【原创】让小黑全面进入无线N时代 之三 T43 R32篇

cayman

第一篇  http://51nb.com/forum/thread-691911-1-1.html  
第二篇  http://51nb.com/forum/thread-692642-1-1.html

第四篇  http://www.ibmnb.com/thread-694794-1-1.html
第五篇 http://www.ibmnb.com/thread-705509-1-1.html

第六篇 http://www.ibmnb.com/tid719795


上接第二篇，上篇提到在小黑的2、3、4系列机器里，一般的机器都可以通过1802破解进而使用非认证的wifi网卡，就是有两个问题“人物”，R32 和 T43，这两位不吃软蟹1802，只崇尚暴力crackBIOS。 不幸的是，这两款问题机型我都有，加上我此前对BIOS文件一无所知，何谈破解！怎么办？——找 + 学 +“欲学神功必先自宫，即使自宫未必成功”的自残精神= 可能成功   ............漫长的2个星期过去了。。。。。R32试验成功.。。5天过去了...T43试验成功...3天过去了，6系列的试验都通过了————不必自宫，亦能成功！

鉴于T43、R32的BIOS文件和Thinkpad 6系列机器的BIOS文件存在较大差距，且所用wifi N卡也完全不同，因此，
本篇先探讨T43和R32如何绕过BIOS的1802，进而如何加装wifi卡，及后它们使用wifi N的情况

背景小贴士：根据坛子里的经验综合，此前让无法破解1802的小黑上非认证wifi卡，一般有两种方法：
        一 通过编程器改写wifi卡自带的硬件ID号，变为小黑认证wifi卡的硬件ID，据称此法成功率很高，，偶纯业余，不懂；
        二  小黑的BIOS文件里有一份认证的wifi网卡的“清单”——俗称"whitelist"，清单中有诸多认证wifi卡的硬件ID，只需把新的wifi卡的硬件ID替换其中一组，新wifi卡即可使用————这个方法听起来挺靠谱，但是即便对我这个菜鸟而言，它有一个明显的缺陷：即便能够找出了“清单”，在没有进入系统的情况下我如何获知新wifi卡的硬件ID？这东西在卡的表面可是找不到，在厂商主页也不会有，我所知的唯一的办法就是找台其它牌子（非小黑、非HP）机器，能装新卡的，进入系统，进而从硬件管理器里获知新卡的硬件ID—-——大大的麻烦!
       还有没有其它方法呢？ 国外有一大牛研究出了如何通过改写BIOS中的“硬件清单”检测端口，进而让新的wifi卡绕过小黑的硬件ID检测，最后能正常使用的方法——权且称之为"BIOS跳过法"。  这位大牛就是国外黑友论坛thinkpads.com上的zender，一位捷克的大学生。 onescoop版主在他的X300上WWAN卡系列文章里特别提到过。正是通过onescoop版主的指引，我才找到了这条新路径的入口，在zender提供的一系列文件作为比较的情况下，才研究出了适合自己机器的BIOS文件修改方法。
   

       幕后黑手： 向thinkpads.com的zender致敬， 他发明了改写小黑BIOS硬件检测的核心技术
                                   谢谢版主onescoop，多亏他的及时指点才找到了真正的入门

潜在的问题：
    话说当初找到zender亲自做的BIOS改刷文件后，很是高兴，以为只要把相关机器的BIOS改刷了，就可以轻易顺利地用上wifi N卡。 但有两个问题却比我预想的麻烦：
      一、手中的T43p比较特殊，它的主板BIOS里集成了一个Absolute公司提供的computertrace安全方案（用处就是比如你在美国丢了电脑，这台电脑集成了computertrace方案，你给Absolute公司报失，他们就会追踪该电脑，只要这台电脑上网，只要主板不变，Absolute公司就能给追踪到并和警方合作从贼人手里收回来----一般只有大客户定制机提出特定安全要求才会集成这种东西），简单来说就是这台T43p的主板特殊，zender提供的BIOS文件经测试无法通过，报BIOS修改错误无法通过，刷了低版本BIOS才重新进了系统（*.*lll 吓出几身冷汗，差点自宫 ），此外，T61p是公司配发的，同样集成这个安全方案，所以可推断zender提供的T61 BIOS文件同样无法适用；
      二  zender提供的6系列机器的BIOS改写文件基本上都是根据老版本的BIOS修改而成，落后最新的BIOS几个版本，近期也不大可能看到更新了。而zender并没有详细说明他的做法、依据、工具，步骤，无法直接copy他的办法。
      怎么办？——取人之鱼，不如学人之渔，自己学着做！要不怎么算“自宫”？这样一来得逆向研究出作者是如何做到的，他做的关键点在哪儿？-----然而BIOS文件的构成比我想象的复杂得多，而且网上能找到的工具极其有限，相关的BIOS修改文章极少，而且介绍得大多语焉不详，对我这种业余的业余，没学过计算机语言的人而言，过程只有一个词可以形容——苦难！

     为减轻各位看官的苦难，偶就在本篇先大概说说R32 和 T43 的BIOS修改原理，二楼直接提供最终版的T43 和 R32 改刷BIOS的光盘文件下载。（ BIOS文件的修改和再合成，要说得正确无误了，极其繁琐，且涉及到一系列的工具，99%的人会睡着，对此我会单独另出一篇，把我的粗浅了解写给大家个参考）


核心内容：改写BIOS——T43 、R32

           上面不是提到BIOS中包含一个经认证的wifi卡的硬件ID“清单”吗？ 好，让我们找找这个清单在那里。
           把T43的最新的BIOS文件从lenovo网站上下来，解压，得到img文件，提取其中的fl1文件，把fl1文件转换解压为ROM或者是WPH文件，再把ROM或者是WPH文件分解开来，得到下图中的N个文件，通过用HEX软件查找一个已知的认证wifi卡的硬件ID，最后筛选出的BIOSCOD5.ROM文件就包含着我们要的“清单”，而且还包含了跳过1802的机关，如图中所示：




       同样原理，我们也得到了R32 BIOS文件中的“清单”和机关所在，这是BIOSCOD3.ROM文件，如图示：




    通过对比研究zender的几个BIOS MOD文件，再结合作者本人的一些零星的说法，他是修改了BIOSCOD文件中的某个字符，以改变BIOS中某个进程的指令，从而使原本检测到硬件异常而发出的faulse（假）指令变成了true（真）指令，进而达到通过硬检的目的。 用Hex 和Dasm软件，漫长的搜索和测试之后， 确认如下16进制数值为BIOSCOD*.ROM中的关键数值即“F9EB44BA00019A”，而修改的关键就是把F9改成F8， 如下图所示，是T43 的 BIOSCOD5.ROM里的HEX截图：

                  
     
     离这些字符不远的地方，就有一系列认证wifi卡的硬件ID“清单”了，后来通过另一种反汇编的方法收集到了更多更全的认证wifi卡的硬件ID（这个在第六篇再列表细说，其实有了清单，前面所说的第二种BIOS破解方法就有了用武之地）；同样原理，支持WWAN卡的破解方法也是通过修改关键字符跳过“1804错误”，也有ID“清单”；zender甚至走得更远，把WUSB（即无线USB设备）的“1805”都给破了，现在把这两个关键字符段都找到了，以后有升级需要再行破解。按照目前对这几个BIOSCOD的理解，如果投入更多的精力去搜，T43上著名的“2010”照样可以破解。而针对我的T43p BIOS里的Absolute追踪的问题，偶最后是通过PBE（Phoenix BIOS Editor），通过string（索引）找出了关键并最终搞定，没有"三个代表"，先不展开了。

        ok！把修改的文件压缩转换为mod文件，再合成到WPH或者ROM文件，做CHKSM核对无误后，把WPH或者ROM文件再压缩转换为fl1文件，把新鲜出炉的fl1替换到img中取代旧的img文件，然后制作成为可启动光盘（也可以直接利用winphlash在windows下开始刷，或者用phlash16在DOS下直接刷，随意），当然在刷之前，要先把机器的BIOS版本变成其它版本的，一般而言是低版本的，这样改写版的BIOS才能刷进去。刷完重启后，屏幕会提示'0191: System Security - Invalid remote change requested.' ，直接按F1键进入BIOS设置界面，再按F10保存并退出，重启，搞定！

[ Edited by  htttg on 2011-3-24 16:24 ]

cayman

友好提示：以下提供的BIOS文件都是本人制作，并在自己的机器上反复测试3次通过，其效果在理论上和实践上目前只通过了“第一人称”的验证。 刷BIOS有风险，若不放心，请君勿试，若您认为“第一人称”的RP有点指数，愿做第二、第三...第N人称，谢谢！尽管如此，后果仍然自负！



说明及下载：

1、T43的BIOS分两种，一种是针对机器型号是T43 （1871, 1872, 1873, 1874, 1875, 1876）的机型，这个BIOS同样适用于R52(1858—1863，1958)，基于1.29版本的BIOS，文件名：70uj29us.exe 官网链接： http://www-307.ibm.com/pc/support/site.wss/MIGR-59379.html
(注：经过在借来的T43 1875机型上测试，一切OK，没找到R52做测试，请自己判断了)
  
  上述机型“跳过1802”的BIOS Mod，下载：



2、T43的另一个版本，就是大家用得最多的，ThinkPad T43, T43p (2668, 2669, 2678, 2679, 2686, 2687) 都是独立显卡的T43，记得自己对照一下机型是那种，BIOS版本和源文件名称1.29 (1YET65WW)， 官网链接：http://www-307.ibm.com/pc/support/site.wss/MIGR-59096.html
（注：在我自己的T43p 2668 H1U上测试成功，已剔除BIOS集成Absolute对应项，只要符合上述机器型号，无论BIOS是否集成Absolute的安全方案，都可以用）
   上述机型跳过1802的BIOS Mod ， 下载：


3、R32 用的朋友可能很少了，而且当年它的原装有wifi的机器就极少，我手里这台就不是原装wifi的，底部的Mini PCI槽空着，正好做了试验先锋。R32的最后一个BIOS版本，文件名及原文件名称1MET97WW (2.16)，官网链接：http://www-307.ibm.com/pc/support/site.wss/MIGR-43571.html
    R32 解除1802的BIOS Mod， 下载：


使用说明： 很简单，把下载的文件解压缩，得到ISO文件，把它刻录成可启动光盘。在升级之前，先确认一下你机器现在BIOS的版本，如果是相同版本，比如说T43，是1.29的，那就降一降，比如降到1.02版，或者1.28版，随便。之后通过光盘引导后再升级BIOS，升级完毕重启后，屏幕会提示'0191: System Security - Invalid remote change requested.' ，直接按F1键进入BIOS设置界面，再按F10保存并退出，重启，搞定！




[ Edited by  cayman on 2008-7-2 07:43 ]

cayman

过了1802这道坎，剩下的就是上什么卡的问题啦。 下文以T43p（15’大号机， 2668-H1U）为例，特供使用T43的朋友做个参考，使用T40 T41 T42的朋友也可以参考一下天线的走线，网卡的选择等问题。  咱们图示为主：


2915最后的幸福时光，即将告别温暖的Mini PCI老巢，可见，Main口接灰色线，Aux口接黑色线。2915是半高卡，和它前面的显卡散热片之间有一段空隙


拆下2915之后，空置的Mini PCI卡槽，看到了什么？ 这可是个“大宝贝”，也是发热大户之一。在T4x装wifi卡时要重点考虑这个地方的空间大小，以及发热和散热问题



装上块Atheros 5416玩玩看，效果不错，线都能接上且安排好，虽然还是稍微紧了点。实际使用效果很不错，发热控制很好，根据TPFancontrol的温度显示，大功率持续传输文件，半小时后温度始终控制在57°以下，偶尔超过CPU温度成为机器最高温度




再试试看装上Marvell8363是什么效果，对比5416，Marvell的接口分得比较开，这样接线就相对较为宽松了，不过别忘了Marvell8363的底部是块64M内存，而Mini PCI槽底部是“南桥”老大，我掂量了半天最后才确认，空间足够，OK，装下了


来张远景图，以T43p的字样为中心，看看8363呆在什么位置。由于把Mini PCI卡槽设计在触摸板下面，属于触摸比较少的地方，因此此部位的发热，就主观感受而言，是最无所谓的，又不是掌托，时时刻刻粘在上面。当然，谁不想机器更凉快点？ 不过性能的提高必然导致能量消耗的增加，发热量增大也就在所难免了。


5416和Marvell分别在T43p上待了2天，每张卡每次待一天，每次换卡都重做一个新系统（XP sp3；IE 7），最大可能地消除可能的系统差别，经过几天的测试，M和A大概比较出来点结果，也许是因为路由TC用的就是Marvell 8363，因此在大容量单个文件传输时，Marvell比A强，特别表现在用T43p看TC上的高清 1080不是那么P的片子时，用M卡很流畅，停顿极少（和用千兆网卡时效果雷同），而用A卡就会偶有停顿；不过在小容量多文件传输时，差别就不是很大了；而同时Marvell卡发热也比较大，自从T43p上了M卡后，基本上机器的最高温度部位都是PCI位置，不大运作是保持在55°及以下，大容量传输时就能上到最高61°，同比之下A卡发热控制还是比较好的。不过考虑到T43p机器的主要用途就是看看电影什么的，且15‘的机器大，散热相对较好，M卡热点，但并不是不可接受的热，因此最终决定在T43p上Marvell8363。

剩下的事就是完善细节了，有什么好玩的呢？ 嗯，加上第三条天线——其实，如果wifi N卡不支持3x3矩阵技术（3条线路同时输入输出），接了第三条线也没多大用。经查，目前大多数市面上的wifi N（包括PCI-E接口的5418  4965  4321等）最高只支持2x3技术（2条线路输出，3条线路输入），当然也包括手里的这两块大卡。 据google查询的结果，目前好像只有Marvell的一款最新的芯片达到了真正的3x3技术水平，理论最大传输值能到600M*.*lll ，而不只是300M-----------不管那么多，只要有天线咱就接着玩，多了总不是坏事，看看这两条我从卖家处磨蹭来的免费天线，可能是原装apple某种电脑的内置天线吧，事实上，据卖家说，这两块大卡也是从apple厂里批出来的，怪不得它们的颜色如此同类

两条apple的天线


近点看天线头


装在T43p上，看看走线。我把天线头放在PCMCIA槽于CPU风扇之间，高度厚度刚刚好，



来张反面照的，可以清楚地看到天线头所在位置




硬的玩完，看看软的如何

Marvell TOPDOG PCI-Express 802.11 abgn, 这就是8363装在T43p上设备管理器的显示




再看看它的“高级”选项里都有些什么。。。对比第二篇里5416的“高级选项”，Marvell 8363的管理项相当丰富，很有得搞，用两图才能show完




最后，再看看Marvell卡在 Access Connection里是什么个显示，AC是最新4.52版本，装好M卡驱动后再装AC才能显示出来



为凑足标题，再补一张R32 卡槽的图片，位于机器底部，里面装的是T23的11b+modem combo卡，全高卡，还厚，作尺寸示范，天线是我后加进去的 。由它的尺寸你可以看到，破解了1802后，什么卡都能往R32上塞，而且位置绝佳，保证空旷，信号就看你怎么布线了。作为测试机，R32立下头功！



o啦。第三遍到此滚个句号。







[ Edited by  htttg on 2011-3-24 16:28 ]

ananstarlit

写得好！！！！！

9jie

终于等到老兄的第三篇了，看来是通宵作业，赞。

woosi

高深````

caoyannay

终于可以用n卡了
感谢楼主

jarodpeach

这样改过之后是否还支持f5和wifi等我？

WittyHareStudio

这到是个发办法,有机会了试下.

gap

好帖啊 帮顶~~等T60上N卡了～～～～

zstk

楼主辛苦了

ybyan

非常感谢.
正好我使用T43p 15"机型, 有机会我测试使用一下看看.

kunium

难得精华，收藏了，呵呵，另外楼主很辛苦，赞一个

mikejason

真正符合 ThinkPad 技术讨论的名头的强帖啊
持续学习中，引用楼主原文“找 + 学 +“欲学神功必先自宫，即使自宫未必成功”的自残精神= 可能成功   ............漫长的2个星期过去了。。。。。R32试验成功.。。5天过去了...T43试验成功...3天过去了，6系列的试验都通过了————不必自宫，亦能成功！”
赞楼主的分享精神，强大研究能力
A 卡果然众望所归啊

lengbj

又见新作，支持，前排支持

codafox

不错，顶一下LZ

sunnyloo

楼主赶快研究2021啊..

RXJWAN

LZ你的CHKSM怎么计算的？

wu0232

嗯。也关注下ls的问题
当初组合x3+t4的bios就碰到这个问题

joewong

第三集终于出来了

佩服LZ的钻研精神~~

kaiza

顶楼主了 这个系列要出到第六篇啊？辛苦了

ddxsy

楼主加油尽早解决2010

big-eblis

期待楼主提供BIOS修改过程

ustp

7月份的第一强帖!

ustp

BIOS 合成、解压工具在此

http://ender.in/bios.tools/

sunnydanniel

狂赞！！
强烈支持LZ出下一篇！！！

Arhing

楼主不是专业人士，凭着爱好钻研得这么深，佩服到五体投地……

lee523

Great

cayman

QUOTE:

Posted by 9jie on 2008-7-2 08:26
终于等到老兄的第三篇了，看来是通宵作业，赞。

这才是另一个大大的“黑手”

cayman

QUOTE:

Posted by jarodpeach on 2008-7-2 08:54
这样改过之后是否还支持f5和wifi等我？

光是这个做法无法实现Fn+F5和wifi灯的， 但却是解决的第一步，前面说了，先解决机器上卡的问题。这些附加功能的实现，第六篇再详细讨论，由于涉及到的机型太多，造成问题很复杂，无法一概而论