Снятие паролей IBM. Восстановление пароля супервизора на ноутбуках IBM ThinkPad (EEPROM ATMEL 24RF08 и подобные)

Исследуемый: ноутбук IBM ThinkPad 600E, 1998 года выпуска (а также следующие модели: ThinkPad 240, 240x,390E, 390x, 570, 570E, 600e, 600X,770Z,A20m, A21e, A21m, a22m, A30p, A31, A31p, G40, G41, R30, R31, R32, R40, R50, R51, Transnote, T20, T21, T22, T30, T40, T40p, T41, T42, T42p, X20, X21, X22, X23, X24, X30, X31, X40, X41).
Показания: супервизор-пароль (Supervisor Password, пароль администратора) и/или пароль на жесткий диск не дает запустить ноутбук. 
 



- На первом зображении показан запрос ввода одного из паролей POP или SVP (POP - Power on Password - пароль на включение, SVP - Supervisor Password - пароль супервизора), исходя из иконки в запросе нельзя однозначно сказать какой именно пароль требует ввести ноутбук.
- На втором изображении показан запрос ввода пароля на жесткий диск Hard Disk Password (HDP), цифа "1" указывает на номер жесткого диска, если он не один, может быть "2" или "3".
- На третьем изображении показан запрос ввода супервизор пароля, но такая иконка встречается очень редко и означает только один пароль - пароль супервизора.

Итак, задача следующая: выудить забытый пароль супервизора из ноутбука. Для этого нам потребуется раборать ноутбук, найти определенную микросхему EEPROM, изготовить интерфейс для доступа к микросхеме, обзавестить необходимым программным обеспечением, считать дамп EEPROM, расшифровать в дампе пароль. Работа предстоит кропотливая, но оно того стоит.

Прежде чем я перейду к собственно процессу поднятия ноутбука, позвольте внести некоторую ясность в вопрос паролей в ноутбуках серии ThinkPad. Итак, пароли на ThinkPad'ах, представляют собой скорее злую шутку IBM, нежели настоящую защиту от похищения информации.

Итак, Вы видите перед собой приглашение ввести пароль как на фотографиях выше. Как определить, какой именно пароль от Вас требует ноутбук также написано выше. Но вопрос - откуда он взялся? Его поставили Вы! Или тот, у кого ноутбук был до Вас. Мне несколько раз доказывали, что ThinkPad каким-то образом САМ ставит пароль после смены трехвольтовой батарейки, и пароль этот кодируется на основе серийного номера ноутбука (*). Это враки. Ни один ноутбук сам никогда не поставит ни один пароль, здесь нужно только человеческое вмешательство. Доказательство: у меня в руках были два ноутбука IBM ThinkPad 600e и один R30, на них не было установленных паролей, я отключал батарейку CMOS (3V), отключал основную батарею, отключал от электросети, ждал разное время и в итоге никаких паролей не появилось, только ноутбуки требовали ввести корректное дату и время. Поэтому самым простым способом снятия такого пароля является "выбивание" его из предыдущего хозяина, ну или сидите и вспоминйте, какой пароль ставили Вы сами. Если память подводит, то придется воспользоваться несколько более сложной процедурой.

Кстати, у меня есть еще одно доказательство того, что пароли в ThinkPad'ах сами ниоткуда не берутся - один из восстановленых мною паролей был "IBM". Не думаю, что конструкторы и программисты в IBM, настолько тупые, что делают защиту от кражи информации с ноутбука на основе пароля "IBM"!

POP (Power On Password) пароль на включение, как и можно догадаться, запрашивается при включении. Его можно сбросить особо не напрягаясь, как и обычные пароли на BIOS в компьютерах "по проще", т.е. вытаскиванием батарейки. Процедуру опишу позже.

SVP (Supervisor Password) - пароль супервизора, может быть задан, но он не будет препятствовать включению ноутбука и загрузке операционной системы. Он будет запрошен только при входе в BIOS ноутбука (на модели 600Е необходимо нажать F1 до вклчения ноутбука, а потом, не отпуская F1, включить его, кнопкку держать пока не появиться приглашение ввести пароль или ноутбук не пустит в BIOS). Отсюда и легенда о замене батарейки - если батарея села, нотбук оповестит об этом, при замене CMOS батареи, сбрасывается дата и время, а данные ноутбуки сразу после включения автоматически перенаправляют пользователя в BIOS для установления даты и времени, и конечно же, если SVP-пароль установлен, ноутбук запросит его. В основном в этой статье мы и будем заниматься выуживанием этого пароля.

HDP (Hard Disk Password) - пароль на жесткий диск. Это самая большая проблема. Я пока что не имею способа сбросить или восстановить HDP-пароль, ни  мне известные программаторы, ни какой ли бо другой "наколенный" способ такой пароль не обойдут. Единственное, что легче и проще - это установить новый, незаблокированный жесткий диск в ноутбук, это будет намного проще и дешевле, чем восстанавливать такой пароль. В любом случае пароли ставят люди - от них и можно узнать эти самые пароли (ну это как вариант, когда ничего не помогает).

Если Вы обратитесь к официальным производителям нотбуков IBM, в случае если у Вас появится проблема с паролем супервизора, они ответят, что пароль снимается только заменой материнской платы, а пароль жестокого диска снимается только заменой жесткого диска. Ну если новый жесткий диск купить еще можно (как правило любой 2,5" IDE), то замена материнской платы несколько проблематична.

Итак приступим к снятию паролей. О пароле на жесткий диск мы тут говорить не будем ввиду сложности процесса и недоступности оборудования.

Снятие пароля на включение Power On Password

Пароль на включение зависит от трехвольтовой CMOS батарейки. В ThinkPad'ах используется простая Li-On 3V батарейка, запаянная в термоусадочную трубку, от которой идут два проводка. Батарейка, как правило, доступна при снятии крышки оперативной памяти. Для сброса пароля на включение нужно отсоединить ноутбук от сети, изъять из него основную батарею, иными словами ноутбук должен быть полностью обесточен. Отключаем он ноутбука трехвольтовую батарейку, ждем несколько минут (2-3 минуты) для того, чтобы быть абсолютно уверенным в успехе дела. Ставим батаейку обратно, основной аккумулятор, по необходимости подключаем к электросети, включаем ноутбук - появится окно ввода даты и времени, пароль на включение снят.

Если трехвольтовая CMOS-батарейка села, ее нужно заменить, иначе ноутбук будет постоянно при включении на поминать об этом. Батарейка в этих ноутбуках (да и в других тоже) меняется немного не так, как в обычных компбютерах. Как видно ниже на фотографии батарейка устанавливается не в гнездо, а просто подключается двумя проводами к специлальному разъему. Что нужно сделать: купить обычную CMOS-батарейку (CR2032), на старой батарейке обрвать желтую (голубую) оболочку, отрезать от нее провда и аккуратно, один касанием припаять к новой батарейке, перед этим место куда беудете паять провода нужно зачистить спиртом и осторозно залудить, капнув каплю флюса, но делать это нужно быстро и аккуратно, иначе есть вариант просто испортить новую батарейку. Потом батарейку туго закрутить в изоляционную ленту (или в скотч, также можно использовать кусок термоусадки большого диаметра) и ставить обратно. Обращаю Ваше внимание на то, что если просто приложить провода к батарейке и замотать лентой - такая конструкция работат не будет и ноутбук будет продолжать ругаться на батарейку, здесь очень важен хороший контакт. Ну, если есть возможность, то можно провода приварить к батарейке точечной сваркой, но это не всем доступно.

Но после этого может не появиться прглашения установить дату и время, а появиться приглашение ввести еще один пароль - пароль супервизора. Его то мы и будем восстанавливать.

Восстановление пароля супервизора Supervisor Password

Итак, заявления IBM, что нам нужно менять матплату для снятия супервизор-пароля мы не приемлем. На самом деле пароль прошит в специализированных микросхема EEPROM. В моделях с процессором Рentium, и частично Рentium II, пароль содержится в микросхемах типа 24C01 и 24c02, в остальных моделях до 2006 года выпуска пароль прошит в 24RF08. Доступ к микросхемам по I2C-шине. Пароль закодирован определённым алгоритмом, жёстко привязанным к серийному номеру ноутбука (*).

ВНИМАНИЕ!!! Описанные в материале действия, при неаккуратном и неправильном их выполнении, могут вывести из строя ваш ноутбук. Если вы последуете рекомендациям и советам или воспользуетесь материалами и программами с этого сайта, то сделаете это на свой страх и риск. Авторы материала и владелец сайта не несут никакой ответственности за любой возможный ущерб.

 Далее идет довольно сложное описание непростого процесса с применением специализированной техники и  программного обеспечения. Процесс дорогостоящий и времяёмкий. Если он интересен, тогда можете пропустить идущий ниже раздел и перейти к "Идентификации ноубука и пароля на нём"

Если хотите проще решить задачу, как это сделал я, то, добро пожаловать в зеленый раздел! :)

Удаление паролей из БИОСа

 Представляю Вам на рассмотрение относительно варварский, но простой, дешевый , а главное -быстрый (на все про все уйдет около 30 минут) способ, итак:

1.. отпаиваем выводы SCL, SDA. (в разных буках разные микросхемы на пример At8356908, AT24RF08, и др.)

2. К микросхеме и плате припаеваем 4 мелких проводка (sda,scl к микросхеме и плате соответсвенно).
3. На другие концы проводов паяем двойной переключатель или кнопочный (любой) для одновременной комутации сигналов SCL, SDA между платой и микросхемой.
4. Отключаем его и включаем ноутбук, ждем появления надписи леново или ibm.
5. нажимаем F1 и после нескольких сообщений об ошибках входим в биос без пароля.

6. Отпускаем кнопку  (замыкаем цепи)

7. в биосе ставим все установки на начальные позиции командой DEFAULT FACTORY, а все режимы паролей DISABLE.
7. Нажимаем F10, сохраняя установки в биосе.
8. перезапускаем ноутбук - пароля нет.

Смысл всей операции прост и заключается в том, чтобы при включении не дать обнаружить системе пароль, зайти в биос, вернув контроль за чипом, сбросить все установки и записать их в чип.Заодно, на всякий случай, я поставил длину пароля (хотя он и был DISABLED)  в 4 знака вместо тех 10, которые там были, для того, чтобы сбить запрос пароля с толку(если бы он опять проявился во время этой моей работы) .

 

Прошу прощения за некрсивую пайку, маленького паяльника не было рядом, только с большим жалом :)

Полагаю, что данный способ будет работать на всех ноутбуках  с подобным конструкторским решением.

А теперь продолжение для любителей серьёзно покопаться с ноутбуком... 

Идентификация ноутбука и пароль на нем

Итак прежде чем делать резкие движения - необходимо свой ноутбук строго идентифицировать, т.е .Вам нужно узнать его точную модель. Думаю, где искать название модели Вы знаете. Теперь нужно сверится со следующим списком: ThinkPad 240, 240x,390E, 390x, 570, 570E, 600e, 600X,770Z,A20m, A21e, A21m, a22m, A30p, A31, A31p, G40, G41, R30, R31, R32, R40, R50, R51, Transnote, T20, T21, T22, T30, T40, T40p, T41, T42, T42p, X20, X21, X22, X23, X24, X30, X31, X40, X41). Если Ваша модель ThinkPad'а есть в этом списке - смело беритесь за работу, а если нет, то это уже история другой повести.

Как уже было сказано, сам по себе пароль на ThinkPad'e (да и на любом другом компьютере), возникнуть не может. Самый распространённый вариант - это установленный в BIOS, но не активированный пароль супервизора, который активируется при снятии (либо полной разрядке) батарейки CMOS. Реже пароль супервизора активируется при системном сбое ноутбука. Проблема возникает, когда на Вашем ноутбуке оказывается установлен пароль, которого вы не знаете или не помните. Сама фирма IBM заявляет категорически, что пароль с ноутбука их производства, снимается только путем замены материнской платы, что не приемлемо из-за стоимости этой платы. Остается либо нести запароленный ноутбук к специалистам, либо самому, пользуясь этой инструкцией. Но прежде чем лезть в ноутбук не имея необходимых навыков, либо нести к неквалифицированным специалистам, обратите внимание на то, что восстановление вашего ноутбука будет стоить в несколько раз дороже, если вообще будет возможно.

Оборудование и программное обеспечение

Для начала необходимо изготовить интерфейс, т.е. программатор для считывания дампа EEPROM. Выше показаны схемы двух программаторов. Я сделал простой программатор на двух резисторах и двух стабилитронах - этого вполне хватит. Программатор подключается к COM-порту (RS232) компьютера, так что позаботьтесь о наличии рабочего компьютера с этим портом. На компьютере должна быть установлена операционная система Windows 95 - XP (можно Seven), никаких Ubuntu и Linux - серьезный софт на "этом" не работает. Для изготовления программатора нам понадобятся следующие детали:

2 х 2,2 кОм резистора любой мощности
2 x 5,1В диоды Зенера (C5V1 Zener diodes (BZX55/C5V1))
1 х Коннектор DB9 (COM, RS232, "мама")
Провода и три небольших "крокодила"

 
 

Далее нам понадобятся следующие программы:

R24RF08 v2.0b Tools  upld_r24rf08_setup.zip [793,12 Kb] (cкачиваний: 1833)IBM Pass 2.0 Lite upld_setup_ibmpass21.zip [391,59 Kb] (cкачиваний: 1335)

Дополнительные ссылки на софт:
http://www.allservice.ro/forum/viewtopic.php?t=61 – софт для программатора
http://www.allservice.ro/forum/viewtopic.php?t=56 – IBMpass Lite

Дополнения:
- при установке и запуске R24RF08 v2.0b Tools нужно отключить антивирус, на моем опыте Avast! и Касперский ругались и удаляли файлы программатора, заподозрив в них "нечистое" - спокойствие они абсолютно чисты.
- вместо диодов Зенера можно использовать стабилитроны любого типа с номинальным напряжением 5,1В

Итак, спаяв программатор, необходимо подготовить компьютер-доктор, устанавливаем на него R24RF08 v2.0b Tools и IBM Pass 2.0 Lite, поключаем к COM-порту программатор, "крокодилы" никуда пока не подключаем (их можно просто зацепить на кусок бумаги, чтобы ненароком не закоротить).

 

Ноутбук нужно будет разбрать, но так чтобы он включался и требовал ввода пароля. Как это сделать можно прочитать в руководстве по обслуживанию, я тут выложу одно для своего 600Е, другие легко найти погуглив. Как правило ThinkPad'ы разбираются следующим образом: снизу выкручиваются все винты из корпуса, ноутбук переворачивается и верхняя панель с клавиатурой легко поднимается, но не отключайте ее. Хотя клавиатуру можно и отключить на время поиска искомой микросхемы, но потом перед включением ноутбука шлейфы клавиатуры подключите обратно. Возможно придется еще более углубится внутрь ноутбука.

В самом конце статьи я выложил фотографии разных моделей ноутбуков и Вы сможете с легкостью найти 24RF08. К слову 24RF08 бывает в двух корпусах: 24RF08С 8pin (8 ног) и 24RF08СТ 14pin (14 ног). По схемам выше можно определить к каим ногам микросхемы нужно подключать программатор. Нас интересуют выводы SDA и SCL. Итак определив местонахождение EEPROM необходимо подпаять к его ногам два тоненьких проводка, как это делать - личное дело каждого, скажу только, что тут нужна твердая рука, маломощный паяльник с тонким остым жалом, желательно иметь бинокулярную лупу. Подпаяв проводки к ногам микросхемы, их нужно зафиксировать на плате наклеив на них полоску скотча, проводки нужно вывести наружу из ноутбука. Если не уверены в своих силах в пайке - не беритесь, попросите кого-то кто умеет, иначе Вы можете легко "убить" EEPROM, а в этом случае проблем появится намного больше.

Есть еще один способ подключения проводков к ногам микросхемы. Их не нужно напаивать, а можно просто пропустить под нужной ножкой микросхемы и сделать узелок над ножкой, но делать это нужно также аккуратно, в качестве инструмента вместо паяльника используем тонкую иглу и пинцет. Припаиваем (прикручиваем) проводки к ногам SDA и SCL, определить где эти ноги можно иходя из даташита на 24RF08 (выше). На микросхеме на плате первый контакт обозначается кружком. Потом к этим проводам мы подключим "крокодилы" программатора, третий "крокодил" GND к самой микросхеме подключать нет необходимости, это "земля" - его можно присоединить к любой точке "земля" на платах ноутбука, вполне подойдут болты, крепящие платы к корпусу.

 
Готовим компьютер-программатор к чтению дампа. Подключите программатор к COM-порту, компьютер желательно при этом выключить (хотя и не обязательно). Программы R24RF08 v2.0b Tools и IBM Pass 2.0 Lite должны быть установлены. Учтите, что R24RF08 Reader не является оконным приложением и работает только в консольном меню. Запускаем командную строку (WIN + R -> cmd), в командной строке переходим в папку с R24RF08 v2.0b Tools, по умолчанию эта программа устанавливается в C:\ALLservice\24RF08

cd C:\ALLservice\24RF08

Далее обращаем свой взор на ноутбук, провода SDA и SCL висят в воздухе, "крокодил" GND зацепляем на "землю" (любой болт), включаем ноутбук, дожидаемся пока все успокоиться (перестанут моргать индикаторы, винчестер остановит свою активность), когда появится приглашение для ввода пароля, подключаем крокодилы к SDA и SCL (не перепутайте их).

Вкомандной строке на втором компьютере вводим:

r24rf08 dump.bin

На экране должен отобразиться процесс считывания дампа микросхемы. В итоге в папке C:\ALLservice\24RF08 появится файл dump.bin. Обратите на то, что даже при ошибке файл создатся, но его размер "0 байт" - это значит, что считать дамп не вышло. Почему - читайте ниже об ошибках чтения.

Теперь из этого дампа нужно выудить пароль.
Запускаем IBM Pass, открываем ним файл dump.bin, нажимаем кнопку "АА Off" (Enable/disable translation), переходим на строку 0х330 - и видим искомый пароль. Смотри скриншот:

Теперь припаянные провода можно отрывать, ноутбук можно собрать и ввести этот пароль. На этом работу можно считать успешно выполненной.

А теперь об ошибках:
- часто перепутывают провода, припаиваемые к разъему СОМ, в этом случае программатор выдаст ошибку "EEPROM NOT AVAILABLE" - на схемах номера контактов показаны со стороны ножек. Будьте внимательны!
- не отключайте CMOS батарейку, иногда в отсутствие батарейки программатор выдает ошибку "CIRCUIT NOT FOUND OR BUS ERROR". Также эта ошибка появляется при использовании неподходящих элементов в программаторе.
- после пайки проводов к микросхеме нужно прозвонить эти провода на соседние ножки микросхемы - они не должны звониться, если "прозвон" проходит - значит Вы закоротили лишние ножки - аккуратно исправляйте, не допускайте "морковок" в пайке.

 

Дополнительные материалы по теме:

Документация по программаторам и их использованию:

driven-i2cprog.pdf [35,76 Kb] (cкачиваний: 473)

simple-i2cprog.pdf [28,25 Kb] (cкачиваний: 379)

read.pdf [35,59 Kb] (cкачиваний: 443)

write.pdf [32,37 Kb] (cкачиваний: 385)

По этой ссылке можно скачать мануалы к другим моделям ноутбуков:
Hardware Maintenance Manual (HMM) для различных моделей ThinkPad

600e Hardware Maintenance Manual:
600e_hw_maintenance_manual.pdf [1,02 Mb] (cкачиваний: 249)

Источники:

Собственная эмпирика

http://sodoityourself.com/hacking-ibm-thinkpad-bios-password/
http://www.ja.axxs.net/

http://www.notebook1.ru/forma1/viewtopic.php?t=5681

Источник