有道词典笔s6刷机的探索

[3588044667HZ]

最近入手了一款有道词典笔s6 (ydps6-1),总之我把它拆开了，发现了它里面有一个cv1835芯片，没发现其他像主控的东西，所以我们可以合理推测它就是主控，毕竟它有

所以我去看了文档，发现它有量产工具，但是驱动问题我暂时没有解决。没有思路但想折腾的可以顺着我的思路做

[Nolanac-MC]

我是s6，但是ADB都连不上（密码不对）咋办

[XSMiracle]

这个sha256值在cmd5.com好像有解密结果，但是那个网站最低100元100条结果（）

[d0j1a1701]

解密结果是「CherryYoudao」

[HurricaneDD]

解密结果是「CherryYoudao」

6代就是这个？

[WINFMEMZ2020]

解密结果是「CherryYoudao」

6代就是这个？

错误的，这是3代的密码。因为现在知道3代的密码，所以提取了adb验证脚本放在这里做示例。

[HurricaneDD]

解密结果是「CherryYoudao」

6代就是这个？

错误的，这是3代的密码。因为现在知道3代的密码，所以提取了adb验证脚本放在这里做示例。

好的，

[3588044667HZ]

另外，补充一下我后来的发现，把词典笔长按home键链接上电脑，打开chipgenius会显示如下信息：

[3588044667HZ]

更正是cv1826芯片，我们可以通过fiddler的转发规则来让它更新一个我们编译好的包，不知道这样行不行

[d0j1a1701]

有无解包器
我抓到全量了
但 RK 那个不能用

[3588044667HZ]

主控不是rk的所以rk的肯定不能用，解包器我 暂时没找到，但是官方（晶视）好像有打包镜像的工具链，不知道能不能逆向一个解包器

[SimpleJony]

有无解包器 我抓到全量了 但 RK 那个不能用

能提供一下全量包吗 想用找到的工具链来研究一下如何解包

[SimpleJony]

有无解包器 我抓到全量了 但 RK 那个不能用

能提供一下全量包吗 想用找到的工具链来研究一下如何解包

我有 抓到的全量 123盘链接

好的 谢谢了

[d0j1a1701]

[SkySight-666]

我可以试试吗（有无救砖方案？）

[Nolanac-MC]

我可以试试不（手头上有s6）

[3588044667HZ]

主控一样吗，我这是晶视cv1826

…

________________________________ 发件人: Lewis Lucas ***@***.***> 发送时间: 2024年3月10日 16:03 收件人: PenUniverse/PenMods-release ***@***.***> 抄送: 3588044667HZ ***@***.***>; Author ***@***.***> 主题: Re: [PenUniverse/PenMods-release] 有道词典笔s6刷机的探索 (Discussion #178) 我已经完成了一个修改版的 4.0.2 全量包，你能否试试把它安装一下？ 如果安装成功，ADB 密码会变成「d0j1a1701」 ― Reply to this email directly, view it on GitHub<#178 (comment)>, or unsubscribe<https://github.com/notifications/unsubscribe-auth/BDXZIT45BVTMOBTXORELQY3YXQHURAVCNFSM6AAAAABCYRCN5KVHI2DSMVQWIX3LMV43SRDJONRXK43TNFXW4Q3PNVWWK3TUHM4DOMZUGIZDK>. You are receiving this because you authored the thread.Message ID: ***@***.***>

[3588044667HZ]

我发现某些词典笔有测试选项，具体就是打开ADB，然后点击存储界面9下，反正我的笔是这样
然后就会发现一个测试选项，但是需要密码。

[HurricaneDD]

我发现某些词典笔有测试选项，具体就是打开ADB，然后点击存储界面9下，反正我的笔是这样 然后就会发现一个测试选项，但是需要密码。

什么是你说的测试选项。我这个p6 pro倒是有个“调试模式”，进去之后里面写着“上传日志/关机/开启后五分钟将自动关闭”，是这个吗

[3588044667HZ]

差不多

[3588044667HZ]

还记得最新的auth脚本吗，chatgpt说：这个设定是一个脚本，首先判断/tmp/.adb_auth_verified文件是否存在，如果存在则输出"success."并返回，如果不存在则要求用户输入密码进行验证，最多允许输入3次密码。每次输入密码后，脚本会将密码进行sha256加密，然后与/usr/bin/adb_auth.sh文件中存储的加密密码进行比较，如果匹配则输出"success."并创建/tmp/.adb_auth_verified文件，并返回。如果密码不正确则输出"password incorrect!"。
我们能不能想个办法让它有adb_auth_verified文件来绕过密码

[WINFMEMZ2020]

这个方法倒是很多，比如在init.d里扔个sh脚本让它touch这个文件。但adb是我想到的除刷机外修改这些内容的唯一方法。
不过应该也可以试着提取出这东西的固件，修改完了再刷回去（猜想）

[3588044667HZ]

通过抓包知道，词典笔除了更新其他网络传输都走的https
我知道以下几个域名：
1，dictpen-appstore.youdao.com: type AAAA, class IN
2，hardware-app.youdao.com: type AAAA, class IN
3，dict.youdao.com: type AAAA, class IN
4，rlogs.youdao.com: type AAAA, class IN
5，iotx-haas-linkin3.oss-cn-shanghai.aliyuncs.com: type A, class IN
6，hardware-push-server.youdao.com: type A, class IN
7，1.pool.ntp.org: type A, class IN
8，2.pool.ntp.org: type A, class IN
9，connect.rom.miui.com: type A, class IN
10，hw-package-manager.youdao.com: type A, class IN
11，iotapi.abupdate.com: type A, class IN
还有一个时不时就有的http请求：
http://connect.rom.miui.com/generate_204

[Redbeanw44602]

通过抓包知道，词典笔除了更新其他网络传输都走的https 我知道以下几个域名： 1，dictpen-appstore.youdao.com: type AAAA, class IN 2，hardware-app.youdao.com: type AAAA, class IN 3，dict.youdao.com: type AAAA, class IN 4，rlogs.youdao.com: type AAAA, class IN 5，iotx-haas-linkin3.oss-cn-shanghai.aliyuncs.com: type A, class IN 6，hardware-push-server.youdao.com: type A, class IN 7，1.pool.ntp.org: type A, class IN 8，2.pool.ntp.org: type A, class IN 9，connect.rom.miui.com: type A, class IN 10，hw-package-manager.youdao.com: type A, class IN 11，iotapi.abupdate.com: type A, class IN 还有一个时不时就有的http请求： http://connect.rom.miui.com/generate_204

除了更新都走的https? 多少有点搞笑了这😅

generate_204是检测网络连通性的

[3588044667HZ]

确实搞笑，除了更新全是https

[SkySight-666]

省流:偶然找到有道内部开发人员在CSDN留下的开发日记（S6）

类似的链接有
https://blog.csdn.net/wb4916/article/details/129856884
https://blog.csdn.net/wb4916/article/details/130158659
https://blog.csdn.net/wb4916/article/details/130628593
https://blog.csdn.net/wb4916/article/details/130817234
CSDN用户：
https://blog.csdn.net/wb4916

估计没什么用，就挂着看看

[3588044667HZ]

通过扫描端口发现9307端口是开放的

[SimpleJony]

从上面得到的全量包的img文件，尝试用sdk里面的cimg2raw.py转换，得到如下结果

说明这个全量包不是cvitec的img格式，不知道网易又对img做了啥

[SimpleJony]

该全量包的文件头，貌似img被网易加密了？

[SimpleJony]

可用binwalk对img进行拆分，可得到很多东西
查到密码的sha256值为: 9de0341eb0ac432ecf39b72a0ddf4ac9a5dfb01828c0728dee474a573810a51f
(好像大家都知道了?)

[SimpleJony]

看你们在这浪费生命感觉还是说一下比较好

1. 依你的意思，并不需要打包或者解包，patch原镜像即可达到修改目的 但是...(参见3)
2. 哈希碰撞也是真敢想。我建议你最好算一下一共有多少可能性，以及你的暴力碰撞速度，总之就是算一下大概要多久能撞出来，做事前没有打算是愚蠢的
3. 换包骗更新服务器这个思路也是大概率不可行，如果可行那也是重大安全事故了，哈哈！如果与更新服务器的通信协议是http，那么你可以拦截响应，但_一般来讲_对于更新包都存在签名校验；如果是https，那么恭喜你，你无法修改响应，除非你把你的自签根证书放到客户端的SystemCA库里面，但这样的话你需要能够修改系统才行，哈哈回到原点了...

给你们指一点（可能有戏）的明路：

1. 看看有没有厂商深刷口，直接读写底层
2. 拆机，物理攻击（误）直接读写Flash
3. 反编译系统（的关键进程）看看有没有别的backdoor可以利用——已经有了个adb我猜大概率没有
4. 反编译系统（的关键进程）看看有没有什么漏洞
5. 利用当前版本kernel未修复的漏洞...
6. 卖掉笔买个型号老点的（推荐二代三代）🤣

谢谢大佬指点，kernel这方面想过一点😂，感觉4.19的漏洞都没那么好应用

[SkySight-666]

看你们在这浪费生命感觉还是说一下比较好

1. 依你的意思，并不需要打包或者解包，patch原镜像即可达到修改目的 但是...(参见3)
2. 哈希碰撞也是真敢想。我建议你最好算一下一共有多少可能性，以及你的暴力碰撞速度，总之就是算一下大概要多久能撞出来，做事前没有打算是愚蠢的
3. 换包骗更新服务器这个思路也是大概率不可行，如果可行那也是重大安全事故了，哈哈！如果与更新服务器的通信协议是http，那么你可以拦截响应，但_一般来讲_对于更新包都存在签名校验；如果是https，那么恭喜你，你无法修改响应，除非你把你的自签根证书放到客户端的SystemCA库里面，但这样的话你需要能够修改系统才行，哈哈回到原点了...

给你们指一点（可能有戏）的明路：

1. 看看有没有厂商深刷口，直接读写底层
2. 拆机，物理攻击（误）直接读写Flash
3. 反编译系统（的关键进程）看看有没有别的backdoor可以利用——已经有了个adb我猜大概率没有
4. 反编译系统（的关键进程）看看有没有什么漏洞
5. 利用当前版本kernel未修复的漏洞...
6. 卖掉笔买个型号老点的（推荐二代三代）🤣

是的它有OTA校验，我甚至发现了它用于校验的二进制文件

我看看能不能逆向出来 或者下次升级的时候抓个包看看
s6几百年不更新了

[SkySight-666]

看你们在这浪费生命感觉还是说一下比较好

1. 依你的意思，并不需要打包或者解包，patch原镜像即可达到修改目的 但是...(参见3)
2. 哈希碰撞也是真敢想。我建议你最好算一下一共有多少可能性，以及你的暴力碰撞速度，总之就是算一下大概要多久能撞出来，做事前没有打算是愚蠢的
3. 换包骗更新服务器这个思路也是大概率不可行，如果可行那也是重大安全事故了，哈哈！如果与更新服务器的通信协议是http，那么你可以拦截响应，但_一般来讲_对于更新包都存在签名校验；如果是https，那么恭喜你，你无法修改响应，除非你把你的自签根证书放到客户端的SystemCA库里面，但这样的话你需要能够修改系统才行，哈哈回到原点了...

给你们指一点（可能有戏）的明路：

1. 看看有没有厂商深刷口，直接读写底层
2. 拆机，物理攻击（误）直接读写Flash
3. 反编译系统（的关键进程）看看有没有别的backdoor可以利用——已经有了个adb我猜大概率没有
4. 反编译系统（的关键进程）看看有没有什么漏洞
5. 利用当前版本kernel未修复的漏洞...
6. 卖掉笔买个型号老点的（推荐二代三代）🤣

看来还真的要重大安全事故了
包的MD5值是和更新信息一起返回回来的 还是http

只不过有分段MD5

[Redbeanw44602]

大哥你能不能看清我说的是啥，能分清完整性校验和签名校验吗？

[SkySight-666]

大哥你能不能看清我说的是啥，能分清完整性校验和签名校验吗？

明白了，谢谢

[SkySight-666]

最近入手了一款有道词典笔s6 (ydps6-1),总之我把它拆开了，发现了它里面有一个cv1835芯片，没发现其他像主控的东西，所以我们可以合理推测它就是主控，毕竟它有 所以我去看了文档，发现它有量产工具，但是驱动问题我暂时没有解决。没有思路但想折腾的可以顺着我的思路做

关于量产工具 文档我发现他 cv 181x 2x 3x通用 鉴于 cv181x 有开源硬件 量产工具和驱动应该不难找 可是我找了一个晚上没找到（包括翻了他们的ftps服务器）估计得找客服了 233

[3588044667HZ]

https://doc.sophgo.com/cvitek-develop-docs/master/docs_latest_release/CV180x_CV181x/zh/01.software/BSP/SDK_Compilation_and_Usage_Guide/build/SDKCompilationandUsageGuide_zh.pdf
找到编译镜像的官方文档了，但是是用sd卡烧录
还有一个官方文档
https://doc.sophgo.com/cvitek-develop-docs/master/docs_latest_release/CV180x_CV181x/zh/01.software/BSP/U-boot_Porting_Development_Guide/build/U-bootPortingDevelopmentGuide_zh.pdf
还有上面南棱笑笑生的几个编译记录
https://blog.csdn.net/wb4916/article/details/134206586
https://blog.csdn.net/wb4916/article/details/134246997

[SkySight-666]

我找到量产工具了

在野火 的 Luban Cat Cvi 系列产品的资料网盘下

云盘资料下载
百度云链接：https://pan.baidu.com/s/1r8w-XCxIHvHTS2CuONzaTw?pwd=sft5 提取码：sft5

源 文档链接

我也转存了一份

123盘链接

[SkySight-666]

[d0j1a1701]

你往你改的脚本加一个 echo "patched!" 看看这个会不会输出

另：你用什么方法修改返回？ARP Spoof 还是代理

[SkySight-666]

你往你改的脚本加一个 echo "patched!" 看看这个会不会输出

另：你用什么方法修改返回？ARP Spoof 还是代理

Windows 热点+ 修改hosts （arp欺骗貌似也可以）

[SkySight-666]

你往你改的脚本加一个 echo "patched!" 看看这个会不会输出

另：你用什么方法修改返回？ARP Spoof 还是代理

我改的不是 adb_auth.sh 感觉加了输出前端也不会识别显示出来 awa

[SkySight-666]

我感觉直接改rec模式下提到的全量（99.99.91）用来OTA欺骗可能会寄 因为我发现这个包居然没给 ab 更新

如果是普通增量包的话我实在不知道要改什么了

[SkySight-666]

我发现，如果将Version 设置为4.0.3，那么就会得到一个 4.0.4的新版本，而 Version 为 4.0.2 则不会有这个版本存在。同时 ,如果 Version 为 4.0.1 ，那么检测到的最新版本将为 4.0.2 。在这个 4.0.4 的OTA包中，更新了几乎所有的系统程序包（miniapp） 以及往SSL文件夹中添加了一张证书。

这是什么情况 ，难道4.0.3和4.0.4是内测版本？

[Redbeanw44602]

该不会偷偷把漏洞修了，笑死

[SkySight-666]

我发现，如果将Version 设置为4.0.3，那么就会得到一个 4.0.4的新版本，而 Version 为 4.0.2 则不会有这个版本存在。同时 ,如果 Version 为 4.0.1 ，那么检测到的最新版本将为 4.0.2 。在这个 4.0.4 的OTA包中，更新了几乎所有的系统程序包（miniapp） 以及往SSL文件夹中添加了一张证书。

这是什么情况 ，难道4.0.3和4.0.4是内测版本？

至于这个 4.0.3 是我在重刷全量包获取adb密码后，打开系统更新界面后突然被修改的 原来是 4.0.2

[SkySight-666]

该不会偷偷把漏洞修了，笑死

乐

[SkySight-666]

我发现，如果将Version 设置为4.0.3，那么就会得到一个 4.0.4的新版本，而 Version 为 4.0.2 则不会有这个版本存在。同时 ,如果 Version 为 4.0.1 ，那么检测到的最新版本将为 4.0.2 。在这个 4.0.4 的OTA包中，更新了几乎所有的系统程序包（miniapp） 以及往SSL文件夹中添加了一张证书。

这是什么情况 ，难道4.0.3和4.0.4是内测版本？

为什么要替换掉一张完全一样的证书？

我不理解

[XiaoLiuGithub1]

蹲一个X5破解方案
话说X5好像是RK方案的？

[SkySight-666]

蹲一个X5破解方案 话说X5好像是RK方案的？

理论上词典笔OS用OTA的方案是通用的？
就看有道修不修了