pspjoke氏のPSP OFW6.20 exploitはレジスタを自在に操れる神懸り的exploit

2010/2/5 PSP Hack 3

Lan.stフォーラムでpspjoke氏がPSPのセーブデータを使ったexploitを発見したと報告していました。【記事】

ゲーム自体は現在でもプレイステーションストアにあるらしいですが、現時点では何のゲームを利用しているかについては未公開です。どうやら何も進展しないままソニーに対策されてしまったFreePlay氏のexploit(Hello World)の失敗を糧に慎重に扱っている様子がフォーラムから見て取れます。

今回のexploitが動作するのはファームウェア6.20までの全PSP(PSP go含む)対応でユーザーモードexploitだそうです。今後eLoaderは予定されていくようですが、カーネルモードへアクセスが可能になるかもしれないHEN(Homebrew ENabler)まで進展するかどうかは全く未知数です。

ここ最近PSPをハックしたと主張するのは実際動画だけのFAKEがほとんどでしたが、今回は少し趣が異なります。動画が全くなく、実際PSPをクラッシュさせたときのPSPLinkを使ったレジスタ値でのexploit証明です。

ゲーム名は分かりませんが、Gripshiftの時と同様にセーブデータに「A」の文字(0x41)を大量に入れてバッファーオーバーフローを導きだしているようです。Gripshiftの時の文字コードは「a」の文字(0x61)で名前に”This is spartaaaaa….”を入力していましたが、このPSPLinkの結果は例えば「This is SARTAAAAA….”」を入れたような状態です。あちこちのレジスタに41(ASCIIコードでいうと「A」)が頻出しています。

この場合は先ほどの名前部分の「41」を「EE」に置き換えています。ここがexploitであると一目で分かるポイントで、「41」の代わりに「EE」へ置き換えたところ各レジスタの値もそれに合わせて「0xEEEEEEEEE」となったことが一目で分かります。つまりは各レジスタに任意の値を入れておくことが可能ということです。

どちらの結果を見ても分かる通り、今回のexploitは下記のレジスタの値を任意に操れることになります。
$S0〜$S7 callee-saved register
$fp frame pointer
$ra return address

PSPはこのexploitでクラッシュしていると思いますが、disasmを使ったその時のアセンブル表示がないのでこのレジスタを簡単に使えそうなのかが分かりません。仮に$raへのジャンプコールが存在していれば任意のアドレスへ飛ばすことが可能になります。そこになんらかのコードを書いてしまえば自作コードを走らせることが出来るようになります。

PSPLinkの結果はそれなりに信頼性が高いような気がしてしまいますが、当然それ自体FAKEの可能性もあります。
ただし、今回はn00b81氏という、PSP界では知名度があるフォーラムユーザーにヘルプを求めています。ある意味それが本物であるという証拠とも言えるでしょう。

Lan.stフォーラムはPSP界では知名度がのレベルが高いことで有名ですが、今回は逆にそれを上手く利用し、名前が通っているn00b81氏に検証を含めたお手伝いをしてもらっている形です。

かねてよりwololo氏が
「exploitの証拠として有名どころのユーザーに送って確認してもらえばいい」
と言っていましたが、まさにそんな展開になっています。

それにしてもPSPLinkでこんなに美しい結果が出るなんて、それを見ることが出来ただけでも幸せです。

今回のexploitはユーザーモードでしか動作しませんが、PSP goで初めてHomebrewが起動するかもしれない大きな分岐点になるかもしれません。

ゲーム最新情報 2010年2月4日のニュース

2010/2/4 NEWS 4

●Lan.stフォーラムでpspjoke氏がPSPのセーブデータを使ったexploitを発見したと報告していました。この件についてPSP-Hackで、実績十分のn00b81氏の協力のもとHomebrewローダーとなるeLoaderも計画されていることを伝えていました。ファームウェア6.20までの全PSP(PSP go含む)対応でユーザーモードexploitだそうです。今回はn00b81氏の名前が出た時点でFAKEの可能性は極端に薄いでしょう。ビデオも何もなく詳細は不明ですが、プレイステーションストアでダウンロード可能なゲームのようです。

●SeattleTimesのNWsourceで、台湾のPegatron Technology社がAppleから次期iPhone、マイクロソフトからはXbox360のモーションコントローラー”Project Natal”の生産を委託されたことを伝えていました。Natalのゲーム開発用プロトタイプが既にあるようで、その写真も掲載されていました。

●GAMEPROで、Flylogic Engineering社のChristopher Tarnovsky氏がBlack Hat DC(セキュリティコンファレンス)において、Xbox360の暗号化などのセキュリティなどに関わっているInfineon SLE 66 CL PCプロセッサに脆弱製がありハッキングされてしまっていると報告したことを伝えていました。

●VideoGamerで、ある情報筋からの話として任天堂の次期ゲーム機に向けてゲーム開発が既に開始されているようだと伝えていました。来月開催されるGame Developers Conferenceで任天堂の新型機が発表される可能性もあるようです。VideoGamerが任天堂にコメントを求めたところ、当然憶測だとして一蹴されたそうです。

●Eurogamerで、SCE幹部のPeter Dille氏がPS3の2010年販売がスロースタートであった理由について在庫が少なかったためだと説明したことを伝えていました。また、Xboxを販売台数で追い越すかもしれないことについては、もう仮定の話ではなく時間の問題だとしています。

●Team Xecuterが、Xecute CK3シリーズ製品としてハンダ付け不要でXbox 360のLiteOnドライブの74850keyのダンプや83850V2、93450ドライブのファームウェアアクセスも可能なXecuter CK3 Probe v2をリリースしていました。LTスイッチモードとPROBEモードの切り替えも簡単にできるそうです。

●XboxHacker BBSで、開発者用になりますがTeam XeLoveがネットワークベースのXDKプログラマー用デバッグアシストツールXeDebug Beta Release v1をリリースしたことを伝えていました。LAN経由でログを取得したりXEXファイルを実行/停止したりできるようです。便利なツールが揃いつつありますね。

●Xbox-sceneで、Ski-ller氏がXbox 360のHomebrewダッシュボードIngeniouX Beta 2をリリースしたことを伝えていました。左スティックでオンボードアプリメニュー表示、mp3プレーヤー追加、Xbox Live Arcadeアイコンを解凍して使用できるよう変更、Xbox Live Arcadeの起動に対応、イメージビューアー追加、電卓の追加などが変更点です。

●exophaseで、ゲーム会社THQの社長Brian Farrell氏が未だ正式名称未定なPS3のモーションコントローラーのことを「Arc」と呼んだことを伝えていました。やはりArcで内々に決まっているのかもしれません。

●Joystiqで、ゼルダの伝説のディレクター青沼英二氏がWiiのゼルダの伝説新作をE3でプレイできる状態で披露したいと語ったことを伝えていました。新ゼルダはモーションプラスをサポートをするようで、昨年から開発をしていたようです。

●QJで、Zack_PSP氏がPSPのバッテリー残量が15%以下になると画面にワーニングメッセージを表示してくれるプラグインBattery Warning Plugin v0.3.1をリリースしたことを伝えていました。バッテリーが満充電でもメッセージを表示してくれるようで、そのメッセージを消すには電源ケーブルを抜くかL+R+Selectボタンを押せばいいようです。

●ファミ通.comで、ソニーがソニーグループの2009年度第3四半期（2009年10月1日〜12月31日まで）の連結業績を発表したことを伝えていました。ゲーム事業だけを見てみると、売上高はプレイステーション2のハードとソフト、PSPのハードの売上台(本)数が減少したことにより、前年同期比で約4パーセント減少の3790億円、営業利益はプレイステーション3のコスト改善などが好影響して前年からほぼ横ばいとなる5億円減少の150億円だったそうです。さらに『グランツーリスモ5』延期により今年度のソフト売上見通しを下方修正しています。
またプレイステーション3本体を売るごとに赤字だと言われていますが、実際赤字になる逆ざや(売価超過)は約6パーセントだそうで、今後1年間かけて約15パーセントのコスト改善を図る予定のようです。