路由宝 youku-yk1 终极黄白术：JTAG 和 免拆焊编程器

iu***

大家好，由于求助TTL救砖，至今仍无人回复，希望知情如何进入TTL的朋友，告知一下，
我这里开始尝试如何用JTAG来救砖，或者是免拆焊编程器，目前仅有一个思路，不知道
是否能成，就在这里连 载献丑了，欢迎来喷。

方案一：免拆焊编程器
1. 直接飞线连接到编程器，这个是失败的，没有必要详细描写，但我主要分析一下失败
的原因和判断的根据。
  先摆一个 FLASH 的引脚图吧：

看示波器观察 FLASH 的时钟脚波形会发现，像这样：

电平高的时候，只有1.5V，这是因为被主控芯片拉低，编程器没办法把时钟线拉到
正常的高电平。

PS：
* 上电时可以观察到 FLASH 的数据线，只有一个有信号，可以判断这是单线SPI模式。
* 测试或查看FLASH芯片手册，可得，该FLASH工作于3.3V
* FLASH 工作电压来自于 0欧电阻 R249

接下来，要想办法解决这个主控影响编程器工作的问题。
---更新 20191008----


先试一下，让主控保持复位的状态，然后再接上编程器，不让主控芯片影响编程器工作。
首先，咱们来看一下主控芯片的手册，

<s>然后找找板子上对应的焊点，从上面的图可以看出来，这些引脚在晶振附近（晶振容易找），
先找到晶振之后，多数芯片上电复位电路是一个电容器对地，可疑分子如下图示，红圈：</s>


<s>在正常通电情，测试电压为 3.3V，符合猜想，如果将该容上面焊盘接地，
如果引脚没错，应该会引起芯片复位。
另外，电容一端是3.3V，也有可能是接着电源，将其接地，将会导致短路，
（这个当然也能引起重启），发生灾难性事故，为了防止这个事件发生，
用万用表，量这个电源与3.3V电源（R249），结果并非直接连接，接下来
就可以试验了。
大约如下，非常刺激，还有电火花，但是用万用表电流档去测，却没有什么
电流，应该是电线比较细，电容放电所致，胆小请勿尝试：</s>

<s>照片的局部~~</s>


<s>另外一头，电脑接着TTL（串口uart），可以看到芯片复位了，看起来疗效不错：</s>

1. U-Boot 1.1.3 (Oct 19 2015 - 10:09:07)
   
2. 
   
3. Board: Ralink APSoC DRAM:  128 MB
   
4. relocate_code Pointer at: 87fb8000
   
5. enable ephy clock...done. rf reg 29 = 5
   
6. SSC disabled.
   
7. spi_wait_nsec: 29
   
8. spi device id: c2 20 19 c2 20 (2019c220)
   
9. find flash: MX25L25635E
   
10. raspi_read: from:30000 len:1000
    
11. *** Warning - bad CRC, using default environment
    
12. 
    
13. ============================================
    
14. Ralink UBoot Version: 4.2.1.0
    
15. --------------------------------------------
    
16. ASIC 7620_MP (Port5<->None)
    
17. DRAM component: 1024 Mbits DDR, width 16
    
18. DRAM bus: 16 bit
    
19. Total memory: 128 MBytes
    
20. Flash component: SPI Flash
    
21. Date:Oct 19 2015  Time:10:09:07
    
22. ============================================
    
23. icache: sets:512, ways:4, linesz:32 ,total:65536
    
24. dcache: sets:256, ways:4, linesz:32 ,total:32768
    
25. 
    
26. ##### The CPU freq = 580 MHZ ####
    
27. estimate memory size =128 Mbytes
    
28. 
    
29. Please input the operation:                                                   0
    
30. 
    
31. 3: System Boot system code via Flash.
    
32. ## Booting image at bc050000 ...
    
33. raspi_read: from:50000 len:40
    
34. Bad Magic Number
    
35. 
    
36. 
    
37. U-Boot 1.1.3 (Oct 19 2015 - 10:09:07)
    
38. 
    
39. Board: Ralink APSoC DRAM:  128 MB
    
40. relocate_code Pointer at: 87fb8000
    
41. enable ephy clock...done. rf reg 29 = 5
    
42. SSC disabled.
    
43. spi_wait_nsec: 29
    
44. spi device id: c2 20 19 c2 20 (2019c220)
    
45. find flash: MX25L25635E
    
46. raspi_read: from:30000 len:1000
    
47. *** Warning - bad CRC, using default environment
    
48. 
    
49. ============================================
    
50. Ralink UBoot Version: 4.2.1.0
    
51. --------------------------------------------
    
52. ASIC 7620_MP (Port5<->None)
    
53. DRAM component: 1024 Mbits DDR, width 16
    
54. DRAM bus: 16 bit
    
55. Total memory: 128 MBytes
    
56. Flash component: SPI Flash
    
57. Date:Oct 19 2015  Time:10:09:07
    
58. ============================================
    
59. icache: sets:512, ways:4, linesz:32 ,total:65536
    
60. dcache: sets:256, ways:4, linesz:32 ,total:32768
    
61. 
    
62. ##### The CPU freq = 580 MHZ ####
    
63. estimate memory size =128 Mbytes
    
64. 
    
65. Please input the operation:                                                   0
    
66. 
    
67. 3: System Boot system code via Flash.
    
68. ## Booting image at b
    
69. 
    
70. U-Boot 1.1.3 (Oct 19 2015 - 10:09:07)
    
71. 
    
72. Board: Ralink APSoC DRAM:  128 MB
    
73. relocate_code Pointer at: 87fb8000
    
74. enable ephy clock...done. rf reg 29 = 5
    
75. SSC disabled.
    
76. spi_wait_nsec: 29
    
77. spi device id: c2 20 19 c2 20 (2019c220)
    
78. find flash: MX25L25635E
    
79. raspi_read: from:30000 len:1000
    
80. *** Warning - bad CRC, using default environment
    
81. 
    
82. ============================================
    
83. Ralink UBoot Version: 4.2.1.0
    
84. --------------------------------------------
    
85. ASIC 7620_MP (Port5<->None)
    
86. DRAM component: 1024 Mbits DDR, width 16
    
87. DRAM bus: 16 bit
    
88. Total memory: 128 MBytes
    
89. Flash component: SPI Flash
    
90. Date:Oct 19 2015  Time:10:09:07
    
91. ============================================
    
92. icache: sets:512, ways:4, linesz:32 ,total:65536
    
93. dcache: sets:256, ways:4, linesz:32 ,total:32768
    
94. 
    
95. ##### The CPU freq = 580 MHZ ####
    
96. estimate memory size =128 Mbytes
    
97. 
    
98. Please input the operation:                                                   0
    
99. 
    
100. 3: System Boot system code via Flash.
     
101. ## Booting image at bc050000 ...
     
102. raspi_read: from:50000 len:40
     
103. Bad Magic Number
     
104. 
     

复制代码

<s>暂时就把他当作复位引脚吧，以后要是查出不对头再说，接下来就是保持主控复位状态，
然后看编程器是否能正常使用。</s>

------紧急更新-------

那个引脚是错的，并不是复位引脚。
原因是，我的万用表以前就保险丝断了，刚刚发现，那个电容确实是接了电源。

我不知道怎么添加“删除线”，所以用<s>括起来的，都是错误的试验。

---- 好像找到复位引脚了(20191010) ----
电阻器 R**，一个很好情趣的数字。
复位电路中的电阻有这么样的特征，两头电压都是高电平，阻值4.7K~10K之间，
这个MT7620A，复位线在晶振的这个方位。
验证方法：
使用毫安电流档（万用表），短接GND与R**，电流很小，不到1mA（后来用微安档测得222.4），但是能够在串口看到复位的打印信息。

---- 更新：暴力查找进入 TTL 字符 ----
既然把复位焊点找到了，现在要用编程器烧写，也得夹6个线，也是一大串，
既然都到这里了，我想到一个方案，尝试所有的按键吧，看看是否可以进入。
这是我写的脚本，每重启一次换一个按键，一个按键不行就俩：

1. #$language = "VBScript"
   
2. #$interface = "1.0"
   
3. 
   
4. g_vWaitFors = Array("Please input the operation: ", _
   
5.                   "Please input the operation:")
   
6. 
   
7. g_keys = 1
   
8. keys = "xx"
   
9. 
   
10. '~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    
11. Sub Main()
    
12.     Set objTab = crt.GetScriptTab
    
13. 
    
14.     If objTab.Session.Connected <> True then
    
15.         crt.Dialog.MessageBox _
    
16.             "Error." & vbcrlf & _
    
17.             "This script was designed to be launched after a valid " & _
    
18.             "connection is established." & vbcrlf & vbcrlf & _
    
19.             "Please connect to a remote machine before running this script."
    
20.         Exit Sub
    
21.     end if
    
22.    
    
23.     objTab.Screen.Synchronous = true
    
24. 
    
25.     Do
    
26.         nIndex = objTab.Screen.WaitForStrings(g_vWaitFors)
    
27. 
    
28.         g_keys = g_keys + 1
    
29. 
    
30.         if g_keys >  255 then
    
31.             keys = CStr(Chr(g_keys mod 256)) & CStr(Chr(g_keys \ 256))
    
32.         else
    
33.             keys = CStr(Chr(g_keys))
    
34.         end if
    
35. 
    
36. 
    
37. 
    
38.         objTab.Screen.Send keys
    
39. 
    
40. '      如果不行，就得在这里要重启一下板子
    
41.       
    
42.     Loop
    
43. 
    
44. End Sub
    

复制代码

---- 更新：等待按键输入的时长 ----
板子在打印完

1. Please input the operation:

复制代码

这句话之后，明显可以看到一个等待的时候，我现在用逻辑分析仪看看具体时间是多长，大约不到一秒：

一秒的时间，对于电脑来说，是非常长的时间了，在收到等待输入信号时，可以延时100毫秒，然后输出按键。
hmmm... 不断地让板子重启，试验6万多次，实在不是人干的活。
可能得找个单片机来干这个活了。



--- 更新 20191011：暴力搜寻优酷 L1 youku-yk1 进入TTL按键 ---

大家好，现在已经在搜寻进入的按键了，试一次大约1.7秒，时间如下：
127 * 127 * 1.7 = 27852.8秒 大约 7.7小时，如果不幸密码是3位以上，那就惨了。

-- -- 更新：还猜不到--

1. ##### The CPU freq = 580 MHZ ####
   
2. estimate memory size =128 Mbytes
   
3. 
   
4. Please input the operation: 3:[3e 2f 01 00]
   
5.                                          0
   
6.    
   
7. 3: System Boot system code via Flash.
   
8. ## Booting image at bc050000 ...
   
9. raspi_read: from:50000 len:40
   
10. Bad Magic Number
    
11.                 should reset target
    
12. 
    
13. 
    
14. U-Boot 1.1.3 (Oct 19 2015 - 10:09:07)
    
15. 
    
16. Board: Ralink APSoC DRAM:  128 MB
    
17. relocate_code Pointer at: 87fb8000

复制代码

试到这里，已经试遍了所有2个ASCII字符的组合，没有一个是对的，
这个需要时间，现在先用编程器吧。然后再找JTAG线。

软软的***

编辑器救砖保险吧，看看是8脚的还是16脚的买好夹子。

007***

这个我救过，原机的flash是32的，我的编程器不能读写，找了一个主板的1m的写入breed，把flash手按到板子上，启动进入breed之后换原机的32的flash用手按到板子上，网页里面再刷入breed 然后焊回去刷机就可以了

keke***

jtag和ttl完全是两回事啊

keke***

keke1023 发表于 2019-10-8 18:44
jtag和ttl完全是两回事啊

ttl看到的实际上就是bootloader启动的输出，如果原版bootloader不提供刷机的选项，那么ttl就刷不成救不了，而jtag是直接给cpu交互的可以直接操作闪存内存，所以你这种情况只能动闪存了，flashrom读写闪存要在cpu不占用闪存的情况下，好像调整编程器供电的电压可以做到不启动cpu

书***

一个L1搞的这么麻烦，拆闪存读取保存固件，然后清空闪存刷breed，闪存焊回去，进breed把读取保存的编程器固件恢复进去（保留bl分区，不保留epprom），然后再进breed刷机，完事。

ringw***

学习一下。。。。。。。。