy temu, więc nie udokumentowałem tego, ale w Internecie jest wiele filmów i zdjęć pokazujących, jak go otworzyć. Moje ostatnie zainteresowanie wynika z faktu, że rozglądałem się za urządzeniami, które już miałem z 8-pinowym układem pamięci flash SOIC, na których mógłbym wypróbować mój nowy "czarny" programator SPI CH341A i zacisk.



Mój przyszedł z zaciskiem do użytku na 8-pinowych chipach pozostawionych na miejscu. Na przykład (z https://winraid.level1techs.com/t/guide-how-t...-spi-programmer-flasher-with-pictures/33041):



Zanim przejdę dalej, oto kilka zdjęć zdemontowanej obudowy i płytki drukowanej wewnątrz. Jak można się spodziewać, nie ma tam lamp LED, tylko czarny plastik, który niejasno przypomina pierścień diod LED.



Widać 8-pinowy układ pamięci flash - UC25WQ40 - tuż u podstawy złącza microSD.

Układ MCU QFN48 stanowi pewną zagadkę. Pod dobrym kątem można dostrzec, że jest oznaczony jako EA257411.1 2325NRZ .
.
Google dla tego i PCB silkscreen 935B-V3.0 nie okazało się owocne.

Ale z pewnością jedna lub dwie z nóżek MCU musi być log out UART? Może nawet jeden ze srebrnych padów na PCB? Ostrożnie sondowałem z nogą RX adaptera USB-TTL podłączoną do zworki z igłą do szycia przylutowaną na jednym końcu, wyłączając i włączając kamerę z zewnętrznego zasilacza 3,3 V po odlutowaniu bezużytecznej baterii. USB-TTL i zewnętrzny zasilacz mają wspólną masę.


przy 115200 bodów ten pad tutaj daje wyjście



ale niezbyt pomocne



Czas wypróbować CH341A. Po ostrożnym ustawieniu pinu 1 SOIC z czerwonym pinem 1 zacisku



NeoProgrammer wykrywa układ scalony - UC25WQ40 [3.3V] 4 Mbits, 512 Kbytes



NP odczytał cały układ i załączam zrzut do tego wątku w celach informacyjnych.



Nie wygląda na to, że jest tam strasznie dużo kodu. Czy MCU ma również wbudowaną pamięć flash?

Znalezione ciągi są minimalne


Jutro sprawdzę czy pad testowy naprzeciwko TX to RX i czy będzie reagował na komendy AT.

Niewiele więcej można powiedzieć o tym maleństwie. Nie reaguje na komendy AT. Jedyne, co mogę z niego wyciągnąć, to komunikaty typu karta SD po naciśnięciu przycisków.


Jakość obrazu i dźwięku jest niska.


wraca do pudełka

Dodano po 11 [minutach]: .

oderwałem obiektyw w nadziei na markę/model. nie

.

Ciekawe, może binwalk na flash dump mógłby powiedzieć coś więcej?

@DeDaMrAz zhakował kiedyś jakąś większą kamerę za pomocą binwalk, działała na malutkiej wersji Linuksa

Niestety, nic nie przychodzi z binwalk na nim

.

Ale teraz o tym myślę... to 4Mbity, a nie 4MB. Tylko 512KB. Więc może to nie wina programu.

Czy ta kamera może działać z usuniętym chipem flash?

Cóż, nie podoba mu się to, że został usunięty. nadal coś robi, więc musi mieć również wbudowaną lampę błyskową

rozruch z usuniętym układem flash



i syreną policyjną LED, aby zasygnalizować swoje niezadowolenie



Dodano po 8 [minutach]:

i jeśli naciśniesz jeden z przycisków, gdy miga, niebieski stanie się stały. umieszcza niektóre pliki na karcie SD, ale są one 0kb.



prawdopodobnie głupie pytanie, ale czy pamięć w MCU będzie adresowalna z połączeń SPI do 4mbit flash, teraz usunięta?

Dodano po 13 [minutach]: .

hmm

Czy jest jakiś schemat tej minikamery? Czy można jej używać podłączonej do esp32?
Wielkie dzięki

Powyższa kamera to tani klon prawdziwej SQ11.
Mam oryginalną i jest zupełnie inna - moja naprawdę ma IR dla trybu nocnego.
Wygląda na to, że klony mają tam ten kolorowy pasek.
Odpowiedź dla @ndria90: Nie nadaje się do ESP32, to małe urządzenie jest naprawdę zintegrowane i prawdopodobnie niekompatybilne z chipem ESP32, ponieważ nie mogę zidentyfikować MCU, jak plakat powyżej, ale mój jest inny.

Witam --- Właśnie dostałem jeden z nich, odkryłem, że jest okropny, rozebrałem go i miałem zamiar wyrzucić lampę błyskową, zanim znalazłem ten post. Dzięki!

Przyjrzałem się również zawartości pamięci flash i odkryłem dwie interesujące rzeczy:

(a) zestaw instrukcji to mipsel. Wygląda jak MIPS III. Ale jest kilka dziwactw. Czy to może być PIC32?
(b) jest tylko około 4kB kodu w 512kB pamięci flash. Reszta jest całkowicie pusta.

Zgaduję więc, że na pokładzie znajduje się system operacyjny zawierający wszystkie rzeczy, takie jak obsługa kart SD, kamera itp., a układ flash zawiera bardzo minimalny ładunek, aby oszukać użytkownika, że jest to prawdziwa kamera.

Nie udało mi się dostać do lampy błyskowej za pomocą klipsa do programowania (dlatego użyłem twojego zrzutu). Zakładając, że to tylko problem z moją konfiguracją i że można to łatwo przeprogramować, może to być interesująca platforma hakerska...

rany, zapomniałem o tym drobiazgu. Tak, zakładałem, że jest jakaś wewnętrzna lampa błyskowa dla głównej aplikacji.

@bewilderbeest Próbowałeś ładować w Ghidra? Bez względu na to, jakich ustawień używam, wciąż dostaję "baddata" w mniejszym lub większym stopniu, a instrukcje nie mają sensu.

Przy drugim spojrzeniu --- to nie jest MIPS. Jest bardzo podobny do MIPS, ale wszystkie instrukcje są bez znaczenia. Zastanawiam się, czy jest to MIPS z inną mapą kodu operacyjnego lub z odwróconymi bitami (widziałem to już wcześniej gdzie indziej).

Widzę pewną strukturę. Funkcje wyglądają, jakby kończyły się na 44 00 48 00. Czy to... OpenRISC?





Dodano po 2 [godzinach] 28 [minutach]:

Tak, to OpenRISC. Little-endian, brak slotów opóźnień, prawdopodobnie blok IP Beyond Silicon BA14 w innym softcore. Może część SunPlus (ale tylko dlatego, że SunPlus jest tym, do kogo należy się udać, jeśli chcesz, aby rzeczy były bardzo, bardzo tanie). Niestety Beyond Silicon wyczyścił swoją stronę internetową ze wszystkich informacji na ten temat, a archive.org nie przechwyciło arkusza danych.

https://web.archive.org/web/20130205183225/ht...ww.beyondsemi.com/26/ba14-embedded-processor/

Bardzo interesujące. Dzięki za przyjrzenie się temu.

Zastanawiam się, czy nadal mam części do dalszych badań. Wewnętrzny flash dump byłby dobry.

Mógłbym kupić inny.

bewilderbeest napisał:

Niestety Beyond Silicon wyczyścił swoją stronę ze wszystkich informacji na ten temat, a archive.org nie przechwyciło datasheet.

Webarchive ma tutaj jakiś "arkusz danych". Żadnych prawdziwych informacji

https://web.archive.org/web/20120412212147/ht...semi.com:80/file/487/files/ba14_datasheet.pdf

Właśnie przeszukałem archiwum w poszukiwaniu pliku pdf na http://www.beyondsemi.com/ . Niewielka liczba arkuszy danych wydaje się bardzo podstawowa...

Ustaliłem adres ładowania i miejsce, w którym znajduje się procedura printstring (0x00100d8c), więc zakładając, że nie ma jakiegoś rodzaju sumy kontrolnej, aby zapobiec manipulacjom, a następnie przeprogramować go, aby zrzucić kartę (duże założenie), a następnie zrzucić wewnętrzną pamięć ROM powinno być łatwe. Z adresów wydaje mi się, że pierwsze 64 kB to pamięć RAM, a wewnętrzna pamięć ROM jest od 0x100000 w górę. Byłoby miło, gdyby Ghidra to obsługiwała, ale tak nie jest, więc próbuję użyć radare2. Znalazłem już jeden błąd OpenRISC...



Następnym krokiem dla mnie jest wymyślenie, jak przeprogramować flash bez odlutowywania go. Moja obecna nagrywarka ROM odmawia, twierdząc, że ma problemy z zabezpieczeniem przed przekroczeniem budżetu. Interesujące jest to, że nagrywarka ROM oparta na CH341 działa dobrze; będę musiał to zbadać.

@divadiow: Mam programator CH341A, ale nie mam szczęścia do odczytu układu na płycie - oprogramowanie twierdzi tylko, że żaden układ flash nie jest podłączony. Sprawdziłem, że klip działa na innym chipie flash i tam jest w porządku.

Zawsze miałem problemy z pracą z układami flash na płycie, ponieważ gdy programator zasila układ, mikroprocesor również jest zasilany i zaczyna wchodzić w interakcję z układem. Widziałem okazjonalne miganie świateł podczas prób z CH341, więc do pewnego stopnia tak się dzieje.

Czy zrobiłeś coś specjalnego, aby tego uniknąć? I patrząc na zdjęcia, czy przewody zasilające są do czegoś podłączone podczas odczytu chipa?

bewilderbeest napisał:

Czy przewody zasilające są do czegoś podłączone podczas odczytu chipa?

negatywne. o ile pamiętam, był zasilany bezpośrednio z CH341, ponieważ to on przenosił moc.

Dodano po 1 [min]:

bateria wyjęta?

bewilderbeest napisał:

oprogramowanie po prostu twierdzi, że żaden układ flash nie jest podłączony.

Chociaż prawdopodobnie nie jest to rozwiązanie w tym przypadku, warto wspomnieć, że niektóre układy flash nie obsługują odczytu ID, podczas gdy nadal umożliwiają odczyt strony i flashowanie.
Zobacz: https://www.elektroda.com/rtvforum/topic4166606.html

sukces @bewilderbeest?

Brak wyjścia na ekran telewizora. Powód? 8-pinowe USB. Który pin łączy się z wyjściem TV?

Zdobyłem również 3 z tych klonów kamer SQ11. Dowiedziałem się, że obwód zabezpieczający baterię litową nie istnieje; to tylko dioda, więc bateria litowa ulega zniszczeniu po pierwszym naładowaniu do > 4,5 V. Puste miejsce na PCB jest prawdopodobnie dla regulatora 4,2 V. Przy napięciu około 3,4 V kamera przestaje nagrywać. Interesujące są nowe informacje o procesorze.

>>21863286 Akumulator w moim mieszka teraz w nowym domu na dnie słoika ze słoną wodą, ale ze zdjęć wynika, że ma własny pokładowy obwód ochrony akumulatora. Będę musiał go rozebrać, aby dowiedzieć się, czy jest prawdziwy.

Brak wyjścia na ekran telewizora. 8-stykowe USB. Który pin należy podłączyć do wyjścia TV?

zachariakassim napisał:

Brak wyjścia na ekran telewizora. 8-pinowe USB. Który pin podłączyć do wyjścia TV?

Nie wiem.

>>21216292

Jak podłączyć TV z tego układu scalonego? Załączając szczegóły pin IC. Ponieważ moja kamera TV nie działa.