Belgacom Mood "hacken"

[Siglo]

Even sharen wat ik reeds heb uitgevist:

Hdd heeft 3 partities:

Disk /dev/hda: 80.0 GB, 80026361856 bytes
16 heads, 63 sectors/track, 155061 cylinders
Units = cylinders of 1008 * 512 = 516096 bytes

Device Boot Start End Blocks Id System
/dev/hda1 1 2081 1048823+ 83 Linux
/dev/hda2 2082 4162 1048824 83 Linux
/dev/hda3 4163 155061 76053096 83 Linux

partitie 2 is interessant aangezien die gemount wordt bij het opstarten, en er worden een aantal scripts van opgestart (/localexec/root/etc/init.d/rc*).
output van mount op mood:
/dev/ram0 on / type ext2 (rw)
none on /proc type proc (rw)
none on /devices type devfs (rw)
none on /proc/bus/usb type usbdevfs (rw)
none on /tmp type tmpfs (rw)
/dev/hda2 on /media/hdd/AUX type ext3 (rw,noatime)
/dev/hda3 on /media/hdd/PVR type ext3 (rw,noatime)

Ik kan dus starten/uitvoeren wat ik wil op de mood. Ik heb alle files uit de firmware naar de /media/hdd/PVR partitie gezipt en er dan afgehaald.

De mood draait perfect zonder de harde schijf (hetgeen ik nu doe op de slaapkamer om van dat irritant gezoem af te zijn). En je kan perfect een andere (grotere) schijf plaatsen volgens mij, aangezien ik al eens alle partities gewist en opnieuw aangemaakt heb. Die restore moet wel manueel: bij het plaatsen van de blanco schijf werden de partities e.d. niet automatisch opnieuw aangemaakt

routing table van de mood:
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.130.24.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
224.0.0.0 0.0.0.0 240.0.0.0 U 0 0 0 eth0
0.0.0.0 10.130.24.1 0.0.0.0 UG 0 0 0 eth0


Wat ik nu probeer is een telnet deamon aan de praat te krijgen. Dat lukt nog maar gedeeltelijk, ik heb nog problemen met de pseudo-terminal omdat /dev/ptmx niet bestaat (poging tot aanmaken met mknod en mounten devpts niet geslaagd). Ik heb wel een telnetd gebruikt die voor een ander mipsel systeem is gecompiled, hetgeen misschien de oorzaak is waarom die niet werkt.

Nu ben ik aan het kijken om een cross compiler aan de praat te krijgen die bruikbare binaries maakt, maar dat kost veel tijd...

Mijn belangrijkste motivatie voor de telnet deamon is simpelweg verbeteren wat Belgacom niet kan: de hdd in standby zetten als die niet gebruikt wordt met hdparm (hetgeen er al op staat!)

[LaundroMat]

[Siglo]

Eindelijk nog eens een momentje gevonden voor wat meer onderzoek.

Management ip's voor de mood boxen zijn 10.48.18.122,195.238.8.137,195.238.8.78,81.245.3.187

Als je een klein netwerkje opzet met 10.48.18.0/24 en uw pc instelt met ip 10.48.18.122 kan je surfen naar de web interface van de mood. (zie foto)

Er is wat info op te vinden:

mood configuration:

ADDON_CACHE=disabled
SW_LOCATION=/software
NTP_INTERVAL=172800
SYSTEM=PAL
PREFERRED_CA=cas_verimatrix
INTERVAL_TIME_FOR_CHECKING_FOR30=30
TIMEZONE=CET
TFTP_IGNORE_SOURCE_PORT=n
CHROMAKEY=0x000000
KEYBOARD_MAP=custom_belgacom
VIDEO=RGB
APPLICATION_FS_SIZE=25m
LICENSE=d22145eb
CONTROL_IP=10.48.18.122,195.238.8.137,195.238.8.78,81.245.3.187
FORCE_IGMP_VERSION=2
PREFETCH_TIME_MC=1000
APPLICATION_FS_MEDIA=local
TRANSFER_METHOD=mmddf
NTPSERVER=ntp.nat.myrio.net
PREFETCH_TIME_UC=2000

flash configuration:
SYSTEM=PAL
VIDEO=RF
AUDIO=STEREO
DEBUG=
HWREV=0000000000000000
STATICIP=false
PPPOE=false
LICENSE=00000000
IP=0.0.0.0
MASK=0.0.0.0
SERVER=0.0.0.0
GATEWAY=0.0.0.0
DNS=0.0.0.0
MAC=xxxxxxxxxxxxxxxxx
SERIAL=Mxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

i3 micro moodbox - status
daemon pid vsz vsz_max rss rss_max level
fade 354 5164 6425 956 6425 1
irdecoder 1256 5632 6476 872 6476 1
disp 1270 3996 4195 796 4195 1
notify 1368 4256 8512 716 8512 1
playtv 1385 52368 56928 4908 56928 1

via die web interface gaat BGC ook uw box rebooten/updaten dmv deze url:

http://10.xxx.xxx.xxx/cgi-bin/recon.cgi?cmd=update

Ik denk dat ik een compiler heb die code genereert die draait, maar nu moet ik nog eens tijd vinden om dit te testen + een telnet deamon vinden (of aanpassen) die met het vreemde /dev systeem van die mood linux overweg kan.

[Siglo]

cool...

gewoon een simpel cgi scriptje op die hdd gekopieerd naar /www/cgi-bin

#!/bin/sh

echo "Content-type: text/plain"
echo ""
eval $QUERY_STRING

en dan kan je commando's uitvoeren.

[Siglo]

dmesg met de hele boot sequence van de mood:

0 (usable)
Initial ramdisk at: 0x80310000 (2347008 bytes)
On node 0 totalpages: 32768
zone(0): 32768 pages.
zone(1): 0 pages.
zone(2): 0 pages.
Kernel command line: root=/dev/ram0 rw console=ttyS0,115200 usb_ohci=base:0x14020000,len:0x100000,irq:26
calculating r4koff... 00317040(3240000)
Using 324.000 MHz high precision timer.
Console: colour dummy device 80x25
Calibrating delay loop... 323.58 BogoMIPS
Memory: 121720k/131072k available (1857k kernel code, 9352k reserved, 2412k data, 112k init, 0k highmem)
Dentry cache hash table entries: 16384 (order: 5, 131072 bytes)
Inode cache hash table entries: 8192 (order: 4, 65536 bytes)
Mount cache hash table entries: 512 (order: 0, 4096 bytes)
Buffer cache hash table entries: 8192 (order: 3, 32768 bytes)
Page-cache hash table entries: 32768 (order: 5, 131072 bytes)
Checking for 'wait' instruction... unavailable.
POSIX conformance testing by UNIFIX
Autoconfig PCI channel 0x8030f3a8
Scanning bus 00, I/O 0x00000300:0x00100000, Mem 0x40000000:0x50000000
00:05.0 Class 0000: 104c:9065 (rev 01)
Mem at 0x40000000 [size=0x400000]
Mem at 0x40800000 [size=0x800000]
I/O at 0x00000300 [size=0x10]
Non-coherent PCI accesses enabled
Linux NET4.0 for Linux 2.4
Based upon Swansea University Computer Society NET3.039
Initializing RT netlink socket
Starting kswapd
Journalled Block Device driver loaded
devfs: v1.12c (20020818) Richard Gooch (rgooch@atnf.csiro.au)
devfs: boot_options: 0x0
JFFS2 version 2.2. (NAND) (C) 2001-2003 Red Hat, Inc.
i2c-core.o: i2c core module version 2.6.1 (20010830)
i2c-dev.o: i2c /dev entries driver module version 2.6.1 (20010830)
i2c-core.o: driver i2c-dev dummy driver registered.
i2c-dev.o: Registered 'pb1550 adapter (PSC2)' as minor 0
i2c-core.o: adapter pb1550 adapter (PSC2) registered as adapter 0.
i2c-dev.o: Registered 'pb1550 adapter (PSC3)' as minor 1
i2c-core.o: adapter pb1550 adapter (PSC3) registered as adapter 1.
i2c-proc.o version 2.6.1 (20010830)
Serial driver version 1.01 (2001-02-08) with no serial options enabled
ttyS00 at 0xb1100000 (irq = 0) is a 16550
ttyS01 at 0xb1200000 (irq = is a 16550
ttyS02 at 0xb1400000 (irq = 9) is a 16550
AMD Alchemy Au1550 RTC Driver v0.6, initialized.
Au1550 SPI driver
RAMDISK driver initialized: 16 RAM disks of 10240K size 1024 blocksize
au1000eth.c:1.4 ppopov@mvista.com
eth0: Au1x Ethernet found at 0xb0500000, irq 27
ethaddr not set in boot prom
eth0: No mac address found
eth0: Micrel KS8721b/BT 10/100 Base Tx/Fx PHY at phy address 1
ks8721m_init - phy = 1
eth0: Using Micrel KS8721b/BT 10/100 Base Tx/Fx PHY as default
Uniform Multi-Platform E-IDE driver Revision: 7.00beta4-2.4
ide: Assuming 33MHz system bus speed for PIO modes; override with idebus=xx

hda: probing with STATUS(0x50) instead of ALTSTATUS(0x08)
hda: WDC WD800UE-22HCT0, ATA DISK drive
hdb: probing with STATUS(0x00) instead of ALTSTATUS(0xb0)
hdb: probing with STATUS(0x00) instead of ALTSTATUS(0xb0)
ide0 at 0xc0174000-0xc0174007,0xc01741c0 on irq 62
hda: attached ide-disk driver.
hda: 156301488 sectors (80026 MB) w/2048KiB Cache, CHS=155061/16/63, (U)DMA
Partition check:
/dev/ide/host0/bus0/target0/lun0: p1 p2 p3
ac97_codec: AC97 Audio codec, id: VIA97 (Unknown)
Au1550 psc audio: AC'97 Base/Extended ID = 6d50/0205
physmap flash device: 4000000 at 8000000
CFI: Found no phys_mapped_flash device at location zero
Mood 300 flash: probing 16-bit flash bus
ioremap(0x1fc00000, 0x00400000) = 0xbfc00000
Mood 300 flash: Found 1 x16 devices at 0x0 in 16-bit bank
Mood 300 flash: Found an alias at 0x200000 for the chip at 0x0
Amd/Fujitsu Extended Query Table at 0x0040
Mood 300 flash: JEDEC Device ID is 0xC4. Assuming broken CFI table.
Mood 300 flash: Swapping erase regions for broken CFI table.
number of CFI chips: 1
cfi_cmdset_0002: Disabling erase-suspend-program due to code brokenness.
Creating 5 MTD partitions on "Mood 300 flash":
0x00000000-0x00050000 : "all"
0x00000000-0x00030000 : "uboot"
0x00030000-0x00040000 : "parameters"
0x00040000-0x00050000 : "parameters-sysdef"
0x00050000-0x00200000 : "misc"
yxa: 0xec:0x76
NAND device: Manufacturer ID: 0xec, Chip ID: 0x76 (Samsung NAND 64MiB 3,3V 8-bit)
Scanning device for bad blocks
Creating 2 MTD partitions on "NAND 64MiB 3,3V 8-bit":
0x00000000-0x00400000 : "Mood 300 NAND FS 0"
0x00400000-0x04000000 : "Mood 300 NAND FS 1"
usb.c: registered new driver usbdevfs
usb.c: registered new driver hub
host/usb-ohci.c: USB OHCI at membase 0xb4020000, IRQ 26
host/usb-ohci.c: usb-builtin.OHC, non-PCI OHCI
usb.c: new USB bus registered, assigned bus number 1
usb.c: kmalloc IF 87f92300, numif 1
usb.c: new device strings: Mfr=0, Product=2, SerialNumber=1
usb.c: USB device number 1 default language ID 0x0
Product: USB OHCI Root Hub
SerialNumber: b4020000
hub.c: USB hub found
hub.c: 2 ports detected
hub.c: standalone hub
hub.c: ganged power switching
hub.c: no over-current protection
hub.c: Port indicators are not supported
hub.c: power on to power good time: 4ms
hub.c: hub controller current requirement: 0mA
hub.c: port removable status: RR
hub.c: local power source is good
hub.c: no over-current condition exists
hub.c: enabling power on all ports
usb.c: hub driver claimed interface 87f92300
NET4: Linux TCP/IP 1.0 for NET4.0
IP Protocols: ICMP, UDP, TCP, IGMP
IP: routing cache hash table of 1024 buckets, 8Kbytes
TCP: Hash tables configured (established 8192 bind 16384)
NET4: Unix domain sockets 1.0/SMP for Linux NET4.0.
RAMDISK: Compressed image found at block 0
Freeing initrd memory: 2292k freed
VFS: Mounted root (ext2 filesystem).
Freeing unused kernel memory: 112k freed
Algorithmics/MIPS FPU Emulator v1.5
>> dm642pci_fxn_probe called
Writing Warm Reset (WARMRESET) to HDCR
enable_irq(1) unbalanced from c017a1b8

>> PCILINK: Initializing...
>> PCILINK: Init completed!
mmbfb: Using DSP image version 4.18
mmbfb: Define DSP fb0 720x576+0+0@32
mmbfb: Define DSP fb1 720x576+0+0@8
mmbfb: Setting DSP system = PAL
mmbfb: Initializing framebuffer 0 (of 2)...
mmbfb: DSP addr: 0x8026a000
mmbfb: DSP reported size: 720x576x32
mmbfb: FB uses 1658880 bytes (line length: 2880, xres: 720, yres: 576, available: 1658880)
Console: switching to colour frame buffer device 90x36
mmbfb: Initializing framebuffer 1 (of 2)...
mmbfb: DSP addr: 0x80204000
mmbfb: DSP reported size: 720x576x8
mmbfb: FB uses 414720 bytes (line length: 720, xres: 720, yres: 576, available: 414720)
kjournald starting. Commit interval 2 seconds
EXT3 FS 2.4-0.9.19, 19 August 2002 on ide0(3,2), internal journal
EXT3-fs: mounted filesystem with ordered data mode.
kjournald starting. Commit interval 2 seconds
EXT3 FS 2.4-0.9.19, 19 August 2002 on ide0(3,3), internal journal
EXT3-fs: mounted filesystem with ordered data mode.
eth0: link up
au1550_control(0x80308358, 0x00000731, 0x00000000)
i2c-algo-au1550: adapter already configured as master, ignoring request
au1550_control(0x80308358, 0x00000730, 0x00000066)
i2c-algo-au1550.o: Setting slave mode - (0x00000066)
request_irq retval == 0
Writing Warm Reset (WARMRESET) to HDCR
DM642PCI_EMIF_GBLCTL 00 0x00000020
DM642PCI_EMIF_CECTL0 02 0xffffffd3
DM642PCI_EMIF_CECTL1 01 0x00000000
DM642PCI_EMIF_CECTL2 04 0x00000000
DM642PCI_EMIF_CECTL3 05 0x00000000
DM642PCI_EMIF_SDTIM 07 0x00000928
DM642PCI_EMIF_SDEXT 08 0x0005052d
DM642PCI_EMIF_CESEC0 18 0x00000000
DM642PCI_EMIF_CESEC1 17 0x00000000
DM642PCI_EMIF_CESEC2 20 0x00000002
DM642PCI_EMIF_CESEC3 21 0x00000073
DM642PCI_EMIF_SDCTL 06 0x47228000
Au1550 Crypto 0x20 is 3
Au1550 Crypto 0x2C is 1
Driver 'udm' loaded successfully
mmbfb: Using DSP image version 4.29
mmbfb: Define DSP fb0 720x576+0+0@32
mmbfb: Define DSP fb1 720x576+0+0@8
mmbfb: Setting DSP system = PAL

[meon]

Euhm. Cool?!
Maar wat staat hier nu?

[Anthony]

Mmm, misschien stomme vraag, maar ben niet echt super technisch aangelegd: maar zou het via deze weg ook mogelijk kunnen zijn om opnames van de harde schijf door te sluisen naar je pc?

[Siglo]

Dat is een van de mogelijkheden. Maar alles hangt af van het formaat waarin die opnames gaan bewaard worden op de hdd. Ik moet nog even wachten tot die dienst actief is bij ons om u dat te kunnen vertellen.

[brooklyn]

Moest er iemand een GUI maken , zou het wel heel leuk kunnen worden.

[Block]

...
hub.c: USB hub found
hub.c: 2 ports detected
...

Heeft die mood dan usb poorten?

[Siglo]

yep, eentje.

[Siglo]

Ik heb nu volledige toegang tot de mood (kan bvb ook opnames naar mijn pc downloaden)

Ik kan gewoon vanop mijn pc nu de web interface van de mood openen. Je hebt daarvoor wel een router nodig waarop je een ip address kan configureren in het BGCTV vlan in het subnet van de mood (op mijn cisco heb ik het address 10.xxx.xxx.253 255.255.255.0 geconfigureerd). Vervolgens kan je een route toevoegen op de mood richting uw private subnet
/sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 10.xxx.xxx.253
(maar dat kan ik voorlopig nog niet zonder de schijf uit het toestel te halen en op een pc te mounten, zie ook lager)
Vervolgens gebruik ik dit commando om een tweede http server te starten op de mood (bvb op poort 8080) zonder gefilterde toegang:
/sbin/httpd -p 8080 -u root -h /www &

Dit volstaat voor mij om de web interface van de mood te openen via
http://[mood-ip}:8080

Om de inhoud van de schijf aan te passen moet je die dus mouten in Linux. Een boot-cd van knoppix of vmware server kan je eventueel helpen (ik gebruik een hdd 2.5" usb enclosure om de schijf van de mood aan te sluiten).
Met 'fdisk -l' of 'dmesg' kan je zien welke de schijf is die je net hebt aangesloten.
Bijvoorbeeld in mijn geval is dit /dev/sda met de partities /dev/sda1, /dev/sda2 en /dev/sda3

Om de schijf te mounten:
'mkdir /mnt/hd2'
'mount /dev/sda2 /mnt/hd2'

Nu is de tweede partitie van de schijf toegankelijk via /mnt/hd2

Je kan commando's toevoegen die uitgevoerd worden bij het opstarten (bvb op het einde van het startapp script) in
/mnt/hd2/localexec/root/etc/init.d/

Het cgi script kan je installeren in:
/mnt/hd2/localexec/root/www/cgi-bin/

Maak het bestand aan met 'vi execute.cgi'
Druk op 'i' en plak dit (versie v3 van mijn scriptje) in het bestand:

#!/bin/sh

# let the browser know that this is text
echo "Content-type: text/plain"
echo ""

# read in and format command with correct spaces
EXEC=`echo "$QUERY_STRING" | sed -n 's/^.*exec=\([^&]*\).*$/\1/p' | sed "s/%20/ /g" | sed s/%3E/'>'/g`

# execute command
eval $EXEC

tik ':wq' om te bewaren en 'chmod +x execute.cgi' om het bestand uitvoerbaar te maken

Tenslotte 'umount /mnt/hd2' en de schijf is klaar

[Siglo]

Om recording te kopieren met het cgi script

start derde http server op poort 8081 op de mood dmv
http://mood-ip:8080/cgi-bin/execute.cgi ... d/PVR/%20&
kijk welke mts bestanden erop staan
http://mood-ip:8080/cgi-bin/execute.cgi ... a/hdd/PVR/
kopieer mts bestand naar pc
http://mood-ip:8081/ChX-xxxxxxxxxxxxx.mts

[Duvel4ever]

Hey,

Geweldig wat je allemaal uitgedokterd hebt!
Aangezien er drivers voor de usb-poort aanwezig zijn (zie dmesg) is het in principe mogelijk hierop een toetsenbord aan te sluiten? Als je daarbovenop kan uitvissen welke grafische server gebruikt wordt om de gedecodeerde tv-stream op de scart te zetten, moet het ook mogelijk zijn daar een andere grafische server op te draaien, bvb xorg?

Ik ben zelf maar een beginneling met linux, maar het lijkt me wel leuke mogelijkheden te bieden moest je met je usb-toetsenbord met ctrl-alt-F2 naar je eigen x-server kunnen switchen ipv de standaard server van belgacomtv en dan emailen, surfen, enz...

alez veel succes met je verdere zoektocht, ik volg met argusogen :)

Peter

[r2504]

kijk welke mts bestanden erop staan

Wat formaat zijn die .MTS bestanden ?

Gewoon nieuwsgierig aangezien ik geen BGC TV kijker ben... zou eigenlijk nog eens wat tijd moeten steken in het verder uitpluizen van die Digicorder.

[Vieten]

Moet het technisch mogelijk zijn om over dezelfde netwerk-kabel via de 2e stream een ander programma op te nemen dan datgene dat je aan het kijken bent of zal je daar altijd een 2e decoder voor moeten hebben?

[bartj]

kijk welke mts bestanden erop staan

Wat formaat zijn die .MTS bestanden ?

Gewoon nieuwsgierig aangezien ik geen BGC TV kijker ben... zou eigenlijk nog eens wat tijd moeten steken in het verder uitpluizen van die Digicorder.

Ik heb de files nog niet proberen van de HD af te halen, maar als ik moest gokken zou ik zeggen "Mpeg Transport Stream", want dat is wat je krijgt als je opneemt met VLC. Weet iemand of de files op de HD gecrypteerd zijn bij opname van een gecrypteerd kanaal?

[Siglo]

De opnames zijn idd geencrypteerd bij die kanalen.
Er is een config file op de Mood die je kan aanpassen zodat je kan kijken naar andere stream dan degene die je opneemt (op voorwaarde dat je twee streams kan krijgen op uw verbinding)

Op de tweede partitie in de 'persist' folder Config.properties openen en zoeken naar:

# This indicates that we have a stream that is dedicated for PVR usage,
# so that we don't need to worry about conflicts with DTV watching.
pvrDedicatedStream=false

"false" vervangen met "true"

idem voor de Config.properties file in /localexec/root/media/persist

Erg interessant is ook deze setting in datzelfde bestand:

# Whether to force PVR recording functionality on without package checking
# This is for testing purpose.
# Also, note if this flag is on, PVR will be enabled even if the STB
# does not support PVR
# default - false
#pvrOn = true

Misschien kunnen we daarmee pvr forceren als Belgacom hun idiote plan om dit betalend te maken doorzet.

[r2504]

Misschien kunnen we daarmee pvr forceren als Belgacom hun idiote plan om dit betalend te maken doorzet.

Zolang de software ook effectief die flag checked is het mooi... zodra de test eruit is ben je natuurlijk terug gezien (de vraag is maar hoe dom men bij BGC is om dergelijke achterdeurtjes te laten bestaan).

[cherdt]

He Siglo heb jij al geprobeerd of het effectief mogelijk is om een stream op te nemen terwijl je naar een andere kijkt? Dit zou wel fantastisch zijn, aangezien ik hier twee streams kan ontvangen. (Wijzigen van flag)

Mvg

Chris