Exploit de audio funcionando con TODO

Hola a todos.

Bien, como sabeis el exploit de audio para el dashboard solo permite arrancar Linux, incluso aunque firmeis un XBE con el xbedump y con la opción -audio, os dará error 21.

Aqui os cuento una forma de conseguir que arranque todo, pero antes os voy soltar un poco de rollo tecnico, quien quiera que baje y se lo salte, que al final hay un resumen.

Hace unos días me leí la explicacion de xbox-linux (http://xbox-linux.sourceforge.net) sobre como funcionaba el exploit del 007, resulta que lo que hace es cambiar la clave pública de la XBox en memoria haciendo que sea divisible por 3, con lo que es facilmente factorizable y se puede hallar sin problemas una clave privada para firmar los .xbe para que carguen con este exploit. Por ejemplo hay una versión del xbedump que permite firmar los .xbe con la opcion -habibi para usarlos con este exploit.

Aunque ya tengo chip quería trastear con el exploit este por que lo encuentro de los más comodos que hay, lo activas cuando quieras, no salta solo al encender la consola. Estuve probando, y como no, solo conseguía arrancar Linux hiciese lo que hiciese, incluso firmando el ejecutable con el xbedump y la opción -audio, me dí cuenta que al firmarlo asi, la firma cambiaba, lo que quiere decir que el xbedump no usa una clave privada correcta para firmar el ejecutable para este exploit.

Asi que me puse a intentar averiguar la clave pública que usaba este exploit.

Al decompilar el exploit hay una parte de código que es casi calcada del exploit del 007, donde modifica la clave pública de la XBox, misteriosamente parece que cambia la clave exactamente igual que el exploit del 007, sin embargo un .xbe firmado con la clave del 007 no carga.

Como me cargue el fichero ST.DB en mi PC, por no volver a buscarlo, lo transferí desde la XBox al ordenador y misteriosamente era diferente, y se podía ver como cambiaba de verdad la clave.

Si veis el documento de xbox-linux vereis que hace un XOR a la clave pública de la XBox con el número 2DD78BD6, sin embargo este exploit aunque al principio parece hacer lo mismo en realidad lo hace con 3DD78AC2, comprobé a ver si esta clave pública por fin era la verdadera que usaba y asi es, la firma de linux.xbe se podía comprobar que era correcta. Pero lo malo es que el exploit del 007 hacía que la clave fuese divisible entre 3, sin embargo esta clave hice algunas pruebas para factorizarla y no parece que lo hayan puesto tan facil

O sea, que se que clave pública usa el exploit, pero como no tengo la privada no puedo firmar los .xbe, bien, trate de cambiar el valor 3DD78AC2 por el del otro exploit, y nada, el linux.xbe arrancaba perfectamente, pero nada más

Pasaban 2 cosas, o esa parte de código era un señuelo y no se ejecutaba nunca o se modificaba en alguna parte por si alguien intentaba hacer lo que había hecho yo. Resulta que es la segunda opción.

Leyendo el código me di cuenta que un poco más abajo había instrucciones que no valían para nada, asi que probé a cambiarlas a NOP, bien, el exploit seguía funcionando normalmente. Asi que aproveche esa zona, que parece ser que no estaba protegida por el exploit, haciendo otro XOR para dejar finalmente la clave pública de la XBox como la deja el exploit del 007.

¡¡Y FUNCIONÓ!!

Asi ya se pueden ejecutar cualquier .xbe firmado con la clave del 007

Bueno, y ahora en el siguiente post (que este ya es muy largo), el resumen de como hacer esto.