Forum: Mikrocontroller und Digitale Elektronik Migros Story Mania Hör-Box abgeschliffenen Mikrocontroller eruieren, reverse engineering


Announcement: there is an English version of this forum on EmbDev.net. Posts you create there will be displayed on Mikrocontroller.net and EmbDev.net.
von simschmid (Gast)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Liebe Leute

In der Schweiz hatten wir gerade die tolle Story Mania aktion des 
orangen Riesen (Migros). Da bekommst du für Fr. 29.- eine Box, auf die 
Stellst du ein Figürchen und dann hörst du die entsrepchende Geschichte. 
Der Clou an der Sache, im Sockel des Figürchens ist ein Mifare classic 
1k NFC Chip und die Box lädt dann das entsprechende Hörspiel.

Nun ist die Aktion vorbei, und es wäre schade, die Box mit nur 12 
Hörspielen zu belassen. Die Box kann zwar auch als Bluetooth 
Lautsprecher verwendet werden, aber wo wäre denn der REitz, wenn man 
nicht noch mehr heraus holen könnte.

Bereits haben findige User heraus gefunden, wie mp3s via Bitshifting in 
das Box-eigene smp Format konvertiert und dann einfach via USB auf die 
Box geladen werden können. Auch haben sie herausgefunden, wie die NFC 
Chips beschreiben werden müssen und auf diese weise sind zumindest 19 
Weitere Tracks abspielbar.

Eine Dokumentation dazu findet ihr unter 
http://www.revox.name/storymania/.

Nun ich möchte einen Schritt weitergehen und herausfinden, wie die Box 
intern funktioniert und habe dazu auch schon einen Pinheader angelötet, 
der ist mit dem Mikrocontroller verbunden, welcher  - so nehme ich an, 
den Bluetooth-Audiochip steuert. Leider hatte ich mit einem 3.3V FTDI 
Adapter noch keinen Erfolg. Und, der Mikrocontroller ist abgeschliffen. 
Was ich weiss ist ein teil des Pinouts:

Typ 20 Pin
Vcc Pin 9 3.3V
GND Pin 7
UART/GPI Pin 8 auch Taste Skip -
UART Pin18
Reset Pin 4 auch ein nicht gelöteter Switch

Kennt jemand einen Mikrocontroller, der diese Pinbelegung hat?

von Gerd E. (robberknight)


Bewertung
0 lesenswert
nicht lesenswert
simschmid schrieb:
> Und, der Mikrocontroller ist abgeschliffen.

sicher? Hast Du mal nen Tesafilm draufgeklebt und es dann mit 
verschiedenen Lichteinfallsrichtungen probiert? Oft ist die 
Laserbeschriftung auch einfach nur schlecht zu erkennen.

> Typ 20 Pin

Was für ein Package? Ist das der SSOP im Foto unten rechts oder der QFN, 
der sich halb hinter Deinen Steckern versteckt?

> Vcc Pin 9 3.3V
> GND Pin 7
> UART/GPI Pin 8 auch Taste Skip -
> UART Pin18
> Reset Pin 4 auch ein nicht gelöteter Switch

Konntest Du irgendwelche Programmierheader oder Testpins ausfindig 
machen? JTAG, SWD etc.?

von A.. P. (arnonym)


Bewertung
0 lesenswert
nicht lesenswert
Gerd E. schrieb:
>> Typ 20 Pin
>
> Was für ein Package? Ist das der SSOP im Foto unten rechts oder der QFN,
> der sich halb hinter Deinen Steckern versteckt?

Also wie ich das sehe, kann es ja keiner der beiden sein, oder? Unten 
rechts der TSSOP hat 24 Beinchen und man kann ja schon auf dem Foto die 
Beschriftung erkennen. Der QFN Chip hinter dem Stecker hat auch keine 20 
Pins (32-Pin QFN). Oder hat sich der TO nur verzählt?

: Bearbeitet durch User
von Misch (Gast)


Bewertung
-13 lesenswert
nicht lesenswert
Gute abig zämme han e frag und zwar ich heti ger  de nfc code vo de 
lulu. Danke im forus

von Peter D. (peda)


Bewertung
4 lesenswert
nicht lesenswert
Misch schrieb:
> lulu

Steht doch alles in dem Link.

P.S.:
Vorzugsweise sollten Posts in Deutsch oder Englisch erfolgen.
Z.B. Polnisch verstehen hier nur wenige.

: Bearbeitet durch User
von Martin S. (strubi)


Bewertung
0 lesenswert
nicht lesenswert
simschmid schrieb:
> Typ 20 Pin
> Vcc Pin 9 3.3V
> GND Pin 7
> UART/GPI Pin 8 auch Taste Skip -
> UART Pin18
> Reset Pin 4 auch ein nicht gelöteter Switch
>
> Kennt jemand einen Mikrocontroller, der diese Pinbelegung hat?

Eine Nahaufnahme des Chips auf dem PCB würde definitiv helfen (auch wenn 
abgeschliffen)

von npn (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Peter D. schrieb:
> Z.B. Polnisch verstehen hier nur wenige.

Sieht eher nach schwizerdütsch aus...

von A. K. (prx)


Bewertung
1 lesenswert
nicht lesenswert
Peter D. schrieb:
> Vorzugsweise sollten Posts in Deutsch oder Englisch erfolgen.
> Z.B. Polnisch verstehen hier nur wenige.

Das ist Deutsch. ;-)
Nur kein Hochdeutsch.

von Info (Gast)


Bewertung
0 lesenswert
nicht lesenswert
simschmid schrieb:
> herausfinden

Was sagt der Gerätemanager über das USB-Gerät (VID/PID)? Was sind sonst 
noch für Dateien auf der SD-Karte? Weitere Partitionen?

von Info (Gast)


Bewertung
0 lesenswert
nicht lesenswert
simschmid schrieb:
> findige User heraus gefunden

Wo?

von Herr B. (herr_barium)


Bewertung
1 lesenswert
nicht lesenswert
Peter D. schrieb:
> Vorzugsweise sollten Posts in Deutsch oder Englisch erfolgen.
> Z.B. Polnisch verstehen hier nur wenige.

Genau wie Spaß. Den verstehen hier noch weniger...

von Bernadette (Gast)


Bewertung
-1 lesenswert
nicht lesenswert
Hallo

Weiss jemand ob man das  bluetooth bei der Hörbox abstellen kann, oder 
abklemen kann so dass das  bluetooth nicht mehr funktioniert? Oder 
funktionieren dann die Figuren auch nicht mehr?

Ich finde die Box eigentlich toll, aber finde es nicht so toll dass das 
bluetooth immer sendet.

Liebe Grüsse
Bernadette

von Simon S. (simschmid)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Liebe Leute herzlichen Dank für die grosse Beteiligung. Ich hatte mein 
Passwort vergessen, darum den Thread ohne Login gestartet und keine 
Benachrichtigung bekommen. So, gerne liefere ich nun die gewünschten 
Informationen und im Anhang noch neue Bilder.

Ich habe mir noch eine zweite Box zugelegt, mit der Hoffnung, dass die 
Beschriftung dort vielleicht lesbar(er) wäre am uC. Leider vergebens. 
Diese ist auch mit Tesafilm etc. nicht lesbar, da physisch mit Laser 
oder CNC abgschliffen (siehe Fotos).

Auf der SD Karte waren bei der bisherigen Storymania Aktion nur die smp 
Files (wie diese aus mp3 Dateien Decodiert werden ist unter 
http://www.revox.name/storymania wunderbar dokumentiert). Nun hat eine 
neue Aktion in der Migros gestartet mir Wichtelfiguren, diese belegen 
dann die Filenames M13.smp bis M20.smp). Bei der Installation wird dann 
noch ein JSON File als Logfile abgelegt.


- Die Box erscheint beim Anstecken am USB als USB-Audiodevice mit 2 Ein- 
und 2 Ausgängen.
Das Gerät nennt sich "JieLi BR17", Hersteller "ZhuHai JieLi Technology"

- Und als USB Speicher
JieLi BR17:

  Produkt-ID:  0x0811
  Hersteller-ID:  0xe5b7
  Version:  1.00
  Seriennummer:  20160823
  Geschwindigkeit:  Bis zu 12 MBit/s
  Hersteller:  ZhuHai JieLi Technology
  Standort-ID:  0xfa130000 / 5
  Verfügbare Stromstärke (mA):  1000
  Erforderliche Stromstärke (mA):  400
  Zusätzlicher Betriebsstrom (mA):  0
  Kapazität:  1.94 GB (1'939'865'600 Byte)
  Wechselmedien:  Ja
  Absteckbares Laufwerk:  Ja
  BSD-Name:  disk2
  Partitionstabellentyp:  MBR (Master Boot Record)
  Volumes:
MIGROS-BOX:
  Kapazität:  1.94 GB (1'939'849'216 Byte)
  Verfügbar:  1.94 GB (1'935'187'968 Byte)
  Beschreibbar:  Ja
  Dateisystem:  MS-DOS FAT32
  BSD-Name:  disk2s1
  Mount-Point:  /Volumes/MIGROS-BOX
  Inhalt:  DOS_FAT_32
  UUID des Volumes:  C592BC18-52E1-3E66-B326-8C442A165E56

- Via Bluetooth
Geräte (verbunden, konfiguriert, etc.):
  Migros-Box:
  Adresse:  49-C4-C2-45-93-0C
  Major Type:  Audio
  Minor Type:  Handsfree
  Dienste:  JL_A2DP
  Verbindung eingerichtet:  Ja
  Konfiguriert:  Ja
  Verbunden:  Ja
  Hersteller:  Unknown (0x4, 0x42DE)
  Geräteklasse:  0x04 0x02 0x240408
  RSSI:  -58
  Funktion:  Master
  Verbindungsmodus:  Aktiver Modus
  Intervall:  0 ms
  EDR wird unterstützt:  Ja
  eSCO wird unterstützt:  Nein
  SSP wird unterstützt:  Ja

Zu den Bauteilen habe ich folgende Infos herausgeschrieben:

U1: Annahme Mikroprozessor 20 Pin (habe mich nicht verzählt ;-)
U2: NFC Chip 32 Pin (Typ kann noch ich nicht entziffern mangels 
Mikroskop)
U3: ist nicht verbaut
U5: AC1727AP 12251-5A8 24 Pin (Audioencoder/Bleutooth/USB) ZhuHai JieLi 
Technology
U6: NS8002 2W Audioverstärker
U12: TPS5410 Spannungsregler

Y1: 27.120 MHz für U2
Y2: 24.000 MHZ für U5

Aufgrund der Lötpunkte J1 nehme ich an, dass es sich um eine serielle 
Programmier/Debug Schnittstelle für den U1 handelt. Folgende Belegung 
habe ich herausgefunden:

Vcc   -> Pin 9 3.3V
GND   -> Pin 7
UART? -> Pin 8 auch Taste Skip -
UART? -> Pin18
Reset -> Pin 4 auch ein nicht gelöteter Switch SW6

Ich habe einen 3.3V FTDI-USB Adapter angehängt, konnte aber keine 
Kommunikation feststellen. Als nächstes gehe ich mit einem Logikanalyzer 
dahinter.

Dann kam noch die Frage nach den Findigen Usern. Und wo ich die Angaben 
gefunden habe. Die Quellen sind:
- http://www.revox.name/storymania
- https://www.facebook.com/groups/133388197299545/ (dies ist eine 
geschlossene Facebook Group)

Gemeinsam haben wir das Ziel die Box nachhaltiger zu gestalten, denn di 
hat echt Potenzial! Sie kostet mit Fr. 39.- (resp. 28.- in Aktion) auch 
relativ wenig.

Ich danke für eure Inputs und falls ich jetzt doch eine Frage 
unbeantwortet liess, werde ich nun schneller antworten.

Erstes Ziel wäre den uP herauszubekommen und ev. umprogrammieren zu 
können.

von C. H. (hedie)


Bewertung
1 lesenswert
nicht lesenswert
Hallo

Der Mikrocontroller sieht für mich nach einem STM8S003 / S103 aus
http://www.st.com/content/ccc/resource/technical/document/datasheet/42/5a/27/87/ac/5a/44/88/DM00024550.pdf/files/DM00024550.pdf/jcr:content/translations/en.DM00024550.pdf

Pinbelegung scheint jedenfalls gut zu passen.

von Tippgeber (Gast)


Angehängte Dateien:

Bewertung
1 lesenswert
nicht lesenswert
Claudio H. schrieb:
> Der Mikrocontroller sieht für mich nach einem STM8S003 / S103 aus

Jepp, das passt wirklich gut.

von Tippgeber (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Tippgeber schrieb:
> STM8Sx03Fx.png
>
>1,04 MB, 9 Downloads

Bei mir auf dem Rechner hat die PNG-Datei 200kB, sorry, ich weiß nicht, 
was da schiefgegangen ist.

von Rufus Τ. F. (rufus) (Moderator) Benutzerseite


Bewertung
0 lesenswert
nicht lesenswert
Tippgeber schrieb:
> Bei mir auf dem Rechner hat die PNG-Datei 200kB,

PNG ist kein geeignetes Dateiformat für Photos.

von Marc H. (marchorby)


Bewertung
0 lesenswert
nicht lesenswert
Rufus Τ. F. schrieb:
> Tippgeber schrieb:
>> Bei mir auf dem Rechner hat die PNG-Datei 200kB,
>
> PNG ist kein geeignetes Dateiformat für Photos.

Steht sogar dran wenn man versucht Dateien hochzuladen

von Simon S. (simschmid)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Tippgeber schrieb:
> Claudio H. schrieb:
>> Der Mikrocontroller sieht für mich nach einem STM8S003 / S103 aus
>
> Jepp, das passt wirklich gut.
Danke @Tippgeber und @Claudio H. Das könnte durchaus passdn. Ich habe im 
Pinout die Pins markiert, welche auf den J1 rausgeführt werden.

Leider kenne ich mich mit STM nicht aus. Ich könnte mir aber vorstellen, 
dass diese Pins nsch einer Programmierschnittstelle schreien korrekt?
Das würde dann auch erklären, wieso ich dort mit meinem FTDI keine 
Kommunikation lauschen konnte, denn die UART sind ja an anderen Pins.

Wenn J1 eine Programmierschnittstelle ist, wie wird hier bei einem STM 
programmiert?

von C. H. (hedie)


Bewertung
1 lesenswert
nicht lesenswert
Simon S. schrieb:
> wie wird hier bei einem STM
> programmiert?

Dies ist die programmierschnittstelle.
Der STM8 benötigt nur VCC GND SWIM und NRST.
Diese verbindest du mit einem ST-Link.

Das auslesen des Chips ist mit grosser Wahrscheinlichkeit deaktiviert.
Neu beschreiben könnte evtl. klappen.

Die STM8 haben ziemlich fiese (für den Hersteller praktische) fuses.

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
> Wenn J1e eine Programmierschnittstelle ist, wie wird hier bei einem STM 
programmiert?

Wenn ich's im Datenblatt recht verstanden habe, wird über den SWIM Pin 
programmiert.

"In addition, STice offers in-circuit debugging and programming of STM8 
microcontrollers via
the STM8 single wire interface module (SWIM), which allows non-intrusive 
debugging of an
application while it runs on the target microcontroller."

von Tippgeber (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Simon S. schrieb:
> Wenn J1 eine Programmierschnittstelle ist, wie wird hier bei einem STM
> programmiert?

Du brauchst einen ST—Link (5 … 10 € bei EBay) und die passende 
(kostenfreie) Software von ST und/oder SDCC oder IAR oder Cosmis oder 
...

von hinz (Gast)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Siehe Anhang

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Konnte ich damit den STM8 auch auslesen?
Ist hier jemand im Thread der auch an der Box bastelt? Z.B. @Tippgeber

von C. H. (hedie)


Bewertung
1 lesenswert
nicht lesenswert
Simon S. schrieb:
> Konnte ich damit den STM8 auch auslesen?
> Ist hier jemand im Thread der auch an der Box bastelt? Z.B. @Tippgeber

Ich habe keine Box, würde dir diese aber auslesen.

von hinz (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Simon S. schrieb:
> Konnte ich damit den STM8 auch auslesen?

Er wird gegen Auslesen gesperrt sein.

von Tippgeber (Gast)


Bewertung
1 lesenswert
nicht lesenswert
Simon S. schrieb:
> Ist hier jemand im Thread der auch an der Box bastelt? Z.B. @Tippgeber

Nein, ich habe keine Box. Ich habe Dein Foto benutzt und passend 
gemacht.

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Ich habe mir nun so einen ST-Link V2 Mini bestellt. Gerne kann ich dir 
das Board schicken @Claudio H. , wenn du mir deine Adresse per Nachricht 
schickst.

Meinst du, du kannst es auslesen entgegen der Meinung der anderen?

von Tippgeber (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Simon S. schrieb:
> Meinst du, du kannst es auslesen entgegen der Meinung der anderen?

Wenn sie den IC abschleifen, dann sperren sie ihn auch gegen das 
Auslesen.

von Simon S. (simschmid)


Bewertung
-2 lesenswert
nicht lesenswert
Misch schrieb:
> Gute abig zämme han e frag und zwar ich heti ger  de nfc code vo de
> lulu. Danke im forus

Lulu ==>01170618011012000000000000000000

von simschmid (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Neue Erkentnisse zeigen: es ist wohl doch kein STM sondern ein 8051.
http://www.nuvoton.com/hq/products/microcontrollers/8bit-8051-mcus/low-pin-count-8051-series/?__locale=de
Welcher könnte da passen? Was meint ihr?

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Leier habe ich da noch keinen Mikrocontroller unter 
http://www.nuvoton.com/hq/products/microcontrollers/8bit-8051-mcus/low-pin-count-8051-series/n79e844/?__locale=de 
gefunden, der vom Pinout her passt. Beim STM wäre das so schön 
aufgegangen. Danke @Claudi H. für das Ansehen des Boards.

von Bert 0. (maschinist)


Bewertung
1 lesenswert
nicht lesenswert
Oh, ein alter Bekannter!

Der NFC-Chip im QFN32 ist ziemlich wahrscheinlich der PN512 von NXP
https://www.nxp.com/docs/en/data-sheet/PN512.pdf?pspll=1

Angebunden offensichtlich über SPI und die vier Widerstände links...

Gruß... Bert

: Bearbeitet durch User
von simschmid (Gast)


Angehängte Dateien:

Bewertung
1 lesenswert
nicht lesenswert
Danke Bert @maschinist. Das Pinout vom NXP512 schaut passend aus, wenn 
ich mir das so anschaue mit den Fotos vom Board.

Auch beim Mikrocontroller haben wir eine neue heisse Spur: Nuvoton 
N76E003AT20. Auch dieser passt nun vom Pinout mit den Pins die auf den 
Pinheader führen. Dann ist dies nämlich tatsächlich eine 
Programmier-(Debug?) Schnittstelle!

von Bert 0. (maschinist)


Bewertung
0 lesenswert
nicht lesenswert
Du kannst TX1 und TX2 auch noch markieren, die stimmen ebenfalls 
überein, da beginnt jeweils das EMC-Filter zur Antenne, bestehend aus L1 
+ L2 560nh in Serie und C9 + C10 220 - 270pF gegen Masse.

Ebenso RX und Rmid mit dem typischen R7 als Bias Einkopplung.

Die Grundbeschaltung findest Du im verlinkten Datenblatt, S.110.


Gruß... Bert

von Simon S. (simschmid)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
So, Board ist zurück, Logicanalyzer dran. Auf J1 kommt nix, ausser ich 
drücke Skip - oder Skip +. Dafür quaselt der CON1 ganz schön:

UART 9600N1


rote Taste
sys start

SC2832_NFC512_V1.00
Jun 10 2017
18:12:22
~.©ïsys 2!
 
nfc_mode
 
PcdReset

start PCDCTRL_INIT!

ver:=0x92 
BATTER FULL

low power



grüne Taste
K_PLAY

0A 0A 7E 02 0C EF


weisse Taste
K_PREV

0A 0A 7E 02 0A EF


pinke Taste
K_NEXT

0A 0A 7E 02 0B EF


blaue Taste
K_VOLDN

0A 0A 7E 02 06 EF


gelbe Taste
K_VOLUP

0A 0A 7E 02 05 EF


beim Auflegen des NFC Chips "02"
PcdReset

start PCDCTRL_INIT!

ver:=0x92 

 pUTR->ATQ: 
0x04 0x00 PiccActivateTypeA ok 


 PICC UID: 
0x98 0xDA 0x02 0x2E 
 BLOCK 1 DATA: 0x01 0x17 0x06 0x18 0x01 0x10 0x02 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 
 Toy.Category:1 
 Toy.Year:17 
 Toy.Month:6 
 Toy.Retailer:18 
 Toy.Manufacturer:1 
 Toy.Name:1002 
num=2 
~.A..ï~..ïget get music MusicPlayerNum 

  get Bluetooth Num=2 

 nfc num=2 


beim Wegnehmen des NFC Chips "02"
7E 02 0E EF


beim Ausschalten (tore Taste)
K_POWER off 

~..ï~.¨ï¿WñÿÑòv·Ï³bv.†.ç9ƒ......Á.0.€..„ .......@...

Beim Auflegen der NFC Chips und Ausschalten habe ich die Hexcodes nicht 
abgetippt. Bei den einzelnen Befehlen schon.

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Der Audiochip scheint nur auf die Hex Strings zu reagieren. Der ASCII 
String davor scheint Debug zu sein?!?

7E 02 0A EF   PREV (ein paar Sekunden rück)
7E 02 0B EF   NEXT (ein paar Sekunden vor)
7E 02 0C EF   PLAY
7E 02 05 EF   VOLUP
7E 02 06 EF   VOLDN
7E 02 0E EF   PAUSE

Herausgefundene  Befehle

7E 02 02 EF   ??? Wiedergabe stoppt
7E 02 03 EF   vorheriger Track
7E 02 04 EF   nächster Track
7E 02 07 EF   ??? Adiochip gibt Ton und Wiedergabe stoppt
7E 02 08 EF   ???
7E 02 09 EF   NFC Trackwiedergabe startet von Beginn wenn gestoppt

: Bearbeitet durch User
von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
7E 04 41 00 02 EF
   Spielt Track/Datei M02.smp

Tracks M01.smp bis M39.smp sind möglich, andere Zahlen werden ignoriert. 
Mit dem Skip Track können auch andere Dateinamen abgespielt werden, 
sogar mp3 Dateien!

Nach dem der Mikrocontroller den obigen Befehl zum Abspielen von Track 
M02.smp gegeben hat, sendet er den folgenden:
7E 02 13 EF

: Bearbeitet durch User
von Manum (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Hallo Simon,

Habs nicht ganz verstanden: wie können mit dem Skip Track andere 
Dateinamen abgespielt werden?

Vielen Dank für die Antwort

Lg Manuel

von simschmid (Gast)


Bewertung
0 lesenswert
nicht lesenswert
War etwas spät heute früh ;-)

Ich minte per Skip Befehl können auch mp3 und smp Dateien mit einer 
anderen Bezeichnung wie Mxy.smp abgespielt werden.

Mit dem Play File Befehl 7E 04 41 xy EF können nur Dateien abgespielt 
werden mit der Bezeichnung Mxy.smp. Dabei muss xy zwischen 01 und 39 
sein.

7E Start
04 Befehlslänge (Befehl und Wert)
41 Befehl
XY Wert
EF Ende

von Yves (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Ich klinke mich auch mal in die Diskussion ein - sehr spannende 
Resultate sind bisher zusammengekommen. Well done!

Was mich interessieren würde:
1) Geht Skip in der Tat für 32 bis 39? Via NFC geht's ja nur bis 31.
2) Was macht die Box, wenn du nen NFC mit Track 0x0a auflegst und lässt 
sich daraus evtl. ein FAT-kompatibler Filenamen ableiten?
3) Macht die Box etwas, wenn du nen NFC mit Track 0x40 auflegst? 
Zumindest das "Audio-Knacken" fehlt ja dann (bei 0x0a aber knackt's).

Falls du zum Testen noch ein paar NFCs brauchst, gib mir einfach 
Bescheid (inkl. Adresse).

Ein Detail habe ich noch rausgefunden: Während die Box den ganzen Toy.* 
Block ausliest vom NFC, scheinen alle Felder ausser dem 2. Byte von 
Toy.Name keine Relevanz zu haben. Zumindest werden NFC-Chips mit alles 
0x00 ausser diesem einen Byte trotzdem korrekt abgespielt.

Cheers
Yves

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Hallo @Yves so treffen wir uns weider ;-)

Yves schrieb:
> 1) Geht Skip in der Tat für 32 bis 39? Via NFC geht's ja nur bis 31.
Ja, denn wenn ich den Befehl aus dem Terminal via UART sende, umgehe ich 
ja den Mikrocontroller. Hier scheint der Mikrocontroller auf 31 zu 
reduzieren. Dies könnte ich belegen, wenn ich einen 32 NFC Chip hätte.

> 2) Was macht die Box, wenn du nen NFC mit Track 0x0a auflegst und lässt
> sich daraus evtl. ein FAT-kompatibler Filenamen ableiten?
Leider spielt sie diesen nicht ab, es sei denn ich verwende die Skip 
Funktion (siehe oben).

> 3) Macht die Box etwas, wenn du nen NFC mit Track 0x40 auflegst?
> Zumindest das "Audio-Knacken" fehlt ja dann (bei 0x0a aber knackt's).
Kann leider keine NFC beschreiben mit meinem Handy.

von Simon S. (simschmid)


Angehängte Dateien:

Bewertung
1 lesenswert
nicht lesenswert
Wir könne nun den Nuvoton N76E003AT20 als verwendeten Mikrocontroller 
bestätigen. Leider ist er gesperrt und kann nicht ausgelesen werden.

Daher bleibt uns wohl nur das schrieben einer neuen Firmware. Wer noch 
Ideen hat, ob wir den N76E003AT20 doch auslesen können ist herzlich 
willkommen.

Hier noch das Datenblatt: 
http://www.nuvoton.com/resource-files/DS_N76E003_EN_Rev1.03.pdf

Soweit mal ein herzliches Dankeschön an alle, die uns bisher unterstützt 
haben. Die nächsten Schritte sind nun, rauszeichnen des Schemas und dann 
mithören der Kommunikation zwischen NXP PN512 um nachvollziehen zu 
können, wie der String vom Mifare Classic im Mikrocontroller 
interpretiert und für den Audiochip übersetzt wird.

von Martin S. (strubi)


Bewertung
0 lesenswert
nicht lesenswert
Moin,

kommt man bei besagtem Nuvoton 8051 denn an den In-Circuit-Programmer 
zum Wiederbeschreiben auch bei gesetzten Lock-Bit ran?
Sonst helfen wohl nur gezielte Glitch-Attacken..

von Holger K. (holgerkraehe)


Bewertung
1 lesenswert
nicht lesenswert
Ich hatte auch schonmal Erfolg beim Chinesen, indem ich Ihm einfach 
angefangen habe Mails zu senden und so einen Kontakt aufgebaut habe.

Ich habe ihm damals erklärt, dass ich probleme mit dem spezifischen 
Board habe und daher technischen Support benötige.

Als er merkte, dass ich eine technische Fachperson bin, hat er mir 
Schemas, Code und Bootloader gesendet.

Einfacher ging es noch nie...
Eventuell würde dies hier ebenfalls funktionieren.

Wenn er dir bei der ersten Methode die herausgabe verweigert, fragst du 
ihn einfach, wie viel der SourceCode denn koste. Vermutlich ist er 
kaufbar und vermutlich ziemlich günstig.

Gruss

von Peter D. (peda)


Bewertung
1 lesenswert
nicht lesenswert
Simon S. schrieb:
> Hier noch das Datenblatt:
> http://www.nuvoton.com/resource-files/DS_N76E003_EN_Rev1.03.pdf

Also der Chip läßt ja keine Wünsche offen. Da kriegt man große Lust, mal 
wieder was mit dem 8051 zu machen. Wenn es den schon früher gegeben 
hätte, ich hätte wohl nie Atmels verwendet.
Und das Datenblatt ist einfach nur exzellent. Ein so schön lesbares 
Englisch ist eine Seltenheit. Da bleibt nichts unklar. Selbst die 
Flowcharts des I2C sind leicht zu verstehen.

von Simon S. (simschmid)


Angehängte Dateien:

Bewertung
0 lesenswert
nicht lesenswert
Holger K. schrieb:
> Ich hatte auch schonmal Erfolg beim Chinesen, indem ich Ihm einfach
> angefangen habe Mails zu senden und so einen Kontakt aufgebaut habe.

Gute Idee, ich hab's nochmals probiert (siehe Anhang ;-). Mal sehen, 
wenn wir ans Datasheet des AC1727AP rankommen, dann wären wir schon ein 
schönes Stück weiter.

von Stefan (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Guten Tag zusammen,

  Sehr spannend. Ich selber bin ein grosser Fan der Hörbox. Leider sind 
nur 31 Stücke abspielbar. Mein Ziel wäre, diese Anzahl zu erhöhen. Aber 
so wie ich das lese, stehen da diverse Hürden im weg - schade :-(
  Die andere Frage wäre, wer diese Box baut und welche Boxen sonst noch 
gebaut werden. Z.B. gibt es an der Box die zweite USB-Buchse ohne 
Funktion. Migros meinte, dass die Box auch für andere Firmen gebaut 
wird. Sieht also so aus, als ob die selbe Hardware mit verschiedenen 
Funktionen vertrieben wird. Weiss jemand da mehr Bescheid?
  Ich verfolge auf jeden Fall interessiert Eure Erkenntnisse. Besten 
Dank für diese Forschungsarbeiten.

Viele Grüsse, Stefan

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Stefan schrieb:
> Migros meinte, dass die Box auch für andere Firmen gebaut
> wird.

Hallo Stefan, woher weisst du das? Die Box ist mit PPI Worldwide 
gebrandet, einer wegwerf Plastikspielzeugagentur.

Das Herzstück ist MP3-Bluetooth-USB-Audioic aus Fernost (siehe 
Screenshot oben). Dieser akzeptiert Filenames bis M31.smp (also liegt 
die Hypothese nahe, dass die Migros noch eine weitere Geschichte auf 
Lager hat. Auf Ostern?).

von Stefan (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Hallo Simon,

  Die Info habe ich von Migros auf Migipedia erhalten:
https://community.migros.ch/m/Forum-Migipedia/StoryMania-Hörbox-2-USB-Anschluss/m-p/662353/thread-id/32042

Viele Grüsse, Stefan

von Chris K. (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Nun ja bei gesperrten ICs gibt es Mittel und Wege. Die Frage ist wieviel 
Zeit und Geld man investieren möchte. Im Studium haben wir mal folgendes 
Vorgehen mit Erfolg durchgeführt.

Chipgehäuse aufätzen und Silizium freilegen.
Die Sektion für die Fuses auf dem Silizium identifizieren.
Den Rest des Silizium lichtdicht maskieren.
Die Fuses mit UV Licht bestrahlen.

Durch das UV Licht kippen die Fuses irgendwann und man bekommt wieder 
Zugriff auf den eigentlich gesperrten IC. Problem an der Sache. Zum 
einen weiß man nicht welche Fuse da gerade kippt. Mit etwas Pech kippt 
halt die für die Quarz Einstellungen oder gleich das ganze Debug 
Interface. Man braucht also mehrere Versuche. Dann kann man auch nicht 
ganz verhindern, dass das Licht am Rand der Maskierung noch in den Chip 
eintaucht. Kann also sein das man nebenbei noch ein paar EEPROM Zellen 
gleich mitkippen lässt. Das kriegt man aber raus, wenn man nur genug ICs 
entsperrt und die EEPROM Inhalte anschließend vergleicht. 
Problematischer ist da schon das Diassambly vom eigentlichen Programm. 
Weil nur dieses aus dem Chip zu laden macht einen ja nicht schlauer.

von Ivo (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Hallo

Gibt es schon Neuigkeiten/Lösungen?

Gruss

von Simon S. (simschmid)


Bewertung
0 lesenswert
nicht lesenswert
Hallo Ivo

Das Projekt ist im Sommerschlaf. Gerne möchten wir uns mal zu einem 
persönlichen Austausch Bier/Grill treffen. Bei Interesse melden.

Die Migros hat ja nun mit den Disney Figuren die dritte und letzte 
Aktion gestartet. Die Disney Geschichten belegen nämlich die bisher 
freien Plätze bis M30.smp.

Das heisst: ohne Ändern der Firmarware sind nun praktisch alle 31 Plätze 
belegt (siehe oben).

Die Sensation wäre nun, wenn die Migros weitere Figuren-Geschichten 
lanciert. Dies setzt entweder einen Firmware-update vorraus (was nach 
unserem bisherigen Erkenntnissen nicht möglich ist, ohne die Box zu 
öffnen und somit für den 0815 Konsumenten nicht machbar) oder es sind 
andere Nummern als M32.smp ....

: Bearbeitet durch User
Beitrag #5518853 wurde von einem Moderator gelöscht.
Beitrag #5521571 wurde von einem Moderator gelöscht.

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [avrasm]AVR-Assembler-Code[/avrasm]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.
Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt.
Bitte hier nur auf die ursprüngliche Frage antworten,
für neue Fragen einen neuen Beitrag erstellen.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.