Tiris DST+ vs. Virgin Dump

[Virus_KNet]

Парни привет всем. Есть следующая проблема. Авто Mclaren 570s с полной утерей ключей. Куплены два чистых ключа OEM. Транс детектится как DST+ 80 bit. Заполнены и залочены только page3 и 30. Мануфактурник/серийник и конфиг. Дамп блока SBC чистый у меня есть. Там проц 9s12 и епромина 24c65.. Вся бяка связанная с ключами явно лежит в eeprom. Зажигание включается, свистком от DIAGCODE захожу в keylearning, security access - ok, пишет мол зажмите на 5 секунд 2кнопки и статус ключа должен стать "active". Зажимаю - нихрена не происходит. Осциллом смотрю - происходит интенсивный обмен по lf антеннам кейлесс, потом тишина. Есть ощущение, что в чистом дампе где-то должен лежать ID ключа из page3, чтобы машина поняла, что ключ вообще от нее. Я не ключник ниразу. Может кто-то подскажет, куда рыть? Описания по DST толкового нигде не могу найти. Снифф кана в момент привязки даёт пару ответов на SID $2е "WRITE DATA BY IDENTIFIER" с ответом 7f. Явно что-то не совпадает. Прошу помощи, возможно на коммерческой основе.

[avital]

Для начала содержимое флэш и eeprom-файлов из 9s12 + 24c65 плюс CAN-логи для анализа.

[Girts]

Для начала содержимое флэш и eeprom-файлов из 9s12 + 24c65 плюс CAN-логи для анализа.

Так ему ключ прописать, а не эмулятор ставить.

Шуршит по антеннам кейлесс - хорошо, значит ищет ключ.
Ответ должен приходить по радиоканалу.
Смотреть что с приёмником, смотреть излучает ли ключ.
Бардак у них там в МакЛарене, как и у всех остальных, могут и впарить ключ не той частоты. Или не так VIN вбить в запросе на запчасть.

ЗЫ: был у нас тут салон этих макларенов рядом. На чём существовали - хз. Как то очередь не то что там не стояла, а вообще движухи небыло видно. Да и дороги у нас не те... Ща переквалифицировались на Lamborghini....
Наверное чтоб было.

[avital]

"Так ему ключ прописать, а не эмулятор ставить."

Никто здесь пока не говорит об эмуляторе, вы слишком быстро делаете выводы ...
Если есть файлы, они всегда могут помочь в анализе, запросы без данных немного неполноценны,
Если не сегодня, то в будущем они могут помочь в решении различных проблем после соответствующего анализа.
Кроме того, человек рекламировал, что у него есть анализатор и он умеет им пользоваться - грех было бы не посмотреть на логи в этом сообщении с попытки добавить ключ ...

[Virus_KNet]

Для начала содержимое флэш и eeprom-файлов из 9s12 + 24c65 плюс CAN-логи для анализа.

Так ему ключ прописать, а не эмулятор ставить.

Шуршит по антеннам кейлесс - хорошо, значит ищет ключ.
Ответ должен приходить по радиоканалу.
Смотреть что с приёмником, смотреть излучает ли ключ.
Бардак у них там в МакЛарене, как и у всех остальных, могут и впарить ключ не той частоты. Или не так VIN вбить в запросе на запчасть.
.

Ключ ввди читает на нужной частоте.. 433mHz по высокой. Дст datastream тоже идёт нормальный. Тангой смотрел. Разрешения ослика не хватает, чтобы посмотреть на входном каскаде блока по высокой частоте - что он там шлёт. Но что-то явно приемник видит, так как после зажатия двух кнопок начинается шорох по кейлесс антеннам. Сейчас скину трэйс и дампы. Трейс отдельно, дампы закрою паролем. В личку скину.

[Virus_KNet]

ТРейс и содержимое проц+еее+24с65.
Меня сейчас очень интересует, какой первый пэйдж должен лежать в ключе... Там ща FF. Мож поэтому она его и не ест.

[Girts]

По сути - пока не поставил локи, пиши в page0 всё что хочешь. Но пиши только его!
00.
Остальные страницы НЕ трогай!

ЗЫ - в ЛС ничего нет...

[Virus_KNet]

00 не бывает на сколько мне известно идентификатора. Там что-то своё должно быть. Но к сожалению нету ключа рабочего чтобы прочитать

[Girts]

00 не бывает на сколько мне известно идентификатора. Там что-то своё должно быть. Но к сожалению нету ключа рабочего чтобы прочитать

По идее, если там что то отличающееся от 00, оно коммуницирует ТОЛЬКО по паролю (P1). Тоесть, если два транспондера в одной машине, отвечать будет только тот, к которому обращаются с этим P1 в обмене.

Просто другие величины кроме как 00 на чистом транспондере как бы бессмысленны, если уж игратся с этим, то как раз с нулей и начинать.

[Virus_KNet]

00 не бывает на сколько мне известно идентификатора. Там что-то своё должно быть. Но к сожалению нету ключа рабочего чтобы прочитать

По идее, если там что то отличающееся от 00, оно коммуницирует ТОЛЬКО по паролю (P1). Тоесть, если два транспондера в одной машине, отвечать будет только тот, к которому обращаются с этим P1 в обмене.

Просто другие величины кроме как 00 на чистом транспондере как бы бессмысленны, если уж игратся с этим, то как раз с нулей и начинать.

Если я меняю 1p на 00 или на что либо ещё - абрик перестаёт читать транс. Пока не запишу обратно ff - error reading dst+. Машина тоже не принимает. А в смысле "только по паролю"? Если сравнивать с аналогами других "пользователей" dst, то чтобы предподготовить ключ, чтобы машина приняла его на момент привязки - там что-то должно быть. Причём это что-то должно быть как-то связано с последним байтом в поле три. По крайней мере битность (40/80) точно связана с последним байтом (1B) в моём случае

[Girts]

Неа, всё чуть не так.
Но тут матчасть, и её много, и она вряд ли относится к данной проблематике.
Абрик - ну, инструмент так себе...

Кстати, ключи под конкретное шасси покупались, или...?

[Virus_KNet]

Неа, всё чуть не так.
Но тут матчасть, и её много, и она вряд ли относится к данной проблематике.
Абрик - ну, инструмент так себе...

Кстати, ключи под конкретное шасси покупались, или...?

Под конкретную модель.
Инструменты-то есть. Vvdi к примеру. Танго. Но почему-то китайский клон абрика (FVDI2) читает чётче всего. Может из-за антенны круглой,я хз. Но разницы-то особой нет в данном случае. Мне кажется, машина его не принимаетсэ, поскольку нету пкрвого пейджа. Могу ошибаться, но она как-то должна понять, что ключ от макларена, а не от киа или тойоты. Т. Е. Или в новом дампе должны лежать ID, то бишь Page 3, или в ключе должно быть что-то, что поймёт бодик. А там вариантов не много. Хотя с матчастью ключей у меня напряженка. Инфы нету толком

[Virus_KNet]

Для начала содержимое флэш и eeprom-файлов из 9s12 + 24c65 плюс CAN-логи для анализа.

Приветствую. Смотрели что-то? Я уже упёрся. Сиду чешу затылок, и не понимаю с какой стороны к нему подойти. Уже пробовал другие firmware блоков. Таже история (

[Virus_KNet]

Изучил внимательно лог каншины, на попытки записи 2E у меня вылетает 7f 33. Security access denied. А в логе ничего кроме 10 03 Extended Session я не вижу. Ни намёка на что-то типа 27 01... Чёт мне кажется, что если валидный ключ есть, то этот свисток от Diagcode ключ добавит просто по расширенной сессии, но если ни одного ключа нет, то нужен какой-то уровень доступа по 27 01. Завтра попробую послать ему эту команду, интересно, как отреагирует...

[avital]

Я также сосредоточился на связи CAN, В вашем лог есть процедура seedk/key 27/67.
0x33 может указывать на проблему при использовании команды 0x2E, описание кода 33 неоднозначно и может быть расширено в зависимости от конкретной реализации, oднако после неудачной команды 0x2E следует команда Routine Control (0x31) которая, вероятно, должна выполнять операцию добавления ключа в систему.
на данном этапе хороша любая теория, и та которая говорит что BCM по какой-то причине не принимает ключ, и та которая говорит, что у Diagcode есть какая-то ошибка в программном обеспечении или что ключ можно добавить только тогда, когда один ключ распознается системой immo (это легко проверить, обратившись в службу поддержки DIAGCODE). На данный момент у меня еще нет достаточных результатов анализа кода 9S12 с точки зрения парсера UDS чтобы сделать достоверный тезис о причинах отказа от команды 0x2E.

[Virus_KNet]

Я также сосредоточился на связи CAN, В вашем лог есть процедура seedk/key 27/67.
0x33 может указывать на проблему при использовании команды 0x2E, описание кода 33 неоднозначно и может быть расширено в зависимости от конкретной реализации,

Вы правы. Я вчера видимо сильно уже задолбавшийся был. Проглядел $27. У меня есть предположение, что 01 уровень доступа достаточен, при ДОБАВЛЕНИИ ключа. При записи нового, возможно нужен уровень выше. Но я не имею никакого понятия пока о логике расчета key по seed. В мерсах для этих целей есть кальки...)) Что касается флага отказа 33 - я не нашёл иного толкования кроме Security Access denied. Единственное, что нашёл где-то упоминание о том чтотпроцдура записи 2E в определённых областях может быть ограничена по числу включения зажигания... Завтра попробую ещё раз записать полностью чистый дамп в проц/еее и 24c65 и прогнать все процедуры за один цикл зажигания. Мало ли...

oднако после неудачной команды 0x2E следует команда Routine Control (0x31) которая, вероятно, должна выполнять операцию добавления ключа в систему.

Она почему-то зациклена. Всё время пока эта процедура запущена - идет однообразный обмен в кан, и переодически накачка антенн keyless. Вероятно так и должно быть. Но нашел еще один нюанс. На видео от Diagcode которое иллюстрирует добавление ключа, в начале процедуры видно
"Security Access..."
"OK"
У меня этот "OK" не появляется. Просто переходит в процедуру добавления ключей. Там написано, что "убедитесь, что все ключи помечены как MARKED, для добавления уже существовавшего клбча нажмите кнопку закрыть. Для добавления нового - нажмите и удердивайте более 5-ти секунд кнопку открытия+багажник. Статус ключа должен стать ACTIVE. Вот в моем случае там все три поля VIRGIN. Попробую завтра залить оригинальный дамп и посмотреть, что происходит в кан при попытке зайти в процедуру добавления ключа. Поскольку в саму процедуру на старом дампе войти не получалось.

на данном этапе хороша любая теория, и та которая говорит что BCM по какой-то причине не принимает ключ, и та которая говорит, что у Diagcode есть какая-то ошибка в программном обеспечении или что ключ можно добавить только тогда, когда один ключ распознается системой immo (это легко проверить, обратившись в службу поддержки DIAGCODE).

Диагкоду я все имеющиеся результаты скинул, пока молчат. Но перед покупкой прибора я специально уточнял, возможно ли сделать процедуру по all key lost. Они сказали да. Но нужно будет залить чистый дамп и нужны новые ключи. Всё есть. Результата нет. Они пробовали по энидеск - тоже не получилось. Рекомеовали найти другой ключ попробовать. Чуть не обматерил... У нас же в Беларуси на них за картошкой ездят. На каждом углу макларены...

На данный момент у меня еще нет достаточных результатов анализа кода 9S12 с точки зрения парсера UDS чтобы сделать достоверный тезис о причинах отказа от команды 0x2E.

Мне еще очень интересно, но пока так иине разобрался что именно и куда она пытается записать? 04 2Е 02 81 01. Вот что такое 02 к примеру? 01 int flash 02 eeprom? 81 01? Пока туплю. Раньше как-то не доводилось так глубоко лезть.
P. S. Спасибо за то, что пытаетесь помочь. С этим сейчас туго везде...

[Girts]

А что там с аварийной антенной?
Кейлесс кейлесом, но должны же быть варианты если батарейки сдохли?
Ибо это вроде как две разные вещи.
Бывало и такое, что на каких то авто приходилось сначала делать транспондер, им авторизовать всю эту лабуду, а потом уже прописывать ключи по кейлесс.
Может что то упустил, но кажется, что про это тут ни слова небыло.

Пустой дамп - ну... тут тоже относительно, если у вас в нём номер шасси, то он уже и не пустой, а под машину...

[Virus_KNet]

Дабл ять... Старая буква русского алфавита. Решил на время экспериментов забэкапить блок гейтвея на закрытой 9s12, vvdi её почему-то только с третьего раза открыл, сохранил d/p flash, eee, закрыл обратно и всё. Блок больше не на связи. Кварц молчит. Питания на точках подключения прогера есть. Проц программатором читается security снимается и ставится толку 0... дичь какая-то... Могло что-то свалить vvdi при обходе защиты? Хотя даже если что-то свалило - кварц же должен запускаться?

[Virus_KNet]

А что там с аварийной антенной?
Кейлесс кейлесом, но должны же быть варианты если батарейки сдохли?
Ибо это вроде как две разные вещи.
Бывало и такое, что на каких то авто приходилось сначала делать транспондер, им авторизовать всю эту лабуду, а потом уже прописывать ключи по кейлесс.
Может что то упустил, но кажется, что про это тут ни слова небыло.

Пустой дамп - ну... тут тоже относительно, если у вас в нём номер шасси, то он уже и не пустой, а под машину...

В чистом дампе блока SBC вина нет. Не вина не конфигурации. Есть там что-то под ключи - понятия к сожалению не имею (( у меня изначально вопрос и стоял не должно ли в дампе быть где-то ID нового ключа. То есть Page3 транспондера TIRIS DST+. Поскольку в новых ключах всё чистое, кроме Id/manufacture (page 3) и Config (page 30). Аварийная антенна при входе в программирование ключа накачивается. Осциллом вижу. Уде пробовал снять её с крепления и пихать ключ прям в неё. Бестолку. Да и наверное не будет толку, раз судя по кан - не проходит олна их операций по записи чего-то в память...