MC68HC908AZ60A flash protection

[Paule (Gast)]

Hallo,

eine Frage an die Experten:
Sehe ich das richtig, daß es keine Möglichkeit gibt, den MC68HC908AZ60A 
komplett zu löschen (ohne Kenntnis der Security Bytes), wenn die Flash 
Block Protection Register entsprechend programmiert sind. Das man den 
nicht auslesen kann ist ja klar, aber kann man den wirklich nichtmal 
komplett löschen ohne Kenntnis der Security Bytes?

[Panzerknacker (Gast)]

> Note:  Security  Sequence  Auto  search  based  on  analyzing  of
> electrical  current
> noise  on  Motorola  device  power  pins.  So  any  equipment  with  high
> level  of
> electromagnetic radiation must be switched off.
> Note: SS mode implemented for educational purposes only.

[Paule (Gast)]

Wo kann ich den Programmer kaufen?

[Paule (Gast)]

Das ist wohl der ETL 908.
Gibt auch viele Klone. Gibt es eine gute Quelle, wo dann auch der 
ss-mode zuverlässig funktioniert?

[AtzeM (Gast)]

https://www.nxp.com/docs/en/data-sheet/MC68HC908AZ60A.pdf
Seite 153
Chapter 14
Monitor ROM (MON)

Die Prog.-Geräte laufen über die serielle Schnittstelle und sind leicht 
nachzubauen ....
Ein Lesen der FW ohne die SecBytes sollte nicht möglich sein, aber 
Löschen des Bausteins schon...

[Paule (Gast)]

mmmhhh...
Das habe ich auch gelesen, dann müsste ein flash erase ja trotzdem 
möglich sein.
Wieso kann das aber mein UPA-USB V1.3 (China) nicht?

Werde dann wohl mal einen MON08 Adapter besorgen...

Die Security Bytes herauszubekommen wäre aber noch besser ;)

[APW (Gast)]

Kann sein dass der ganze Flash-Bereich Protected ist, dann geht wohl nur 
noch Löschen, wenn Hi-Voltage an IRQ angelegt ist.

MC68HC908AS60. pdf / Technical Data Rev1
*************************
Section 5. FLASH-2 Memory:
Section 4. FLASH-1 Memory:
...
The presence of a voltage VHI on the
IRQ pin will bypass the block protection so that all of the memory,
including the block protect register, is open for program and erase
operations.
...
*************************
Section 24. Electrical Specifications
...
High FLASH block protect override (Note 11): VHI VDD + 2V..VDD + 4 V
11. See Section 4. FLASH-1 Memory and Section 5. FLASH-2 Memory for 
further information. VHI on IRQ pin.

[APW (Gast)]

Mist, in der A-Version gehts wohl nicht mehr!?

[Paule (Gast)]

29.2.2.5 FLASH Block Protection
...
A further significant change is that high voltage (V HI ) is no longer 
needed on the IRQ pin to program or erase the FLASH block protect 
registers.

[Paule (Gast)]

"Mass Erase" ist anscheinend doch ohne Wissen der SecBytes möglich. Mit 
Anlegen von VHI an IRQ.
Siehe folgendes Dokument ab Seite 43 die Antworten auf die Fragen 14,15 
und 18.

Programming and Erasing FLASH and EEPROM Memories on the 
MC68HC908AS60A/AZ60A
https://www.nxp.com/docs/en/application-note/AN2156.pdf

Nun weiß ich aber immer noch nicht wie ich den FLASH Mass Erase 
Algorithm" auf Seite 12 aus dem Monitor Mode aufrufen soll.

Kann mir einer Aufklärung verschaffen?



Außerdem spannend auf Seite 8

NOTE: A security feature prevents viewing of the FLASH contents.1
1. No security feature is absolutely secure. However, Motorola’s 
strategy is to make reading orcopying the FLASH difficult for 
unauthorized users.

Anscheinend kann man die SecBytes auch anders ermitteln.
Programmer wie der ETL 908 geben das auch mit dem sogenannten SS-Mode 
an.
Aber wie funktioniert das?

[APW (Gast)]

Paule schrieb:

> Nun weiß ich aber immer noch nicht wie ich den FLASH Mass Erase
> Algorithm" auf Seite 12 aus dem Monitor Mode aufrufen soll.
>
> Kann mir einer Aufklärung verschaffen?

Mit den HC08 habe ich noch nicht gearbeitet. Nach meinem Verständnis 
hast du 2 Möglichkeiten:

1)Du hast irgendwelche Entwicklertools, die das alles auf Knopfdruck 
machen.
2)Du machst alles (wirklich alles) selbst:
a)Reset mit VHi an IRQ, Startsequenz (security-Bytes) zum Monitor 
rübersenden.
b)Eigene Flash/EEPROM Lösch- und Programmieralgorithmen und Daten ins 
RAM kopieren. Dabei insbesondere auch auf richtige Timings/Delays 
achten.
c)Stack so manipulieren, dass deine Ram-Routinen angesprungen werden, 
wenn der Monitor-Befehl RUN ausgeführt wird.
d)Monitor-Befehl RUN-> RTI auf dein Ram-Programm, danach nach gemachter 
Arbeit wieder zurück in den Monitor mittels SWI
usw.
Danach bist du fit, wenn du das alles hinbekommst.

[Paule (Gast)]

Hallo,

das ist ein guter Plan, aber bei Punkt c) hänge ich nun.
Möchte zum testen auf einem unprogrammierten MC68HC908AZ60A im Monitor 
Mode folgendes Programm ins RAM laden und dann ausführen:

/* assembler RAM code 
main:
       ldhx  #$44F
       txs            ; init stackpointer
       lda   #$04     ; PTA2
       sta   DDRA     ; as output
main_loop:
       sta COPCTL     ; prevent COP counter overflow
       eor  #$04
       sta  PTA
       bra main_loop
*/

/* machinecode 17 bytes */
unsigned char ramcode[] = {

0x45, 0x04, 0x4f, // LDHX #0x044F
0x94,             // TXS
0xa6, 0x04,       // LDA #$04
0xb7, 0x04,       // STA 0x04
// label1:
0xc7, 0xff, 0xff, // STA 0xFFFF    ; prevent COP counter overflow
0xa8, 0x04,       // EOR #0x04
0xb7, 0x00,       // STA 0x00
0x20, 0xf7        // BRA label1      
};

Ich komme in den Monitor Mode und kann das Programm ins RAM laden (hier 
nach 0x200).
Ich kann auch mit dem command readsp den Stackpointer auslesen (0x00FA).
Doch wie manipuliere ich den Stack so, daß nach dem RTI (initiiert vom 
run command) mein Code ausgeführt wird?

[APW (Gast)]

Monitor Mode: RUN->Executes RTI instruction

Also was macht RTI:
RTI Return from Interrupt
SP ← (SP) + $0001; Pull (CCR)
SP ← (SP) + $0001; Pull (A)
SP ← (SP) + $0001; Pull (X)
SP ← (SP) + $0001; Pull (PCH)
SP ← (SP) + $0001; Pull (PCL)
RTI-Code: 0x80

Der Stack-Aufbau wird wohl so aussehen:
SP:0x00FA //(Free, aktueller SP)
SP:0x00FB //CCR
SP:0x00FC //A
SP:0x00FD //X
SP:0x00FE //PCH
SP:0x00FF //PCL

Wenn dein Programm bei 0x0200 beginnt:
#0x02->0x00FE
#0x00->0x00FF

Dein Programm dann mit einem SWI enden lassen (statt Endlosschleife).
Wenn du VHi an IRQ belässt, ist (meine ich) der COP sowieso (temporär) 
ausgeschaltet.

Kannst du mal 0x00FE/0x00FF auslesen. Es würde mich interessieren, wohin 
der Monitor nach einem RUN-Kommando springen würde.

Alles ohne Gewähr.

[Paule (Gast)]

bin auf den selben Gedanken gekommen und habe 0xFE,0xFF verwendet.

00F0: A5 7E 22 01 F3 FE 93 F5 FE 62 FF 7D F6 FF FE 41

Vielleicht habe ich da auch noch einen Fehler eingebaut. Ist alles 
selber programmiert.
VIH habe ich beim RUN an.

[Paule (Gast)]

Der Monitor

Disassemble without labels
FE20:      LDHX    #$FFF6          
FE23:      STX     $50             
FE25:      CBEQX   #$FE,$FE33      
FE28:      JSR                     
FE2B:      CBEQ    ,X+,$FE31       
FE2D:      CLR     $50             
FE2F:      BRA     $FE25           
FE31:      BRA     $FE2F           
FE33:      LDX     #$FF            
FE35:      LDA     $50             
FE37:      BEQ     $FE3A           
FE39:      STX     ,X              
FE3A:      LDX     ,X              
FE3B:      BRSET   0,$00,$FE40     
FE3E:      JMP     $51             
FE40:      SWI                     
FE41:      BCLR    0,$04           
FE43:      PSHH                    
FE44:      BCLR    0,$00           
FE46:      BSR     $FE9A           
FE48:      BSR     $FEB2           
FE4A:      PSHA                    
FE4B:      LSLA                    
FE4C:      BPL     $FE55           
FE4E:      BSR     $FEB2           
FE50:      PSHA                    
FE51:      PULH                    
FE52:      BSR     $FEB2           
FE54:      TAX                     
FE55:      PULA                    
FE56:      TAP                     
FE57:      BCS     $FE75           
FE59:      BSR     $FE8E           
FE5B:      TAP                     
FE5C:      BHCC    $FE69           
FE5E:      LDA     $01,X           
FE60:      BSR     $FEC5           
FE62:      AIX     #$02            
FE64:      LDA     ,X              
FE65:      BSR     $FEC5           
FE67:      BRA     $FE48           
FE69:      BEQ     $FE64           
FE6B:      BMI     $FE86           
FE6D:      EOR     #$28            
FE6F:      BEQ     $FE73           
FE71:      BSR     $FE9A           
FE73:      PULH                    
FE74:      RTI                     
FE75:      BHCS    $FE7E           
FE77:      BSR     $FEB2           
FE79:      BSR     $FE8E           
FE7B:      STA     ,X              
FE7C:      BRA     $FE48           
FE7E:      BSR     $FEB2           
FE80:      BSR     $FE8E           
FE82:      AIX     #$01            
FE84:      BRA     $FE7B           
FE86:      TSX                     
FE87:      PSHH                    
FE88:      PULA                    
FE89:      BSR     $FEC5           
FE8B:      TXA                     
FE8C:      BRA     $FE65           
FE8E:      PSHA                    
FE8F:      LDA     #$0B            
FE91:      BSR     $FEEB           
FE93:      BCC     $FE99           
FE95:      DBNZA   $FE91           
FE97:      PULA                    
FE98:      RTS                     
FE99:      PULA                    
FE9A:      BRCLR   0,$00,$FE9A     
FE9D:      LDX     #$B8            
FE9F:      DBNZX   $FE9F           
FEA1:      BSET    0,$04           
FEA3:      DECX                    
FEA4:      CBEQX   #$19,$FEA9      
FEA7:      BRA     $FEA1           
FEA9:      BCLR    0,$04           
FEAB:      AIS     #$02            
FEAD:      LDA     $FFFF           
FEB0:      BRA     $FE48           
FEB2:      BRSET   0,$00,$FEB2     
FEB5:      BSR     $FEEB           
FEB7:      BCS     $FEB2           
FEB9:      LDA     #$80            
FEBB:      BSR     $FEEB           
FEBD:      RORA                    
FEBE:      NOP                     
FEBF:      BCC     $FEBB           
FEC1:      BSR     $FEEB           
FEC3:      BCC     $FE9A           
FEC5:      PSHX                    
FEC6:      PSHA                    
FEC7:      BCLR    0,$00           
FEC9:      LDA     #$0A            
FECB:      BRCLR   0,$00,$FECB     
FECE:      LDX     #$B8            
FED0:      DBNZX   $FED0           
FED2:      SEC                     
FED3:      BRA     $FEDE           
FED5:      ROR     $01,SP          
FED8:      BCC     $FEDE           
FEDA:      BCLR    0,$04           
FEDC:      BRA     $FEE2           
FEDE:      BSET    0,$04           
FEE0:      BRA     $FEE2           
FEE2:      LDX     #$58            
FEE4:      DBNZX   $FEE4           
FEE6:      DBNZA   $FED5           
FEE8:      PULA                    
FEE9:      PULX                    
FEEA:      RTS                     
FEEB:      PSHX                    
FEEC:      PSHA                    
FEED:      LDA     #$11            
FEEF:      LDX     #$19            
FEF1:      BRCLR   0,$00,$FEF4     
FEF4:      SBC     #$00            
FEF6:      DBNZX   $FEF1           
FEF8:      ROLA                    
FEF9:      PULA                    
FEFA:      PULX                    
FEFB:      RTS

[Paule (Gast)]

FE28:      JSR FEB2

[Paule (Gast)]

Hallo APW,

vielen Dank, nun funktioniert es.
Ich hatte noch einen Fehler in der iwrite Routine und ein Timing 
Problem.

Der PCH befindet sich im RAM an 0xFE und der PCL an 0xFF.
Nach korrektem Überschreiben der Werte auf die Startadresse meiner RAM 
Routine und ausführen von command RUN springt die MCU nun in meine RAM 
Routine.