UA-102556695-1

檢調單位,或是一般資料救援公司.在手持行動裝置做物理層數位鑑識跟資料恢復.
有時要做IC拆解 (Chip off).這技術其實非常簡單.簡單說就是將EMMC ,EMCP吹焊下在貼上SD  轉卡上

 

真正難度高的是怎樣不破壞手機找出 eMMC PCB上的腳位?來做物理提取.

可以利用ATF 設備來做這個eMCC pin腳掃描.
必須要了解一個狀況 如果只要讀取EMMC 必要腳位為
VDD 正極供電
VSS 接地
上面簡單. 所以重點在於下面三個腳位
CLK (Clock)
CMD  (Command) 
DO  (SPI Serial Data Out )[MISO]

可能支援的手機 Qualcomm, Exynos, Marvell, Broadcom  based Phone
以下翻譯自 http://www.gsmlover.com/advance-box/196815-atf-emmc-test-pin-finder-tutorial.html

ATF 設備接口為  RJ 45口.先準備與探針連接, 8號線為測點棒.

 ㄝㄚ

TP Cable for ATF Nitro / Lightning for Spreadtrum Based Phones

簡單 Spreadtrum TP 尋找線纜 for ATF Nitro and Lightning

怎麼找 CLK and CMD

*請拿起筆記並遵守上面的項目步驟嘗試尋找CLK/CMD

1.請確認有確實且正確接上正極與負極

2.確保電源按鈕始終按壓
3.請勿將USB連接到手機
3.在PCB上每個可能的位置至少2次嘗試
4.不要在電阻上施加太大的力量!
5.並非所有手機都在PCB上都有暴露EMMC EMCP CLK或CMD腳位。
  因此也不是所有的手機都支援這種腳位尋找方法。

 

步驟一

先將手機電源掛載後之後使用橡皮筋或其他方法長按電源按鈕

 

第二步

為方便起見,設置ATF軟體,如REPEAT和INTERVAL
REPEAT <—TP Finder將自動循環次數
INTERVAL <—TP Finder延遲秒數

第三步

將測試點PIN連接到eMMC區域周圍電話PCB上的電阻/ 或焊盤。

等待消息「請檢查其他位置…」顯示時候,然後再嘗試其他TP位置

在ATF BIG Chrome Box上,當綠色LED熄滅時,更改TP位置

在ATF Nitro / Lightning Box上,當藍色LED熄滅時,更改TP位置

在本例中,嘗試了所有標有RED的位置

不要嘗試EMMC旁的電容,他永遠不會連接CLK和CMD

電容器顏色為棕色

電阻器顏色為黑色

僅適用於eMMC區域周圍的電阻和測試點

 

當找到正確的測試點時,您將在下面看到類似的消息。

該消息還會顯示ATF RJ-45 Socket的PINOUT,用於正確連接發現的測試點。

如果在eMMC區域周圍找不到測試點,可以嘗試在CPU區域周圍尋找。

第四步:如何找到VccQ

在嘗試找VccQ之前,請注意以下訊息:

1.您必須首先使用第二步找到CMD引腳

找到CMD引腳分配時,VccQ始終位於CMD電阻測試點的另一側。

如果您想為VccQ找到更好的位置,以方便焊接,那麼您可以在連續性上使用Multitester。測試並檢查eMMC周圍的哪些電容器會在「VEEQ測試點」測試時「BEEP」

CMD電阻的對面。

以下是使用針對CMD電阻器上的VccQ測試點的連續性測試發現的其他VccQ位置的範例。

對於VccQ的電壓值,可以使用1.80V或2.80V。

如果您想知道要使用的精度電壓,則可以使用多功能直流電壓測試來檢查

是當USB電纜連接到PCB時,VccQ獲得的實際電壓。 有時電壓

出現不到5秒鐘,所以一定要抓住它,請別人連接USB

將紅色和黑色插腳定位在電話PCB上。

 

第五步:

如何找到Vcc

<<<對於基於高通的手機,您不需要VccQ和VCC >>>

<<<只需要將USB電纜連接到電話PCB >>>

<<<如何查找數據測試點>>>進入步驟5

不要使用步驟中的TP電纜來查找VCC。

尋找VCC需要您可以使用另一個TP電纜

eMMC接外接電源

您需要使用3.30v上的TEST POINT PIN來準備外接電源像這樣:

逆向JTAG 腳位

翻譯轉載自 http://www.100randomtasks.com/jtag-pin-finder

維多利亞警察局 -數位鑑識部聯繫詢作者,是否知道一種方法來逆向分析手機上的JTAG 協議腳位.
這樣就跳過系統密碼與保護取得完整手機內部的資料.

 

image

image

硬件非常簡單 作者使用了一個Parallax Propeller微控制器連接到一個FT232 USB 。
選擇了Propeller,因為它很容易通過USB編程和調試,以及它有28個空閒引腳用於接口。與手機的接口是為了電流限制目的,與被測試的引腳串聯的不超過100歐姆的電阻器。此外,一個10K電阻從每個通道引腳連接到一個自由IO引腳。這允許獨立地將未使用的通道引腳拉高或拉低。由於嗅探器有12個通道,24個IO引腳連同2個用於UART,2個用於32K EEPROM,共有28個使用引腳和4個空閒引腳。

用其他微處理器也很容易達成這樣架構。

軟件是單元的核心。其核心是用於測試的組合陣列。我花了一些時間研究組合,看不成功的算法生成可能的組合。我發現很多網站描述了可能的組合的總數,在我的情況下,我需要可能12行的4行組合的數量,順序很重要。這總共是11880可能的組合。我找到一個網站(鏈接到這裡)列出了所有的組合為我,並有一個方便的選項,將其保存為一個文件。所有剩下要做的就是寫一個小的VisualBasic.NET程序來解析文件,並以Propeller可用的二進制格式保存數據。由於我有12個通道,每個組合項將適合一個半字節。因此,每個組合消耗2字節的存儲器,並且由於存在11880個組合,需要總共23,760個字節來存儲在Propeller上的所有可能的組合。因此對於第一組合(0,1,2,3) – 字節0 = 0x01,字節1 = 0x23。這就是為什麼我選擇12行,而不是更多。當您添加更多行時,可能的組合呈指數增長。例如:13行 – 17160,14行 – 24024,15行 – 32760,16行 – 43680.由於螺旋槳有32K RAM在船上,12行的存儲器是它可以直接保存的最多。

    固件的基本操作如下:

     – 從內存加載第一個組合
     – 將輸出的TCK,TMS,TDI通道引腳和TDO引腳設置為加載組合指定的輸入。
     – 將所有通道10K電阻設置為上拉,以防止浮動引腳。
     – 重置設備TAP。
     – 掃描可能的設備。如果未檢測到設備,請加載下一個組合。
     – 如果ID命令已知,請將ID命令發送到設備並讀回ID代碼。
     – 如果ID命令未知,請重置設備,並直接移至Shift-DR狀態並讀取ID代碼。
     – 如果ID代碼等於0xFFFFFFFF或0x00000000,則丟棄該組合併加載下一個組合。
     – 如果發現可能有效的代碼並且已知ID命令,則在重置後直接重新讀取ID代碼
        確認代碼匹配。如果它們不匹配,則丟棄組合併加載下一個組合。
        如果它們匹配,請保存組合和ID代碼。
     – 如果發現可能有效的代碼並且ID命令未知,請保存要在其後列出的組合和ID代碼
        所有組合都已嘗試。
     – 一旦嘗試了所有組合,列出所有可能的組合。

    移動到和離開各種TAP狀態的細節可以非常容易地在線找到,因此我不在這裡討論TAP控製或基本JTAG操作的細節。

    添加到固件的一個附加功能是輸入要使用的未知通道的數量。通過這樣做,固件將跳過包括未使用的任何通道的任何組合。這將根據使用的通道數加快搜索過程。

image

JTAG Pin Finder連接到三星手機之一

   

JTAG部分集中在設備中包含的ID字。根據IEEE 1149.1規範,ID命令是可選的,但大多數(如果不是所有)製造商實現該命令。在復位TAP之後,ID代碼自動加載到數據寄存器中。如果將TAP移動到Shift-DR狀態,則可以輸出ID代碼。
    這是固件在不使用指令寄存器的情況下搜索可能的組合的方式。這種方法的缺點是,它可能導致找到多個組合。但是,通過檢查找到的組合,您可以推斷要聚焦的引腳。如果你看看右邊的圖像,你會看到固件找到6種可能的組合。這是在上面顯示的手機上。您可以看到TCK和TDO引腳在所有組合上是相同的,並且TMS對於6個組合中的3個是相同的,這將是一個好的猜測,它是正確的引腳。最後,TDI引腳是通道0,4或6.因此,從完全在黑暗中與未知標頭,固件已經將選項減少到只有3。

    這是未知設備的搜索選項,向下滾動到下一部分以查看固件如何解析

找到未知引腳的最好方法是使用ID命令。為了以這種方式進行搜索,需要知道兩件事:指令寄存器的長度和ID命令值。這兩個都可以在邊界掃描描述語言文件或BSDL文件中找到。除了這兩個要求之外,BSDL文件還將包含ID代碼值。這是偉大的,因為當固件找到有效的組合時,它增加了另一個級別的置信度。
    在右邊的示例中,三星SCH-i910手機使用PXA312處理器。在線搜索後,BSDL文件指定了11位的指令寄存器寬度,ID命令為0x04,ID代碼為0x2E649013。
    將兩個要求插入軟件並開始搜索,得到的組合如右所示。正如你可以看到的ID代碼是確切的,只有一個有效的組合找到,這也是正確的。

延伸參考
http://hackaday.com/2016/12/15/the-many-faces-of-jtag/

Thx Chang

Author Thx Chang

More posts by Thx Chang

Join the discussion 3 Comments

Leave a Reply