Phantom 1331G – odczyt pamięci eMMC, metody ADB, ISP, chip-off, Android, backup

Pytanie

Jak odczytać zawartość pamięci wewnętrznej stacji multimedialnej Phantom 1331G

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Najmniej inwazyjnie spróbuj odczytać dane przez Android Debug Bridge (ADB); jeśli brak roota – skopiujesz jedynie przestrzeń użytkownika, po zrootowaniu zrobisz pełny obraz eMMC poleceniem dd.
• Gdy urządzenie jest „uceglone” albo zablokowane, pozostają metody sprzętowe: ISP (In-System Programming) po liniach eMMC lub chip-off z użyciem programatora eMMC.
• Przed każdą operacją wykonaj bit-w-bit kopię zapasową i oceń konsekwencje prawne.

Szczegółowa analiza problemu

1. Architektura i lokalizacja pamięci
   • Phantom DVM-1331G i6 pracuje pod Androidem 4/5 na SoC klasy Rockchip/Allwinner.
   • Pamięć systemowa to wlutowany układ eMMC BGA (typowo 8 GB–16 GB, pinout eMMC 5.0).
   • Oprogramowanie dzieli eMMC na partycje: boot, recovery, system, userdata, misc, cache + blok wirtualnego zmieniacza CD (ISO).

2. Metody programowe
   a) ADB bez roota
   – Włącz „Opcje programisty” → „Debugowanie USB”.
   – Sprawdź połączenie: adb devices.
   – Skopiuj dane użytkownika: adb pull /sdcard ….
   Ograniczenie: brak dostępu do partycji systemowych.

   b) ADB z uprawnieniami root
   – Znajdź sprawdzony exploit/obraz root (fora XDA-Developers, 4PDA).
   – Po su zidentyfikuj urządzenie blokowe: ls -l /dev/block | grep mmcblk0.
   – Utwórz pełny dump na kartę SD/pendrive:

        dd if=/dev/block/mmcblk0 of=/storage/external_sd/phantom_full.img bs=4M
        sync

   – Zweryfikuj hash MD5/SHA-256 obrazu.

   c) Menu serwisowe / aktualizacja OTA
   – Niektóre egzemplarze pozwalają zapisać plik FW na kartę SD / USB i wykonać „backup Nand”.
   – Dostęp przez kod w menu (np. 126 → „Factory Settings”) – zależne od wersji.

3. Metody sprzętowe
   a) ISP (eMMC pinout)
   Narzędzia: Easy-JTAG Plus / UFI Box, mikrolutownica, lupa 10×.
   • Na PCB odnajdź test-pointy: CLK, CMD, DAT0, VCC, VCCQ, GND.
   • Podłącz przewody 0,1 mm do programatora (tryb 1-bit DAT0, takt 15 MHz).
   • Odczytaj EXT-CSD, następnie pełny dump (typowo 8 GiB ≈ 20 min).
   Zaletą jest brak demontażu układu, wadą – trudne lutowanie i ryzyko zwarć.

   b) Chip-off
   • Gorące powietrze 330 °C, dysza Ø 6 mm, czas ≈ 60 s.
   • Po wylutowaniu oczyść kulki, włóż w adapter BGA153.
   • Programator -> „Identify” → „Read Full (User + Boot1/2 + RPMB)”.
   Metoda pewna, ale najbardziej ryzykowna (możliwe termiczne uszkodzenie eMMC lub PCB).

4. Analiza obrazu
   • Binwalk/Scalpel do detekcji plików ISO (wirtualny zmieniacz CD), plików APK i partycji ext4.
   • Mount obrazu:

     losetup -Pf phantom_full.img  
     mount /dev/loop0p5 /mnt/rootfs

   • Wirtualne płyty CD znajdują się zwykle w /mnt/rootfs/vendor/virtual_cd/track*.iso.

5. Teoretyczne aspekty bezpieczeństwa
   • Bootloader może mieć włączony eMMC Secure Boot; w starszych i6 zwykle wyłączony.
   • Partycja RPMB (Replay Protected Memory Block) jest kryptograficznie chroniona – niedostępna do odczytu bez klucza.

Aktualne informacje i trendy

• W nowych jednostkach 2023+ producenci przechodzą z eMMC na UFS; interfejs ISP wymaga innych adapterów (UFS BGA254).
• Coraz częściej stosowane jest pełne szyfrowanie dm-crypt/LUKS; w Phantom i6 zazwyczaj go brak.
• Narzędzia forensic: Magnet GrayKey, Cellebrite Premium obsługują dziś tryb ISP dla eMMC 5.1.

Wspierające wyjaśnienia i detale

• Analogią do eMMC ISP jest „test-clip” używany w BIOS-ach SPI – tu jednak linie danych są wiele razy szybsze i wrażliwsze.
• dd kopiuje bit-po-bicie; zmiana bs powyżej 4 MiB może zakończyć się „Input/output error” na słabszym SoC.

Aspekty etyczne i prawne

• Odczyt firmware’u może naruszać licencję map lub kodeków Dolby.
• W UE reverse-engineering na użytek własny i celach interoperacyjności jest dopuszczalny (Dyrektywa 2009/24/WE), lecz dystrybucja plików – nie.
• Jeśli urządzenie jest na gwarancji, otwarcie obudowy = jej utrata.

Praktyczne wskazówki

• Zanim zaczniesz, sfotografuj płytę główną w rozdz. >12 Mpx – ułatwi późniejsze lutowanie.
• Ustaw zasilanie laboratoryjne 12 V / 2 A z soft-startem; skoki napięcia podczas włączenia programatora mogą uszkodzić eMMC.
• Dla metod sprzętowych stosuj topnik no-clean o temperaturze pracy ≥ 300 °C (np. AM-Tech RMA-223).

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Brak publicznej dokumentacji Phantom; pinouty publikowane w sieci mogą dotyczyć innych rewizji PCB.
• Jeśli urządzenie wykorzystuje szyfrowanie dm-verity, sam dump nie wystarczy do uruchomienia zmodyfikowanego systemu.
• Wersje i6 z końca 2018 posiadają w menu „MCU Update” – nie myl z aktualizacją Androida; plik MCU BIN nadpisuje tylko mikrokontroler CAN.

Sugestie dalszych badań

• Zweryfikuj, czy Twój egzemplarz ma port USB-OTG ukryty na płycie (wczesne serie miały wyprowadzone piny ID, DM, DP).
• Sprawdź możliwość wgrania recovery TWRP; wtedy nandroid-backup zrobi pełny obraz bez roota.
• Przygotuj skrypt Python do automatycznej ekstrakcji plików ISO z dumpu (libarchive + magic-numbers).

Krótkie podsumowanie

Odczyt pamięci Phantom 1331G zaczynaj od soft-metod (ADB, menu serwisowe). Gdy konieczny jest pełny obraz systemu lub urządzenie się nie uruchamia – przejdź do ISP lub chip-off, korzystając z programatora eMMC. Zawsze kopiuj dane 1:1 na zewnętrzny nośnik, weryfikuj sumy kontrolne i respektuj ograniczenia prawne.

Pytanie

Odpowiedź odnosi się do systemu Android, moja stacja wyposażona jest w system Windows CE, na ile to zmienia podejście do zagadnienia?

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Tak, obecność Windows CE zasadniczo zmienia sposób postępowania: narzędzia typowe dla Androida (ADB, fastboot, recovery, dd) są bezużyteczne.
• Dostęp programowy uzyskuje się głównie przez ActiveSync / Windows Mobile Device Center (WMDC), wbudowane menu serwisowe lub zdalne narzędzia Platform Builder (KITL).
• Struktura pamięci jest inna (obrazy EBOOT.nb0, NK.bin, „ResidentFlash”, rejestr w postaci hive), więc analiza dumpu wymaga innych parserów.
• Metody sprzętowe (ISP, JTAG, chip-off) pozostają podobne, lecz interpretacja odczytanych danych różni się od Androida.

Kluczowe punkty
• brak ADB i typowych partycji ext4
• monolityczny obraz NK.bin zamiast katalogu /system
• komunikacja PC ↔ urządzenie przez ActiveSync/WMDC lub UART/JTAG
• przy odzysku danych najpierw próbujemy menu serwisowego / backup na kartę SD, dopiero potem ISP/chip-off

Szczegółowa analiza problemu

1. Architektura Windows CE vs. Android

2. Typowe konfiguracje sprzętowe stacji z Win CE

• CPU: Samsung S3C24xx, Telechips TCC8902/8920, MStar 21xx, i.MX25/35/6
• Flash:
– starsze: NAND TSOP48 128 MB – 1 GB
– nowsze: eMMC 4–16 GB (BGA153/169)
• RAM: 64-256 MB SDR/DDR

3. Dostęp programowy

3.1 ActiveSync / WMDC
– instalacja WMDC (Windows 7–11 wymaga ręcznego patcha usług).
– po podłączeniu USB stacja pojawia się jako „Urządzenie przenośne”; kopiujemy tylko ResidentFlash (mapy, multimedia).
3.2 Menu serwisowe / aktualizacja z karty SD
– typowa sekwencja: przytrzymaj [VOL+] + [POWER] ⇒ bootloader ładuje update.img / backup.cmd z SD.
– część loaderów (np. Telechips) udostępnia polecenia backup all, restore all.
3.3 KITL (Platform Builder Remote Tools)
– wymaga kompilacji obrazu z włączonym KITL; rzadko aktywne w produktach komercyjnych, ale jeśli jest ‑ pozwala na zdalny debug, podgląd rejestru i systemu plików.
3.4 UART shell bootloadera
– konwerter USB-TTL 3,3 V, zwykle 115 200 bps.
– przerwanie autobootu (spacja) odsłania komendy nand dump, tftp, ymodem get.

4. Dostęp sprzętowy

4.1 ISP do eMMC
– wystarczy podlutować się do punktów DAT0–DAT7, CLK, CMD, VCCQ, GND; często dostępne test-pointy.
– Easy-JTAG/UFI/Medusa → odczyt RAW, zachowując mapę uszkodzonych bloków.
4.2 JTAG
– Windows CE częściej zostawia aktywne piny JTAG; można zrzucić NAND przez nand read w GDB/OpenOCD.
4.3 Chip-off NAND
– ryzykowny, ale gwarantuje pełny dump. Potrzebny programator obsługujący ECC (NAND Reader, RT809H).

5. Analiza obrazu

1. Podział logiczny (przykład 512 MB NAND):
   0x000000 – 0x03FFFF Bootloader (EBOOT/U-Boot)
   0x040000 – 0x1FFFFF NK.bin (XIP kernel + obraz systemu)
   0x200000 – 0x2FFFFF Registry Hive (system.hv, user.hv)
   0x300000 – 0x7FFFFF Object Store / FAT (ResidentFlash)
2. Narzędzia: Binwalk, nk.bin parser (LZX), ImgFSExtractor, CEGetFileSystem.
3. Po ekstrakcji: mapy iGO – zwykle /My Device/iGO8/Content/.

6. Specyficzne wyzwania Windows CE

• Execute-In-Place (XIP) – część kodu wykonywana bezpośrednio z flash → trzeba zachować offsety przy repacku.
• Brak ochrony integralności (Secure Boot) w większości modeli, ale nowsze NK mogą wymagać podpisu OEM (catalog-signed).
• Registry w RAM – utrata zmian po twardym resecie, jeżeli nie zapisane do hive.

7. Porównanie przebiegu pracy – rekomendowana kolejność

1. Spróbuj WMDC – kopiuj dane użytkownika.
2. Wejdź w menu serwisowe – sprawdź opcję „Backup NAND”.
3. Jeśli brak – podłącz UART i oceń możliwości bootloadera.
4. Ostatecznie ISP/chip-off i analiza dumpu.

Aktualne informacje i trendy

• Microsoft oficjalnie zakończył wsparcie dla Windows Embedded Compact 2013 (następcy CE) w 2023 r.; sprzęt OEM pozostaje w polu, więc rośnie znaczenie reverse engineeringu i migracji do Linux/Android Auto.
• Na rynku programatorów ISP dominują dziś Easy-JTAG Plus v3 z obsługą eMMC 8-bit HS400 oraz rozwiązania open-source (OpenMCTP-ISP).
• Pojawia się oprogramowanie automatycznie rekonstruujące obrazy CE (np. wtyczka „WEC Extractor” w Ghidra).

Wspierające wyjaśnienia i detale

• Analogią do Androidowego boot.img jest tutaj NK.bin, lecz zawiera jednocześnie kernel, sterowniki i część aplikacji (monolit).
• „ResidentFlash” ≈ /data – chronione słabiej, zazwyczaj FAT.
• Jeśli moduł eMMC ma wyprowadzone piny, ISP można wykonać bez wylutowywania – wystarczy odciąć zasilanie SoC (np. wyjęcie bezpiecznika VCORE) i zasilić samą kość.

Aspekty etyczne i prawne

• Obrazy NK.bin zawierają licencjonowany kod Microsoft; ich publiczne udostępnianie narusza EULA Windows CE.
• Dump map nawigacyjnych chronionych DRM może naruszać prawa autorskie dostawcy map.
• Ingerencja sprzętowa zwykle unieważnia gwarancję i może narazić urządzenie na uszkodzenia.

Praktyczne wskazówki

• Korzystaj z maszyny wirtualnej Windows 7 32-bit do narzędzi Platform Builder 6.0 – wersje 64-bit sprawiają problemy z KITL/USB.
• Przy lutowaniu eMMC używaj dysków grzewczych 150 °C i temperatury gorącego powietrza 260-280 °C, aby uniknąć wyrywania padów.
• Przed chip-off wykonaj zdjęcia wysokiej rozdzielczości – pomoże to później przy reballingu i re-montażu.

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Nie istnieje uniwersalna procedura serwisowa – producenci często modyfikują bootoader i ukrywają menu.
• Starsze kości NAND mogą mieć >5 % bad-blocków; nie każdy programator poprawnie interpretuje OOB.
• Jeśli w urządzeniu zastosowano koprocesor zabezpieczający (np. NXP SE050 do licencji DRM), część danych może być nieosiągalna nawet po pełnym dumpie NAND/eMMC.

Sugestie dalszych badań

• Analiza podpisu obrazów (catalog signatures) i możliwość wgrywania własnego NK.bin (np. z odblokowanym KITL).
• Migracja do alternatywnego OS (Linux framebuffer) przy zachowaniu sterowników LCD/touch przez portowanie z CE.
• Automatyczna konwersja starych map CE do formatów offline Android Auto.

Krótkie podsumowanie

Przesiadka z Androida na Windows CE całkowicie zmienia narzędzia i workflow: zamiast ADB korzystasz z ActiveSync, menu bootloadera lub KITL; zamiast partycji ext4 analizujesz monolityczny NK.bin i Object Store. Metody fizycznego odczytu flash (ISP, chip-off) pozostają te same, lecz interpretacja danych jest inna. Zacznij od miękkich sposobów (WMDC, menu serwisowe), a sprzętowe zachowaj jako ostatnią deskę ratunku.