标签： 解密

按：4月份的时候这篇文档的西班牙语版就已经出现在国外论坛上，但其实方法早就流传很多年了。 System357 硬盘比起家用 PS3 来说，省略了安装自制系统-导出 eid_root_key 的步骤，使用了同一套密钥组。这次的文章翻译会省略一部分提取 eid_root_key 的步骤。PS3 的系统研究，包括本文，都大量参考了 PSDev Wiki 的相关内容（https://www.psdevwiki.com/ps3/），在这里也一并感谢。

前言

本文主要描述的内容是将 System357/369 的硬盘挂载到 Linux 电脑中。在本翻译中，所有的操作环境是基于 Linux Mint 20.1 x64 的 Cinnamon desktop 标准版进行的。对于中国的用户来说，这个发行版镜像可以从境内镜像站快速获得：

https://mirrors.bfsu.edu.cn/linuxmint-cd/stable/20.1/linuxmint-20.1-cinnamon-64bit.iso

而在本文中，我们使用太鼓达人绿板（太鼓の達人 グリーンVer），S357C-11E，ST4100-1-NA-HDD0-A 作为解密源硬盘。

已知的研究已经对于 PS3内置硬盘（英文） 的加密情况有了大致的了解。每个家用版型号（即除所有街机基板型号）都有独有的一套密钥。在解密后，PS3 的系统有特有的分区表，以及在某些型号上高达10个的分区。其实并不太需要知道所有分区的功能，只需要关注几个特定分区即可。比如说， dev_hdd0 是用户数据、系统分区、配置和 swap 区域，dev_flash2 是在一些有 NOR flash 的型号上保存终端和其登录用户数据的区域。

开工前的准备工作

1）首先，安装（我推荐安装，因为大陆众所周知的原因，部署编译环境非常蛋疼）或以 LiveCD 的模式启动 Linux Mint ，在用户（本文默认为 woodu）目录下创建如下目录：

/home/woodu/ps3
/home/woodu/ps3/dev_hdd0
/home/woodu/ps3/dev_hdd1
/home/woodu/ps3/dev_hdd2
/home/woodu/ps3/dev_flash1
/home/woodu/ps3/dev_flash2
/home/woodu/ps3/dev_flash3

2）下载 PS3 HDD Keygen.sh 脚本并解压到 /home/woodu/ps3 执行或从这里手动从hex值生成 ata_key.bin 和 flash_key.bin，这些key 就是解开 ps3 硬盘的加密的密钥。

3）安装必须的编译工具（apt install build-essential gcc linux内核header 等），并下载 bswap16.ko 的压缩包（此压缩包包含了针对 4.15.0-54-generic kernel in Linux Mint 19.2 的编译成品，在本文中将重新编译适合当前内核的版本）。

下载后直接进到 source 目录中，并 make 即可。之后将成品 bswap16.ko 也移动到 ps3 目录下。

4）完成以上两步后，你的 ps3 目录应该是这样的，除 ata_key.bin 和 flash_key.bin 之外，其他的 key 可以帮你解开其他的分区，根据需要使用即可。

开工

接下来需要在 Terminal（终端）里执行一系列指令，以正确的将硬盘挂载为可读写的分区。

为了防止将原版硬盘破坏，你可以使用 dd 命令或在 windows 下为硬盘制作整盘镜像，持有整盘镜像的你可以将它挂载为虚拟设备，比如使用下面的指令把你放在 /path/to/your.img 的文件挂载到 /dev/loop1 ：

losetup loop1 /path/to/your.img

相反，如果你胆子大（像我一样买了好几台357c），可以尝试直接用移动硬盘盒或直接连接 SATA 到设备上，此时，使用的设备盘符就是 /dev/sdx （取决于你的实际情况，你需要使用一些系统指令确定 x 在你电脑上的真实值）。

1）打开 Terminal 并 sudo su 进入 root 下，因为设备操作一直需要 root 权限。

2）安装在准备工作时编译的 bswap16.ko ，它承担了将 Big Endian 到 Little Endian 的转换工作。

insmod /home/woodu/ps3/bswap16.ko

3）将镜像/物理设备进行挂载。

使用镜像：

cryptsetup create -c bswap16-ecb -d /dev/zero ps3hdd-bs /dev/loop1

使用物理磁盘：

cryptsetup create -c bswap16-ecb -d /dev/zero ps3hdd-bs /dev/sdx

4）使用准备工作获得的 ata_key.bin 和 357 使用的对应算法进行解密挂载：

cryptsetup create -c aes-xts-plain64 -d /home/woodu/ps3/ata_key.bin -s 256 ps3hdd /dev/mapper/ps3hdd-bs

并识别它的分区：

kpartx -a /dev/mapper/ps3hdd

5）稍事休息，确认磁盘已经正确解密：

ls -la /dev/mapper/

如果正确的话，应该可以看到 ps3hdd ps3hdd1 ps3hdd2 ps3hdd3 等一系列分区，分别指向 /dev/dm-* 。

其中 ps3hdd1 是 VFLASH ，ps3hdd2 是 dev_hdd0 ，ps3hdd3 是 dev_hdd1 。

6）继续挂载 VFLASH 吧。 VFLASH 是在第一层加密后又有第二层加密的双层结构，所以要把刚刚解密的指令再来一次。先挂载 VFLASH 容器：

cryptsetup create -c aes-xts-plain64 -d /home/woodu/ps3/vflash_key.bin -s 256 -p 8 ps3vflash /dev/mapper/ps3hdd1

并分区：

kpartx -a /dev/mapper/ps3vflash

7）上面的这一切都做完以后，应该就可以映射分区了。

首先，挂载主分区（如果需要写入的话，你需要安装可写 ufs2 的内核模块，并把指令里面的 ro 替换为 rw）：

mount -t ufs -o ufstype=ufs2,ro /dev/mapper/ps3hdd2 /home/woodu/ps3/dev_hdd0

接下来是一些 FAT12 FAT16 FAT32 的分区，这些分区系统会自动识别，但自动挂载的分区可能会有问题，因此还是建议通过命令行手动挂载：

mount -t vfat /dev/mapper/ps3hdd3 /home/woodu/ps3/dev_hdd1
mount -t vfat /dev/mapper/ps3vflash2 /home/woodu/ps3/dev_flash1
mount -t vfat /dev/mapper/ps3vflash3 /home/woodu/ps3/dev_flash2
mount -t vfat /dev/mapper/ps3vflash4 /home/woodu/ps3/dev_flash3

有一些尺寸上的注意：dev_flash1 往往大概 200Mb 左右大，dev_flash2 往往在16Mb 左右， dev_flash3 往往只有约 512Kb 。

8）全部做完之后，就可以在系统里确认整个硬盘的挂载情况了。

lsblk -b /dev/sdx

9）挂载完毕之后，就获得了对 System357 硬盘的完全控制权。但请注意，千万不要修改对于此硬盘的任何权限和所有者的信息。如果要修改数据，请使用 root 用户，但你可以在普通用户的文件管理器内经过授权后浏览文件。

10）请记得，浏览/使用结束后卸载掉分区，尤其是你修改了内容的情况下。

umount -l /home/woodu/ps3/dev_hdd0
umount -l /home/woodu/ps3/dev_hdd1
umount -l /home/woodu/ps3/dev_flash1
umount -l /home/woodu/ps3/dev_flash2
umount -l /home/woodu/ps3/dev_flash3
kpartx -d /dev/mapper/ps3vflash && cryptsetup remove ps3vflash
kpartx -d /dev/mapper/ps3hdd && cryptsetup remove ps3hdd
cryptsetup remove ps3hdd-bs

常见问题（略）

我看了眼，感觉没什么特别的。

主要是如果需要确认是否解密成功（每一个调用 cryptsetup 的地方），需要看下已挂载节点的内容是否大部分填0，填0就问题不大。

致谢

感谢 graf_chokolo 在 PS3 逆向工程中卓有成效的贡献，并提供了 Linux 上的支持，没有他，kpartx 就不能支持 PS3 的分区表。

感谢 3141card 对于 PS3 硬盘的加密算法和读取方式的研究。

感谢 guerrini97 修复了作者原来旧脚本中的问题，并重构了 bswap16 模块，并为 nbd-client 提供能力。

感谢 Decaf Code 重构 bswap16 模块并兼容现有内核。

感谢 einsteinx2 指引解锁了 PS3 硬盘的 8% 空间，并为本文提供灵感。

感谢 Yugonibblit dump了 CECHG01 型号的分区表，并确认了该型号及衍生型号的加解密钥和对应算法。

感谢 mlody95pl 指出了本文的错误并编译了 UFS 模块。

后记

从我获得太鼓旧框开始的 2020 年下半年，真的是太精彩了，尤其是太鼓达人在中国国内的圈子里。现在，虹版在中国的代理也已经有官方暗示了，而官方框体也通过各种形式进到了国内。希望中国的太鼓达人有个美好的明天。