Hackujeme linuxové TV značky LG

12.10.2012 23:45 | Přečteno: 7453× | Hardware | | poslední úprava: 13.10.2012 12:50

V dnešnom blogu sa najskôr pozrieme na NEC IR protokol používaný v diaľkových ovládačov LG. Naprogramujeme si jednoduchý diaľkový ovládač s jedinou funkciou servisného ovládača. Pomocou neho sa dostaneme do sevisného/štartovacieho menu kde je možné zapnúť zablokované funkcie z vyšších modelov, alebo povoliť debug mode pre prístup k root konzole. Postup popísaný v blogu neporušuje záruku TV prijímača (nebudeme aspoň zatiaľ nič flashovať). Napriek tomu niektoré zásahy v servisnom menu môžu TV bricknút, takže pozor.

Protokol NEC

Vlastnosti protokolu:

dĺžka adresy

8 bitov štandardný protokol, 16 bitov rozšírený

dĺžka príkazu

8 bitov (max 256 príkazov)

ochrana proti chybám

prenos adresy a príkazu najskôr normálne, potom s invertovanými hodnotami bitov

nosná frekvencia

38 kHz

modulácia

šírkou medzier medzi impulzmi

Modulácia

Signály používané v IR ovládačoch sú zvyčajne modulované na určitú nosnú frekvenciu aby bolo jednoduché odfiltrovať okolité zdroje IR žiarenia. V prípade NEC protokolu je nosná frekvencia 38 kHz. Odporúčané plnenie (pomer medzi trvaním hodnoty 1 voči 0) je 1/4, alebo 1/3. Priebeh nosného signálu a časy trvania sú na nasledujúcom obrázku.

Dáta sú kódované šírkou medzier medzi impulzmi. Impulz má trvanie 562.5 µs, čo je pri nosnej frekvencii 38 kHz 21.375 cyklov. Logická 0 sa vyšle ako impulz trvajúci 562.5 µs, za ktorým nasleduje rovnako dlhá medzera. Celkový čas vyslania logickej 0 je tak 1.125 ms. Vysielanie logickej 1 trvá 2x dlhšie, takže medzera trvá 1.6875 ms.

Protokol

Vysielanie signálu začína 9 ms trvajúcim impulzom (AGC burst). Ten slúži na kalibráciu zosilňovača IR prijímača. Nasleduje medzera trvajúca 4.5 ms. Po tejto sekvencii nasledujú samotné dáta. V príklade je použitá adresa 0x04 (LG) a príkaz 0xff (EZ_SETUP). Prenos začína najmenej významným bitom (LSB) a končí najviac významným bitom (MSB).

Jednotlivé slová (8 bitov) sa prenášajú kvôli kontrole 2x za sebou. Pri druhom prenose sú bity invertované, vďaka čomu je dĺžka celého príkazu konštantná.

Podrobnosti o protokole sú zverejnené na webe SB-Projects

Diaľkový ovládač

Po hardvérovej stránke je diaľkový ovládač veľmi jednoduché zariadenie. Postačí nám zdroj signálu (napr. mikrokontrolér), infračervená LED a pre menej odvážnych aj nejaký ten rezistor na obmedzenie prúdu pretekajúceho LED

Použitie AVR

Po hardvérovej stránke bude zariadenie maximálne jednoduché. Na vybraný vstupno-výstupný port pripojíme cez rezistor 100Ω IR LED. Na nasledujúcich obrázkoch je schéma a moje zariadenie (prosím nevšímajte neporiadok od AVR naľavo, ten patrí k inému projektu).

Následne postačí jednoduchý program, ktorý odvysiela sekvenciu popísanú v časti o NEC protokole. Kód klávesy, ktorá sa vysiela je možné zmeniť na riadku transmitNecData výmenou konštanty LG_EZ_ADJUST za LG_IN_START, alebo LG_POWER_ONLY.

#define F_CPU 9216000UL // Taktovacia frekvencia AVR kvôli výpočtu delay

#include <avr/io.h>
#include <avr/interrupt.h>
#include <avr/sfr_defs.h>
#include <inttypes.h>
#include <util/delay.h>

#define ir_on() PORTB=0xff
#define ir_off() PORTB=0x00

#define NEC_LG_ADDRESS 0x04

// Trvanie vysokej a nízkej honoty v PWM modulácii
#define NEC_CARRIER_HIGH_DURATION 6.5789474
#define NEC_CARRIER_LOW_DURATION 17.736842

// Počet cyklov impulzov
#define NEC_CALIBRATION_CYCLES 342
#define NEC_PULSE_CYCLES 21 // 21.375 cyklov

// Trvanie medzier
#define NEC_0_DELAY 562.5
#define NEC_1_DELAY 1687.5

// Tlačidlá
#define LG_IN_START 0xfb
#define LG_POWER_ONLY 0xfe
#define LG_EZ_ADJUST 0xff

static inline void transmitCalibrationPulse(void)
{
	for(uint16_t i = 0; i < NEC_CALIBRATION_CYCLES ; i++) {
		ir_on();
		_delay_us(NEC_CARRIER_HIGH_DURATION);
		ir_off();
		_delay_us(NEC_CARRIER_LOW_DURATION);
	}
}

static inline void transmitPulse(void)
{
	for(uint16_t i = 0; i < NEC_PULSE_CYCLES ; i++) {
		ir_on();
		_delay_us(NEC_CARRIER_HIGH_DURATION);
		ir_off();
		_delay_us(NEC_CARRIER_LOW_DURATION);
	}
}

static inline void transmitByte(uint8_t byte)
{
	for (int i = 0; i < 8; ++i) {
		if (byte & (1 << i)) {
			transmitPulse();
			_delay_us(NEC_1_DELAY);
		}
		else {
			transmitPulse();
			_delay_us(NEC_0_DELAY);
		}
	}
}

static inline void transmitIrEnd(void)
{
	transmitPulse();
	_delay_ms(4.708);
}

void transmitNecData(uint8_t address, uint8_t command)
{
	transmitCalibrationPulse();
	_delay_ms(4.5);
	transmitByte(address);
	transmitByte(~address);
	transmitByte(command);
	transmitByte(~command);
	transmitIrEnd();
}

int main(int argc, char *argv [])
{
	(void)(argc);
	(void)(argv);

	DDRB = 0b11111111; // Aktivácia výstupov
	while(1) {
		transmitNecData(NEC_LG_ADDRESS, LG_EZ_ADJUST);
		_delay_ms(1000);
	}
	return 0;
}

Použitie MP3 prehrávača

Pre tých, ktorí sa nechcú babrať s AVR existuje aj o niečo jednoduchšia cesta. Ide v o pripojenie IR LED priamo na zvukový výstup MP3 prehrávača a prehranie signálu uloženého vo formáte WAW. Zvukové súbory ako aj ďalšie improvizované spôsoby prístupu do servisného menu sú na openlgtv.org.ru.

USB hack

Nižšie modely televízorov LG majú zvyčajne zakázané používanie USB portu. USB port býva na týchto televízoroch označený ako service only. Pre jeho aktiváciu stačí vyslať signál EZ_ADJUST a v podmenu ToolOption 3 kde stačí nastaviť EMF na hodnotu 1 a Divx na hodnotu HD.

Debug menu a root prístup

Dosť bolo hrania sa, poďme niečo rozbiť Na prístup ku konzole budeme potrebovať RS232 port a null-modemový kábel. V prípade novších modelov môže byť na televízore RS232 nainštalovaný ako neštandardný konektor, ktorého zapojenie nájdeme opäť na openlgtv.org.ru.

Povolenie debug režimu na novších verziách firmvéru

Tento krok môžte pre začiatok preskočiť, a vrátiť sa sem v prípade, že nebude pripojenie fungovať. Postup povolenia debug režimu je nasledovný:

1. Vyslanie POWER_ONLY cez IR
2. Stlačenie tlačidiel '1', '2', '2', '8', 'Back' na štandardnom diaľkovom ovládači
3. Vyslanie IN_START cez IR
4. Zmena nastavenia Debug status na 'EVENT'

Zistenie hesla pre vstup do debug menu

Heslo televízora má tvar NÁZOV_MODELUelqjrm. Ak máme napr model 32LD320-ZA heslo bude 32LD320-ZAelqjrm. Presný názov modelu je možné nájsť v menu IN_START (zobrazí sa po vyslaní signálu IN_START).

Použitie debug menu

Pre komunikáciu cez RS232 môžme použiť program screen. Rýchlosť závisí od verzie firmvéru. Je to buď 9600bps, alebo 115200bps. Spustíme teda screen /dev/ttyUSB0 115200, alebo 9600 (za ttyUSB0 dosadiť správnu adresu portu). Debug menu by sa malo zobraziť po vyslaní jednej z nasledujúcich sekvencií:

• d<Medzera><HESLO><Enter>
• <HESLO><Enter>d<Enter>d
• d<Medzera><HESLO><Enter>debug<Enter>d
• <F9><F10>

Potom už stačí len zadať príkaz sh a sme pánmi vesmíru

1:ORG MAIN $ sh
/bin/sh: can't access tty; job control turned off
#

Dúfam, že pri čítaní môjho dnešného blogu nikto nič nebrickol a hádam ani neprišiel k úrazu Možnosti televízorov LG samozrejme nekončia na rootovskej konzole. Niekoľko užívateľov vyvíja vlastnú vetvu firmvéru s podporou rôzneho hardvéru ako napr. USB sieťové karty, pomocou ktorých je možné prehrávať súbory, alebo streamy zo siete.

       

Komentáře

[lukve]

tu sa neda nic ine len dat

+1

inac velmi dobre sa brickuju nintendo wii konzoly :D

[mirec]

No v nintende sa s ochranou nejako netrápili

[kotyz]

To si zaslouží tučňáka!

[Kvakor]

Příloha:

• audacity_sample.png (5323 bytů)

Ještě by šlo použít obyčejné PC, které má alespoň jeden přímo ovladatelný pin použitelný jako GPIO. Optimální by byl paralelní port - podle normy IEEE 1284 je schopný fungovat s frekvencimi okolo 1 MHz (teoreticky až 2,5 MHz, ale to jde jen s DMA). Stačí jen v BIOSu zkontolovat, jestli je port nastavený jako ECP (nebo kombinace EPP+ECP). Ale u notebooků bych to radějí vůbec nezkoušel, jejich porty dávají moc malé proudy (klidně jen 2-4 mA).

Pokud se spojí všech osm výstupů (které by měli jako source dát okolo 10-14 mA každý, prodporuje-li port IEEE 1284 II), tak by to mělo bohatě stačit na napájení IR LED jen s pomocí osmi odporů (okolo 220 až 330 ohmů, méně pokud port nedává plných 5 V), připojených mezi jednoptlivé výstupy (piny 2 až 9, D0-D7) a anodu LED (viz obrázek), katoda se přizemní na piny 18 až 25 (GND, vetšinou jsou všechny propojené, takže je jedno na který z nich).

POZOR: pokud nevíte, co děláte, můžete si zničit nejen paralení port, ale i slušnou část SuperIO řadiče, takže raději zapojujte při vypnutém PC a nejlépe nějakém starším kusu nmebo přídávné kartě. Byli jste varováni.

Teoreticky by šlo ještě použít řídící signály modemu na sériovém porty (signály DTR a RST), sice jsem je v praxi používal, ale nikdy ne na cokoliv rychlejšího než blikání LED pro kontrolu, že se zařízení nekouslo. Vzledem k tomu, že se jedná o proudovou smyčku, tak bude nejspíš třeba použít aktivní prvek a externí napájení. I obyčejné sériové porty zvládají rychlost 115 kbit, takže 38 kHz by měly výstupy zvládnout. Což mně vede k následujícímu:

Pokud platí vzorkovácí teorém (aneb Shannonův/Nyquistův/Kotělnikovův/Whittakerův, jak kdo chce), tak by němělo jít vytvořit 38 kHz nosnou, pokud máte vzrokovací frekvenci jen 44,1 nebo 48 kHz, minimum je 38*2=76 kHz (tj. 96 kHz je už OK).

Na druhou stranu, protože výše zmíněný teorém platí pro spojité signály (což obdélní rozhodně není) a vstupní obvody určitě budou umět rekostruovat i zarušený signál, je tu určité pravděpodobnost, že by to fungovat mohlo, i když signál vypadá tak, jak vypadá (viz obrázek v příloze, kde je kus úvodního AGC burstu prohlížený v Audacity). Hlavně nepřevádět na MP3, to by ten signál dočista zabilo

[Grunt]

Pokud platí vzorkovácí teorém

LOL, co? Jak, „pokud platí“?

[Kvakor]

Asi jsem to špatně formuloval, nešlo o obecnou platnost, ale o konkrítní připad. Jde o to, že pokud se nepracuje se spojitým signálem (prok který je teorím definovaný), může za určitých okolností fungovat přenos i bez toho, aby se přenášela nostná frekvence, stačí když se přenese jako vyšší harmonická (pak dost záležá, jak je dobrá dolní propust u AD převodníku). Tudíž přenos bude (i když jen omezeně) fungovat, i když je vzorkovacá frekvence menší než dvojnásobkem nosné.

[Jendа]

Tady to řešej tak, že generujou obdélník s nižší frekvencí (protože mají pomalé hodiny) a berou si nějakou vyšší harmonickou.

[Jendа]

Ale u notebooků bych to radějí vůbec nezkoušel, jejich porty dávají moc malé proudy (klidně jen 2-4 mA).

No tak těmi 2 mA budeš spínat tranzistor a LEDku budeš napájet z nějaké externí baterky.

Horší je, že dnešní počítače (myšleno běžná x86 PC) už prostě žádná GPIO vhodná ke znásilnění vyvedená nemají.

[mirec]

A o notebookoch radšej ani nehovorím. Doba domácich kutilov skončila, hor sa za lepšou budúcnosťou

[smazáno]

Paradni clanek. Tohle jsme meli delat v elektrotechnice na stredni misto pajeni krychlicek .

 

btw. mas tam preklep ACG brust ma byt ACG burst

[smazáno]

AGC

[mirec]

Díky, opravené

[mirec]

Inak čo sa týka elektrotechniky na strednej ... nebolo to zlé. Dokonca som sa tam hral aj s IR, nádhera vidieť niečo také na osciloskope. Nebolo to síce na štandardnom vyučovaní, ale na krúžku kde sme väčšinou niečo opravovali (tj. pokazí sa niečo doma, donesiem do školy a opraví sa spoločnými silami). Inak absolútne najkrajšia vec sú rôzne páskové mechaniky, hlavne VHS. To bola nádhera sledovať čo všetko musí robiť taká mechanika vkladania kazety a ako dômyselne je navrhnutá. Dnes už sa žiaľ človek moc nedostane do kontaktu so takým niečim

[=^..^= AmigaPower®]

Příloha:

• abcl-screenshot.jpeg (214714 bytů)

V Robertově valentýnskym stylu je to opět "rozsypaná rejže".

[deafboy]

Som vlastníkom Nokie N900, ktorá má IR port. Šlo by po doinštalovaní lirc odoslať signál pomocou nej?

[deafboy]

Odpoviem si sám - šlo by to http://openlgtv.org.ru/wiki/index.php/Lirc_Remote_Hack

[deafboy]

Konfigurácia lirc hotová, no pri commandoch SERVICE_MENU, EZ_ADJUST a IN_START to pýta 4-miestne heslo...

[mirec]

Tip 0413 (nezaručený).

[deafboy]

Niekde som našiel nasledovné:
8 7 4 1
8 7 4 3
7 7 7 7
0 0 0 0
8 8 7 8
0 4 1 3
V mojom prípade 0000. To sa dalo aj tipnúť...

[mirec]

Heh, ten môj po mne nechcel nič. Ešte by ma napadol brute force útok (keď už mám to AVR, tak nech mi aspoň na niečo je), v prípade 0000 by som to mal rýchlo jedine, že by ma napadlo útočiť odzadu (viem som zbabelec).

[kotyz]

0000 funguje často, je to třeba i na různejch settopboxech při mazání/přelaďování kanálů. Nebo je to taky defaultní heslo pro spárování u různejch bluetooth gadgetů.

[gtz]

Hezký článek

[Bedňa]

+1

[Dreit]

Hackeři nevymřeli!

[mirec]

Nenazval by som sa hackerom, iba som použil informácie zverejnené na niekoľkých weboch a dal ich dokopy. V každom prípade snažím sa pracovať tvrdo na to, aby sa zo mňa stal . Inak vynikajúci text na túto tému napísal jeden obyvateľ abclinuxu s nickom Bystroushaak.

Robím aj zaujímavejšie veci s hardvérom, ale je to dosť taká citlivá warezácka záležitosť, kde musím informácie o hardvéri hľadať v uniknutých dokumentoch. Je neuveriteľné aký prístup k otvorenému softvéru majú výrobcovia hardvéru. Najlepší sú tí, ktorí využijú kód pod GPL (Linux) s pár úpravami pre ich hardvér a úpravy ani nezverejnia.

[Bedňa]

Práveže povaha zbierania informácií a ich využitie je hackerstvo. Si hacker a zmier sa s tým

[mirec]

V povahe hackerov je to, že sa nikdy nezmieria s tým, čo sú. Zmier sa s tým :-P

[Dreit]

Tak doufám že se ti to brzo povede a děkuji za článek

Já se chystám na tvorbu RS-232 periferií, pro začátek chci postavit teploměr (8 kanálů) abych věděl, jaká je v průběhu dne teplota na koleji a venku (připadá mi, že se to moc neliší)   Jestli se povede, tak u RS-232 nějakou dobu zůstanu, nápadů je hromada

[mirec]

Cez RS232 komunikoval aj môj prvý program bežiaci na AVR a zhodou okolností to bol digitálny teplomer. Teraz som nejako na disku vyhrabal video. Dá sa pozrieť na youtube. Inak sorry za kvalitu, ale nemal som v tej dobe nič lepšie čím by som natočil. Inak tá LED vpravo je pripojená cez rezistor hoc tak nevyzerá

[Dreit]

Moc krásnej

Já uvažoval spíš o TTL součástkách, programování není můj šálek čaje a "umím" jen v Bashi

[gtz]

No použil bych staré dobré osvědčené řešení s čidly od Dallasu (DS1820), které komunkují přes 1-wire sběrnici. Pokud použiješ nějaký malý převodník pro RS485 tak není problém mít čidlo v delší vzdálenosti. No já jsem to zkoušel s 4 čidly a cca 5-10m na RS232 bylo v pohodě. HW k tomu ani nepočítám (jen samá bižuterie). SW DigiTemp asi znáš.

[Bystroushaak]

Inak vynikajúci text na túto tému napísal jeden obyvateľ abclinuxu s nickom Bystroushaak.

Wow, on to i někdo četl :)

Jinak +1 za tvůj článek, dost se mi líbil.

[Dreit]

Už jsem ho za život projel asi třikrát   Mimochodem nemá se používat "byste" místo "-by jste"?

[Bystroushaak]

Jo, na to jsem byl upozorněn u posledního článku v diskuzi, do té doby jsem o tom neměl tušení :D

[Dreit]

No vidíš to, nás před tím varovali celej čtvrťák před maturitou

[Bedňa]

Neuveríš, ale čítal som to aj ja, dokonca to mám v záložkách, dostal som sa tam pred pár dňami práve cez Mireca, ktorý to propagoval na G+.

[Al]

Vymyslel uz nekdo, jak prehravat FLASH videa treba z archivu televizi?

[Jendа]

Třeba na ČT existuje skript ctstream, který ti vyextrahuje URL videa.

[Al]

To ano, ale ja jsem myslel na prehravani pomoci televize. Jestli nekdo umi v LG televizich upgradovat flashplayer na nejakou novejsi verzi, kterou lze pres internet primo v televizi prehravat archivni porady. V me LG xyz je zabudovany webovy prohlizec s prehistorickou verzi flashe a LG s tim uz nehodla nic delat.

[mirec]

To je TV s firmvérom Broadcom?

[Limoto]

A pro ČT i další existuje tv-dl

[Jiří Lisický]

Mám v záložkách odkaz na hackování TV značky Samsung http://www.samygo.tv/. Dá se doinstalovat Atari800 emulátor nebo DOSemu

[there]

Možnost uložení nastaveni programu (otestování na LG32LV375S )

1) spustit televizi a vyber kanál

2) stiskněte tlačítko HOME a držte ho ( spustí se nabídka HOME, za 3 sec zmizí a hned se nahoře na obrazovce objeví info o kanálu)

3) rychle uvolnětě tlačítko HOME(asi Menu) a stiskněte 1105 a stisknětě OK

4) A máte tajné menu

• -LG Hotel režimu nastavení (nastavení omezení pro cestování)
• -TV Link-Loader (zatížení / uložení konfigurace (TLL soubor) z / na USB disk) - Vzalo mi to 4GB flasku, FAT32
• -Změna hesla (reset zapomenutého výchozí PIN)
• -Set ID nastavení

Editace *.tll lze přes program edankTLL.exe, snad vám to někomu pomůže

[there]

Někdy v lednu 2012 jsem to naschvál dle fora(openlgtv.org.ru) zkoušel a nic nefungovalo (LV32LG375S). Pozdeji jsem zjistil ze je nutne mit firmware max 03. a tehdy byl uz myslim 05. Kdyz se dostanete do menu EZ tak nelze jiz premenit TV na debug mod a tudiz se k shellu nedostanete.

Dokonce kdyz mam ten verzi firmwaru 06 tak uz mi prestalo fungovat i pripojeni telnetu na RS232 do televize, takze uz ani vysilani signalu(vypnuti/zapnuti zvuku) napr. ke 01 00/ ke 01 01 nefunguje.