杂谈之十一
正版卡虽好，但其高额的收视费仍是让国内的泛博的伴侣望之却步，巨匠的但愿仍是依靠在D卡轨范的完美上，但愿终有一天，D卡能与正版卡一样不受反制。
为了不才面的文章中介绍MAP功能仿真，有需要先说说EMM指令与Logging等常识。
EMM是“授权节制呼吁”，简单说就是“更改收视卡中信息的命练羟车ケ。N1系统中的EMM呼吁良多，StuntGuy
的《N1-FAQ》（N1系统的常见问题解答，是最经典和最权威的文章）琅缦沔就介绍了42条的EMM呼吁。EMM指令中的FA（针对ROM10卡）和FB（针对ROM11卡）是所有EMM指令中功能最为强年夜的指令。在该指令中携带了6805指令写的小段轨范。CAM（收视卡）将EMM解码后，将该EMM携带的机械指令码存入正版卡年夜$81起头的固定地址。以子轨范挪用的体例，转到该地址，执行这段轨范。这段轨范的竣事可以只是一个简单的子轨范返回轨范，也可以用转移指令转到保留key的子轨范去。前者一般不保留key，后者才保留key。
N1系统的EMM长度最年夜为64字节，即要包含Key0/key1和一些标识与过滤指令，又要包含一小段轨范。受到巨细的限制，轨范的长度不能跨越37个字节。对于复杂的解码反制，轨范很长时，一般经由过程下行的信息将年夜部门的轨范写到正版卡的EEPROM中，由EMM中的小段轨范来挪用，正如某地有线当前的反制所采用的体例。对于二次加密了的Key0/Key1，只有正确执行该段轨范后，才可以还原Key0/Key1。
防止D卡正解执行该部门轨范是不难做到的，现实上，因为D卡采用的CPU不是6805家族的，D卡也不直接执行该段轨范，但防止D卡研制者人工判读该段轨范却是极犊悸青的。
如不美观D卡研制者采用人工判读的体例，读懂了新的EMM的反制事理，找到匹敌反制的体例，那么就可以在反制后的不长时刻内研制出进级改良的匹敌轨范。至于这些轨范是否会放到网站上下让巨匠开放下载，是一个非手艺性的复杂问题，已经超出本文所切磋典型围了。
判读EMM内容与反汇编其中的6805轨范的轨范如下：
1、经由过程某种手段，将EMM记载下来。这个轨范也称为Logging。Logging凡是可以经由过程1020卡或Season卡等来进行。我的Logging是用含有自己写的非凡轨范的卡，在新的含Key的EMM到来时写入EEPROM，再用写卡器读出即可。
2、将Logging的文件交给EMM-Studio。该软件是进修和剖析EMM、ECM以及N1系统其它信息的优异软件，其中含有不少有用的工具，对N1有乐趣的伴侣理当熟悉它的使用。
3、如不美观你的EMMStudio目录中含有正确的ROM10/ROM11的BIN，Keys.INN，Labels.INI以及Routines.INI等文件，那么EMMStudio中的EMM
Analysis功能就会将该EMM解开，反汇编并加注释成为易读的源轨范。
4、阅读EMM轨范与包含的数据，对比已知的正确的Key0/Key1，剖析之后就可能知道反制的事理，但也可能剖析之后仍然找不出头绪。
如不美观剖析年夜白了，就可以着手编程。对于1020卡，轨范按照6805汇编说话编写，汇编后插手ROM10/ROM11.BIN文件，放到Fenrir的Nagra
目录下；对于Fun卡，按照AVR汇编说话编程，替代或改削原本卡的部门轨范，汇编成*.HEX就可以使用了。对于年夜事嵌入式节制器设计工作，或是信息类专业的人，编这些轨范理当不是什么难事，但要编得好，却也不轻易。对计较机与汇编说话不熟悉的人，要自编轨范，当然要先进修和实践，能否成功，全看巨匠全力和造化。
杂谈之十二
让D卡研制者也难以搞清嚣张轨范的体例，除了前面介绍的“操作正版卡轨范随机地址处的机械码作为Key的解码密钥”的EMM反制体例外，就只有挪用了。当EMM中的轨范经由反汇编，可以阅读后，Hacker阅读到MAP功能挪用子轨范时，因为无法看到MAP的机械指令，就再也无法继续跟踪下去了。当着无法看到轨范细节时，只好将其视为黑匣子，年夜其外部默示来判定字的内部功能，这个判定的难度之年夜，没有亲自实践过的人是不行思议的。这在某地有线电视N1系统的实践中获得了印证：某地有线的N1系统在相当长的时刻中，经受住了国际上Hacker们的集体并吞，几乎耸峙不倒，其有用反制时刻比以往的其它反制长了不知道若干好多倍。一般反制可以在数小时内研制成功匹敌轨范，但喷香港有线采用的MAP功能的反制，经由了至少一年以上的时刻，仍没有呈现有用的匹敌轨范，这简直就是一个事业了！
不外，这个金刚不坏之身也有“罩门”。因为MAP功能被成功剖析，该反制的事理被理解了，“罩门”被找到了。终于，在2006年的2月，这个有着金钟罩铁布衫的金刚被降伏了（比来，该系统又启用了新的MAP子轨范，“金钟罩铁布衫”的攻防角力再一次拉开了战幕）。
今朝在黑市上的可以用于收视某地当地有线和146-Dream TV
的最新D卡，是采用了Atmega16的新型智能卡，带有外部256kB的EEPROM，具有匹敌“新例（喷香港伴侣的用语，即采用ROM卡中的MAP功能的反制）”和“旧例（喷香港伴侣的用语，即采用正版卡机械码作为Key的反制）”等几种反制的能力，具有AU功能。该卡采用Atmega16的CPU，首要原因是其轨范的巨细跨越了16kB，Atmega8存不了，次要原因也可能是为了加密防破解吧。
虽然我是第一个基于学术钻研的角度，按照良多高手的研究和我自己的剖析，完整3介绍了喷香港有线反制事理，并首先陈述在AVR计较机上仿真成功的人，但我的轨范并没有用到在今朝黑市倒卖的D卡上。该卡不是“无期待”的，年夜这点也可以看出，它不是我的作品。如不美观是我的D卡，必然是无期待的，而且必然不会采用Atmega16CPU，而是采用Atmega8
CPU。
该卡的研制可能远比我关注喷香港有线的超级反制的时刻起头得早，研究的过程与我平行、自力，完成的时刻差不多。钙揭捉?究制者是否获得我的贴子提醒的辅佐，我不得而知。按照我对该轨范的研读可能判定出，编写该轨范的一个水平很高的高手。尽管轨范不够紧凑，计较N?（M-2）Mod
M与-1/M Mod 2?32的速度还可以进一步优化，一些处所还存在瑕疵，甚至还有Bug（详见我的相关文章），但无论若何，该卡的轨范仍算得上是今朝国内N1
D卡AU轨范中的优异作品！
理当看到，在良多高手的同步研究已达到很高水平的今天，良多事理只差一层窗户纸，一捅就破了。一小我的提醒对一般人可能一点感受也没有，但对于水平四周，在进行近似研究的人，就可能“一语点醒梦中人”。对我的这些“杂谈”，也是外行看热闹，熟行看门道，巨匠收成分歧的效不美观吧。有的伴侣今朝且则看不懂，收集了，说不定哪一天看懂了，就有了收成。
先让我们看一看使用MAP功能的反制规模：
2005年8月底与12月的146-Dream TV使用MAP功能反制的EMM轨范、数据与注释。
再看一磕暌闺某地有结“新例”超级反制有关的轨范，这是操作MAP进行的反制轨范，是我所见过的最复杂的反制轨范。因为反制十分复杂，轨范较长，所以分为两部门：地址为00XX的是EMM携带的轨范，地址为ROM：XXXX的是已经经由过程下行旌旗灯号预先存入EEPROM的轨范。
该部门轨范的反汇编是我用了一点技巧完成的，连结了我原本的英文注释。因为不少子轨范后跟年夜的不是轨范代码，而是数据，所以它不能经由过程EMMStudio正常完成。伴侣们可以体味MAP的挪用（＄90E3）在反制中的浸染。
杂谈之十三
在“杂谈十二”中给出的挪用MAP的EMM有难有易，Dream TV的MAP
＄0E功能就可以经由过程正确的Key，斗劲轻易猜出来，它是与成片数据交流有关的操作；而某地有线的MAP
＄11，＄28，＄39，＄3A功能就极难猜出来，就像是一个“谜！ROM：XXXX……。”
反制进入使用MAP功能的阶段后，D卡要匹敌反制，必需研究MAP功能，只有弄懂了有关的MAP功能，而且在功能上仿真它们，才可以有用匹敌这类反制。伴侣们可能会设想：如不美观我们将MAP协措置器的功能都体味了，将它们都仿真出来，那么不就可以与正版卡完全一样了吗？不外要弄懂MAP的功能，可不是一件轻易的事。
先让我们体味一下协措置器是什么工具：一般计较机为了措置数据的需要，可以配上协措置器。它经由过程总线插手计较机系统，要么采用近似Intel
CPU的做法经由过程总线仲裁和ESC换码指令的体例使用，要么采用Motorola的存储器映像的体例将协措置器子轨范的进口映射到一段特定的地址上使用。
协措置器的轨范是不合错误外开放的，它的轨范存储区对其它器件而言是完全隔离和封锁的。无论若何，用今朝的手艺和手段，我们都读不出MAP协措置器的轨范。是以，彻底体味MAP协措置器的功能，是不成能的，除非开发MAP的手艺人员被收买了或D卡编写者派间谍打入了研制MAP协措置器的公司，窃取了它的手艺资料……这又有点像片子《不成能的使命》中虚构的幻想故事了。
想象带来虚幻的快感，却不能解决问题，要解决问题，还需要脚结壮地，当真进修与研究。
让我们再体味一下，MAP是若何在ROMX正版卡中起浸染的。
在ROM10与ROM11卡中，有一片非凡的存储区，年夜地址＄2000起头，到＄20FF竣事（＄20FF之后到＄3FFF之间，还保留了很年夜的一片存储区）。＄2000～＄20FF这片存储区是ROM10卡ST7-CPU的轨范存储空间，但不是它的可编轨范存储区，它是编码/解码协措置器的映像空间。这有点像PC机，＄A0000起头的地址是80×86CPU的轨范空间，但却分配给了显示卡。这部门的空间，映射（英文叫Mapping）给了以存储区映射体例工作的协措置器，巨匠就将其叫做MAP协措置器，简称MAP。就协措置器而言，在巨匠熟悉的PC微机中，就有协措置器。配合80×86CPU的协措置器是为了高速完成数学浮点运算的。80×86
CPU系统一般不彩Mapping体例工作的MAP协措置器，但PC机确适ё嬴经有过以MAP体例工作的数学协措置器，称为WEITEK数学协措置器，它的速度比80×87快良多，但价钱太贵，首要用在需要高速、年夜量运算的专业中，此刻已经很少见了。
ROMX卡挪用MAP功能是经由过程一个固定进口地址＄9E03的子轨范实现的，该子轨范称为：CALL_MAP，挪用时，必需在A寄放器中存入MAP的功能号。ROMX卡中的CALL_MAP子轨范。
杂谈之十四
本杂谈介绍一些MAP的手艺基本常识，该常识是全世界高手配合全力得出的珍贵结不美观，尤其是Flezzo的进献最年夜。这份资料的珍贵不言而喻！
因为是“杂谈”，是以本文不筹备睁开和深切介绍。具体的研究和介绍，可以看我日后将揭晓的相关MAP手艺资料。
1、MAP寄放器
MAP有4个工作寄放器，分袂命名为：MAP_Reg_A,MAP_Reg B,MAP_Reg_C和MAP_Reg_D。
除了MAP_Reg_D的巨细固定为4字节外，其余3个寄放器的巨细是可变的，要么经由过程MAP_#03，＃04，＃05，＃06的功能来设置它们巨细，要么在挪用MAP功能时，经由过程＄41（RC0ADDRH）单元指定它们的巨细。
2、配合MAP工作的单元
A寄放器：存放MAP挪用的功能号；
X寄放器与＄47.7位：辅助寄放器，指定数据存放区间和首地址；
＄41（RC0ADDRH）：指定操作数的字节数；
＄4D，＄4E（RC2L：RC3H）：存放源或的数据的地址，＄4D存高字节，＄4E存低字节；
[＄0 120]，[＄0 160]，[＄0270]：工作RAM。
3、MAP的挪用规程
挪用MAP一般使用地址为＄90E3的MAP_CALL子轨范，MAP功能号在A中，挪用前，除非是使用隐含值，否则必需设置＄4D，＄4E和＄41。相关示例轨范。
＃00：MAP自检或初始化。
＃01：执行某种类型的初始化。
＃02：设置MAP操作数的隐含巨细值，由＄41确定字节或位数。
＄41内容：操作数隐含巨细：
0 ->＄04字节（32位）
1 ->＄20字节（256位）
2 ->＄24字节（288位）
3 ->＄30字节（384位）
4 ->＄34字节（416位）
>=5 ->＄40字节（512位）
＃03，＃04，＃05，＃06：将＄4D：4E指向的＄41字节的RAM数写入MAP寄放器。如不美观＄41中存入＄00，则使用隐含的操作数巨细值。
＃03写MAP_Reg_A,＃04写MAP_Reg_B，＃05写MAP_Reg_C,＃06写MAP_Reg_D。
＃07，＃08，＃09，＃0A：将MAP寄放器的＄41字节的数存入由＄4D：4E指向的RAM。如不美观＄41中存入＄00，则使用隐含的操作数巨细值。
对于MAP_Reg_D，如不美观数据个数跨越4，则一再内容，如MAP_Reg_D=12345678，则当＄41=8，＄4D：4E=＄0120时，＄0120=7856341278563412。
＃07读MAP_Reg_A，＃08读MAP_Reg_B，＃09读MAP_Reg_C，＃0A读MAP_Reg_D。
＃0B，＃0C，＃0D：将MAP寄放器的＄41字节的数存入＄0120（＄41必需指定巨细）。
＃0B读MAP_Reg_A，＃0C读MAP_Reg_B，＃0D读MAP_Reg_C。
＃0E，＃0F，＃10：将MAP寄放器与由＄4D：4E指向的＄41字节的RAM的内容（＄41必需指定巨细）。
＃0E与MAP_Reg_A交流，＃0F与MAP_Reg_B交流，＃10与MAP_Reg_C交流。
＃11：计较：-1/M mod 2?32，由＄4D：4E指向的8字节作为M计较。
MAP_Reg_C：=M，MAP_Reg_D：=-1/3 mod 2?32。
＃12：计较：R=M?E Mod N，这是解码EMM64字节数据的首要MAP功能。
＃13，＃14：未知。
＃15：将64字节的模存入由＄4D：4E指向的RAM（注：未能确定）。
＃16：Nr=2?2n mod M(未能确定)。
＃17～＃26：未知。
＃27：将64字节的指数（Expon-ent）装入map工作区，地址由4D：4E指定（注：未能确定）。
＃28：计较MAP_Reg_A：=N?（M-2）mod M。
＃29～＃2A：未知。
＃2B：计较D=E?-1 MOD （P-1）（Q-1）。
＃2C：DECRYPTEMM=EMM?D MOD N。
＃2D～＃38：未知。
＃39，＃3A和＃3B：计较SHA-1。
＃39：初始化SHA-1计较的初始值，并初始化＃3B使用的位计数器＄0188，＄0189：=＄0000。
＃3A：计较存放在[＄0120+]的64字节的SHA-120字节的值，并将结不美观累加到SHA-1的计较变量H4～H0上；计数器＄188，＄189累加上＄200（64字节有512位）；数据缓冲区＄0020～＄015F在竣事时清0。
＃3B：计较最后一个数据块和填补的数据，并累加计较SHA-1的值。数据块的地址在＄120，在＄160与＄174存放计较出的SHA-1值。在＄188处存放总二进制位的计数值，它等于措置的字节数乘以8。竣事计较后，存放计较数据的内存清为零。
杂谈之十五
在膳缦沔某地有线的例子中，我们看到EMM现实执行的是一段很长的轨范，EMM中的部门只是其中的一小段，绝年夜部门都存到了EEPROM区，它们是经由过程下行旌旗灯号写入卡中的EEPROM的。
在进入MAP功能仿真谈判之前，先谈EEPROM中的轨范这个话题。
据我所知，ROM3或ROM10或ROM11的正版卡在＄4000～＄99FF的轨范代码都不异，它们存在ROM区，是固定不能改变的，如不美观改变了，那么，“操作正版卡轨范随机地址处的机械码作为Key的解码密钥”的EMM反制体例就要发生兼容性问题了（这也许就是ROM卡称谓的由来）。我将这部门轨范称为ROM卡的“ROM区根基轨范”。卡复位后执行的就是这部门的轨范。
那么，固定轨范的ROMX卡是若何改变其轨范的功能呢？
不少伴侣都知道，只要在ROM卡中可以改写的EEPROM区中按划定写入*.BIN文件的轨范代码，就可以改变ROMX卡的现实功能。
那么，为什么在EEPROM区写入的轨范代码能改变轨范执行时的现实流程呢？这是若何做到的呢？
对于这个问题一般人不会有概念，也不会有什么奇异。但对我来说，却曾是一个感应迷惑不解的难题！
PC微机的操作系统或轨范，如Windows,发现了Bug，用补丁更改时，需要先下载补丁，然后运行有关修补轨范，改变原本轨范的代码，才能完成修补。这种修补凡是是在原本轨范中要改削之处放上转移指令，转到补丁轨范，执行后再回到原本的轨范继续完成后续工作。这是改削轨范功能常用的法子。
但如不美观原本的轨范不像PC微机那样存在硬盘上可以更改，而是存在不成更改的ROM区，补丁下载后，没有改变原本轨范的任何部门，补丁就可以自动起浸染，就是奇异的事了！
因为ROM区根基轨范不成更改，又要能自动运行装入EEPROM区中的补丁轨范，ROM卡的设计者想出了一种巧妙的体例。该体例能自动搜检EEPROM区是否有补丁轨范，补丁轨范补在原本轨范的什么处所，若何自动运行这些补丁轨范等等。
有了这种巧妙的体例，在不改变ROM卡根基轨范的前提下，只要将添加的轨范或数据存入可更改的EEPROM区，卡的轨范功能就可以获得增强或改削，就可以在不必收回或报废原本卡的情形下，顺应各类分歧的卫视系统或其它应用，或对卡进行进级换代。出格地，可能经由过程下行旌旗灯号自动变换原本轨范的逻辑功能。
让我们看一看ROM卡中的一个典型的子轨范：这是一个1RD呼吁措置的子轨范（我不剖析介绍它的功能，此后如不美观我有时刻和精神，说不定会写一本《ROM卡轨范剖析》之类的书）。
它与年夜多可以被补丁更改的ROM卡中的子轨范一样，看起来似乎没有什么出格之处。
请注重地址为6B1F处的Trap指令！注解为：“See if there's a patch for this subroutine”。
恰是这条不起眼的指令，配合软间断功能，再配合EEPROM中的非凡结构，实现了膳缦沔提到的“自动搜检EEPROM区是否有补丁轨范，补丁轨范插入在原本轨范的什么处所，若何自动运行这些补丁轨范”的巧妙功能！
Trap是ST7 CPU的非凡指令，它属于一种“陷阱”软间断指令。执行到该指令时，CPU会自动转移到固定地址＄4004处。
该间断子轨范再转到地址为＄999A处。
年夜该轨范的地址＄99B1起头，会看到陆续串年夜[＄C01]，[＄0D4，＄C0D3]，[＄C0D5，＄C0D6]处篡夺信息和斗劲转移的轨范操作。注重，这些址的单元就是在EEPROM中！
[＄C0A1]的名称为：NUMBUGS，存放的是该版本的卡当前已装入EEPROM中的“补丁个数”。
[＄C0D3]的名称为：PATCH_TA_BLE，年夜该地址起头存放补丁地址表。该表每两改暌怪绩每个字为两字节）组成一个表项，首项是ROM轨范中Trap返回处的地址；次项为补丁轨范在EEPROM中的地址，前者是为了对比搜检该补丁是否是当前Trap轨范处的补丁，如不美观是，则执行次项给出的补丁轨范。
PATCH_TABLE表的典型示例。
ROM卡轨范的这种招数，可称得上是“高，其实是高！”
它是错误谬误是会耗损失踪年夜量的CPU时刻，降低轨范效率。不外，归正ROM卡中费时的事都交给了阿谁强年夜的MAP协措置器，CPU余暇得很呢。
到此为止，伴侣们可以体味ROM卡自动插手补丁的高作儿了吧。该体例是否打开了你的眼界，开拓了你的思绪呢？
说不定，你还可以学学这个高作儿，在自己的轨范中也用上该手艺，使得你的轨范可以矫捷转变！
杂谈之十六
在前几篇“杂谈”中，我列出了一些汇编说话的轨范。为了沉闷和把握D卡手艺，必需能够读懂别人编写的轨范，然后再自己改削或编写自己的轨范，所有这些，都需要体味汇编说话源轨范常识。可以说汇编说话轨范常识是D卡手艺入门的一道门槛，跨过了这道门槛，就获得了一把打开宝库的钥匙。
不少伴侣怀着探讨D卡奥秘的高涨热情，乘兴而来，没趣而去。面临汇编这道门槛，不少人起头畏难，甚至逃跑了。是以，我调整了原定的文章结构，填补一点基本常识。不是为了留住无缘的人，只是为了给有志者一点辅佐。
我用简短的话介绍一点汇编说话轨范常识。真正想进修的伴侣，仍是要踏结壮实自己系统地进修。
汇编说话源轨范（简称“源轨范”）是面向CPU的底层说话，该说话的指令（注重：不称为“语句”）与CPU的机械指令代码一一对应。对分歧类型CPU的计较机，指令分歧。源轨范可以编写或经由过程反汇编获得。运行汇编轨范就可以将汇编说话源轨范转为机械说话方针代码，这个转换称为“汇编”（注重：不称为“编译”）。源轨范为纯文本文件，扩展名一般为ASM。方针代码文件名目良多，常用的有Intel的HEX名目和纯机械码的BIN名目等，它们都可以被编程孀居管用于将代码烧写入CPU或EEPROM等存储介质中。计较机CPU只能执行机械指令。
汇编说话源轨范的指令有两种，一种是对应CPU执行的机械码的“助记符指令”，另一种是指示汇编轨范工作的“伪指令”，再有一种“宏指令”现实上属于伪指令，它可以用一个符号串简化暗示良多符号信息。
用一种类型的CPU执行另一种CPU的轨范，只能用仿真的体例实现其功能，而不能趋向照搬来执行。
在Nagra系统的Hack规模，常见的汇编说话有ST7/6805和AVR等，前者是正版卡的说话，后者是仿真卡的说话。
以下给出一些典型：
某种EMM携带的6805源轨范。
汇编后的地址、机械码与源轨范（它包含了源轨范和汇编悔怨器指令或数据，地址等）。
发生的HEX文件。
用AVR家族（8515卡与黑卡等）指令形式重写的以上轨范。
汇编后的地址、机械码与源轨范（它包含了源轨范和汇编悔怨器指令或数据，地址等）。
发生的HEX文件（为凑16字节，用FF填充了空白处）。
以上典型中我们可以看到一些普遍纪律（请记忆）：
1、计较机识此外信息都是二进制数，或精练标示的十六进制形式。
例：十六进制与二进制的分歧形式：＄C6=0×C6=0C6H=0B11000110=%11000110=11000110B等。
2、不异轨范功能，但CPU分歧，则机械指令码分歧，不能交流。
3、汇编说话源轨范由四部门组成。
4、Org或.Org是伪指令，它不发生对应的机械指令，但仍起了必然的浸染。
5、年夜都指令是助记符指令，它们都发生了一一对应的机械指令，它们都要占有必然的存储单元，都有对应的地址。
6、CPU按照指令的地址，逐条掏出机械指令并执行，如不美观没有转移操作，就按照挨次执行。
7、汇编说话源轨范很难看懂和记忆，是以需要当真写注释。一般情形下，注释是用英文写的，但也可以用中文。
8、HEX文件有特定的名目，它包含地址、数据和效验和，十分严谨和矫捷。 | 
