a human RSS FEED

So finally, a guide for ThinkPad BIOS hacking. Not recommended for anyone who does not have basic grasp of how computers work. If you can't understand something, chances are you're playing with fire by not having enough knowledge. Not saying you're safe if you understood everything at once. Flashing even original BIOS can render your computer unbootable and with ThinkPads, there's no recovery option (aside from some high-tech "soldering" tools). Modified may be even worse. All responsibility for damaging your computer using anything from this page is yours.Terminology, so that I don't have to repeat it all the time.

• Last generation = X200, X200T, X301, T400, T500, W500, W700
• Previous generation = *60, *61, X300
• SL300/SL400/SL500 have AMI BIOS which I have no experience with

When you download a BIOS update from Lenovo, you'll find there something.FL1 (to open the bootable CD version of last generation get perhaps UltraISO). It's the actual BIOS image. There's also .FL2, that's the Embedded controller. The actual BIOS has first obstacle - get PhComp.exe to unpack it from some specific compression only Lenovo uses (inherited from IBM). The BIOS consists of many different modules, which are in last years also compressed.

The decompose the BIOS to individual modules for previous generation, get perhaps phnxdeco - the version a little fixed by me mostly works. If you search enough, you can also find Phoenix BIOS Editor 2.2, something made by Phoenix to allow some quick changes for OEMs - when you open any recent ThinkPad BIOS in it, it will fail, but when that happens, there's already TEMP folder with everything but holes (fixed-location code) extracted, so just grab it and you're done. Be aware that because of write buffering, some modules might be incomplete - if that happens, or you're not sure, try again and compare.

To decompose the BIOS to individual modules for last generation, get phnxsplit written by me (partially based on phnxdeco). It's very dumb tool, just searched the whole BIOS file for module headers and if it finds one, tries to guess compressed or not and then copies / decompresses. Also gives the modules original header, where possible, to allow use of Phoenix tools later.

So you have individual modules. There are some option ROMs for all supported graphics (integrated, discrete, all versions), for ethernet card (boot) etc. There are logos. There are some ACPI things - you can find some tool by M$ to compile/decompile the biggest acpi-related file. Security modules, and much more. However, most things you might be after are located in Bios Code modules. Whitelist checking functions are there. HDD checking functions are there. Processor fan error messages are there (actually directly, these are, to my surprise, not in Strings module). The modules have 27-byte header mentioned earlier, which mostly does not interest you, except four-byte integer at position 0xB. That is module location, and when there are far jumps or procedure calls, that is the address module will be referred with. Be aware it's big endian. Get this number, it should end with zero (in hex). Strip the last zero, and you should get four-digit hex number. Use that as segment when using disassemblers.

Okay, so let's say we search the modules for something known... like... Intel Wifi 3945ABG card has vendor ID 8086 and product ID 4227. Write that in the big endian way (as two-byte integers), and search for 0x86802742. It should get found in one module many times (in *60 series, that is). That's the whitelist... What now, though. You can modify it, yes, to include your card, but then you will have trouble putting the module back, because it might change size after compression - and it won't fit in place. You can mitigate that by changing also some other cards which you don't need. And you will probably succeed... still, it's not the preferred way.

Now strip the 27-byte header. It would make positions wrong. Then let's find the beginning of the whitelist block. You have to guess, there are other cards, from other vendor IDs... but when you have the number, and search for it (don't forget, big endian), you should get a few matches at most. So let's load that module to IDA Disassembler (change extension if it complains) and navigate to that position(s). Press C to tell IDA to try parse that place to instructions. Now it's up to your coding skills... if you think it's some comparing routine, perhaps some register is filled with the whitelist block address and then later being added some (9 for wlan, 4 for wwan) bytes to it, you're probably there.

In T60, when you find one of the two WLAN card checks, you might end up with something like this... or basically in all ThinkPads from *30 series on, it will be very similar. You can find the routine searching for 0x2C01 and 0x2E01 (as you can see in the picture being set to dx) - these two-bytes are pretty unique. Easier than guessing the whitelist block beginning.

In all WLAN/WWAN routines which are responsible for the actual 180x error, you'll find commands "clc" and "stc". There are Clear Carry and Set Carry - effectively set one bit in state register to zero (clear) or one (set). And that's the routines way of returning value. With carry bit set, there's some unsupported card. With carry bit clear, there's either no card, or there's a supported card. The easiest way now is to change the set carry instruction to clear carry.

However... there's more to this. For WLAN, there's one more check - against second whitelist - which controls whether the card is connected to the hardware wireless switch - and if it does not pass there, it will get "radio disable" signal to pin 20. So you need to modify one more check, and that one's a little more tough.

Essentially, I've solved this by replacing the whitelist check by test whether we don't have all zeroes (eax==0 && edx==0; hopefully to ignore when there's no card) and if not, then save the saveApproval.

To be continued.

Preview of things to come: You can look at PhnxPatch, which will find the whitelist checks in your decompressed BIOS modules and patch them. This tool has been used to do all patched BIOSes currently available from me, since around summer 2008, except for some rare cases when I had to do it manually (because the patterns weren't found). However after the patching something needs to be done to match compressed module filesize - I'm using the most straightforward way possible, locate the actual, now unused, whitelist and keep writing random data there until the filesize matches.

<<origin : http://www.endeer.cz/bios.tools/bios.html >>

Split Phoenix BIOS to individual modules: phnxdeco.exe (by Anthony Borisow) (requires cygwin1.dll, based on modified source quickfixed to output valid filenames for special sections such as */?<>)
(De)compress IBM BIOS compression: phcomp.exe (by Phoenix Technologies)
Recalculate Phoenix BIOS checksum: phnxcksm.exe (by me, source)
2008-04-26: Forgot to upload update of checksum utility, which didn't work for ROM files with ESCD skipped, for Thinkpads it only worked with 2MB or larger. It still probably is nowhere about universal now, but at least for Thinkpad 1MB BIOS files it works. phnxcksm.exe 0.2 (source)
Replace module in Phoenix BIOS: phnxmod.exe (by me, source, currently limited to only replacing same-size modules, needs modules already compressed by prepare.exe, actually right now it only saves you from having to do hex-copy/paste manually and makes sure the module is not present more than once; but expect support for enlarging module size and perhaps maybe for adding a new module)

Expected use of these tools is perhaps phcomp-decompress/phnxdeco/modify/prepare-compress/phnxmod/phnxcksm/phcomp-compress. Get yourself a copy of prepare.exe from running BIOS editor available from Intel's download center.

2008-03-05: Experimental updated version of phnxdeco (source). My aim is to split individual modules as good as Phoenix BIOS editor. Currently does not support more than two segments per module (max. 2 used in Lenovo BIOSes, seen four in some HP notebook BIOS – this one will still have something corrupted, will fix later). Supports -x mode for BIOSes larger than 1MB, but not fully, will be fixed later.

2008-11-09: phnxsplit - new Phoenix BIOS structure (source – based on phnxdeco, uses its lzint decompression routine). Very dumb tool similar to what phnxdeco was for older Phoenix BIOS structure. The result cannot be considered complete, but you get the modules and if you're good enough, you can modify them and inject back to original ROM. There are also new tools fp.exe/fi.exe instead of prepare.exe/catenate.exe. Find them perhaps in any Lenovo BIOS update for recent machine.

Suggestions to improve the tools? E-mail me at q@thisdomain (yes, really only q).

Bypassing whitelists in recent ThinkPad BIOSes

Zdravím české a slovenské návštěvníky, na zmíněném e-mailu možno řešit cokoliv týkající se rozebírání BIOSu :)

<<origin : http://www.endeer.cz/bios.tools/ >>

p.16
...
 이런 모든 가르침 중에서 아버지가 준 가장 중요한 가르침이 하나 있다. ... 아버지는 엔지니어가  된다는 것이 무엇인지에 대해 알려 주었다. 엔지니어 중에서도 진짜 엔지니어가 된다는 것이 무엇인지에 대해 말이다. 아버지가 했던 말이 또렸하다. 아버지는 공학이란 이 세상에서 도달할 수 있는 것들 가운데 가장 중요한 것이며 엔지니어란 사람들로 하여금 새로운 사회로 나아가도록 도움이 되는 전자 장치를 만드는 사람이라고 말했다. 나아가 엔지니어가 되면 세상을 바꿀 수 있고 수많은 사람들의 생활방식을 바꿀 수 있다는 말도 했다.
 오늘날까지도 나는 엔지니어가 이 세상을 이끌어가는 중요한 사람이라고 믿고 있다. 나 또한 내가 언젠가 그런 사람이 될 것이라 믿으면서, 내 인생을 공학에 바쳐 왔다.
...

p.18
...
오늘날에도 난 늘 이런 식으로 생각한다. 즉, 기술적인 측면과 인간적인 측면을 항상 함께 염두에 둔다. ... 나는 부품 조립 하나까지 예술가처럼 하고 싶다. ... 인간에게 가장 쓸모 있는 형태를 만들고 싶은 것이다.
...
 엔지니어이긴 하지만, 인간을 더 많이 생각하는 엔지니어라고 말이다.
...

.p.59
...
 당시 나는 선생님들을 우러러 보았다. 정말 그랬다. 나는 선생님들이 엔지니어와 함께 세상에서 가장 똑똑한 사람들이라고 생각했다. 그들은 교단에 서서 너무나 편한 어조로 우리를 가르쳤다. 나는 내 머리도 좋다고 생각했다. 하지만 선생님들이 어려운 내용의 글을 척척 읽고 확신에 차서 말하는 것을 보면서 선생님들이 나보다 훨씬 머리가 좋다고 생각했다. 당시 내 눈에 우리 고등학교 선생님들은 모두 머리가 좋은 학자 였다.
 지금은 좀 냉소적이다. 모두가 똑같은 것을 읽고 똑같은 답을 받아들이는 것을 기준으로 학생들의 지능을 규정하는 모습을 수없이 본 뒤로 그렇다.
...

p.92
...
 그 순간 나는 정부란 마음만 먹으면 어떤 식으로든 국민 한 명쯤 충분히 골탕 먹일 수 있다는 사실을 깨달았다.
...
그 교훈이라 바로 그들이 옳은 일을 하리란 믿음을 가져서는 안 된다는 사실이다.
...
애플을 설립하고 난 뒤 나는 좋은 정부 관계자들을 꽤 많이 만났다. 하지만 정부에 대한 부정적인 인상은 여전하다. 그들이 하는 말을 거의 믿을 수가 없다
...

p.143
...
 이제 내 인생의 중요한 시기가 왔다. 버클리 3학년을 마친 직후 나는 꿈에 그리던 일자리를 얻었다. 컴퓨터 만드는 일은 아니었고 HP에서 계산기를 설계하는 일이었다. 나는 거기서 내 남은 생을 보내리라 다짐했다. 그곳은 정말이지 완벽에 가까운 직장이었다.
 때는 1973년 1월이었다. 나 같은 엔지니어에게 그보다 더 좋은 일터는 없었다. 기술 분야의 다른 회사들과 달리 HP는 영업자들의 손에 의해서만 돌아가는 회사가 아니라 엔지니어들을 예우해 주는 회사였다. 그 회사가 여러 해 동안 오실로스코프, 계측기, 전원 공급 장치, 온갖 종류의 실험 도구, 거기에는 의료 장비까지 만들어 왔다는 사실이 이를 증명했다. 그곳에서는 엔지니어들이 실제 사용하는 거의 모든 것들을 만들었고, 엔지니어가 회사를 이끌었다. 그곳에서는 엔지니어들이 대외적으로뿐만 아니라 대내적으로도 중요한 존재였다. 내가 좋아하지 않을 수 없었다.
...

p.147~149
...
 HP에서 나는 엔지니어뿐 아니라 영업부 직원들과도 아주 친한 사이가 됐다. 자유분방한 회사 분위기가 좋았다. 장발에 수염을 기르고 있는 나를 아무도 뭐라는 사람이 없었다. HP에서는 사람의 능력만 볼 뿐 생김새나 차림새는 상관하지 않았다.
 게다가 나는 난생 처음으로 개인 연구실을 가지게 되었다. 원하기만 하면 얼마든 개인 연구실들을 돌아다니며 다른 사람들과 이야기를 나눌 수 있었다. 하루 종일 사람들과 제품에 대한 아이디어를 나누고 의견을 주고받았다. HP에서는 그런 것을 편하게 할 수 있었다.
 매일 오전 10시와 오후 2시가에 회사는 도넛과 커피를 직원들에게 돌렸다. 정말 기분 좋은 일이었다. 또한 영리한 것이기도 했다. 그것을 핑계로 사람들이 한 자리에 모여 이야기도 하고 친목도 도모하고 아이디어도 나눌 수 있었기 때문이다.
...
 HP에서는 내가 그럴 수 있다는 것을 알았다. 관리직으로 가지 않고도 오랫동안 엔지니어로 일할 수 있는  것이다. 나보다 나이가 훨씬 많은 엔지니어 두 사람을 보면서 그럴 수 있음을 확신했다. 그들도 관리 업무를 하고 싶어 하지 않았다.
 나는 HP에서 약 4년간 일했다. 대학 졸업장이 없었기에 근처의 산 호세 대학 야간 과정을 들어 학위를 따겠노라고 윗사람들과 약속했다. 지금 하는 일이 너무도 소중했기 때문에 일을 그만두고 전적으로 학교생활에만 매달린다는 것은 상상할 수도 없었다.

p.179
...
 그것은 1975년 3월 홈브루 컴퓨터 클럽이라 불리는 기이한 친구들의 첫 모임에서 시작되었다. 이 모임은 기술과 그 기술이 이룩한 것에 매료돼 있는 사람들의 모임이었다.  ... 우리 모임은 일을 쉬고 있는 엔지니어인 고든 프렌치의 차고에서 있었다.
 첫 모임에 참석한 뒤, 나는 훗날 애플I이라고 알려진 컴퓨터를 설계하기 시작했다. 그 모임이 계기가 된 것이다.
 홈브루는 시작부터 '컴퓨터 기술을 보통 사람들에게 전파한다'는 목표가 있었다. 즉, 일반인들도 컴퓨터를 마련하여 그것을 가지고 뭔가 할 수 있도록 만든다는 것이다. 이는 그 모임이 있기 전부터 나의 꿈이었다. 나는 내 집을 찾은 기분이었다.
 서서히 홈브루의 목표는 확장되었다. 오래지 않아 신분과 재산에 상관없이 누구나 컴퓨터를 소유하고 사용할 수 있는 그런 세상에 대해 이야기를 나누었다. 우리는 컴퓨터를 누구나 구입할 수 있는 것으로 만들고, 그것이 사람들의 삶을 바꾸기를 바랐다.
...
 당시에는 대기업만이 컴퓨터를 갖출 수 있었다. 이는 대기업이 작은 기업들과 일반인들은 할 수 없는 일을 할 수 있다는 뜻이었다. 우리는 그런 상황을 바꾸고자 했다.
...
IBM과 디지털 이큅먼트 같은 대기업은 우리가 외치는 사회적 메시지에는 귀를 기울이지 않았다. 그들은 소형 컴퓨터에 대한 구상이 얼마나 강력한 힘을 발휘할지 꿈도 꾸지 못했다. 그들은 우리가 생활 속의 작은 컴퓨터를 만드는 것을 보면서 '그것들이 기껏해야 장난감 수준에 머물 것이다', '상대적으로 작은 시장이다'라고 말했다. 그들은 그 시장이 얼마만큼 성장할지 헤아리지 못했다.
...

p.184~186
...
그런데 기적이 일어났다. 한 친구가 캐나다의 어느 회사가 만든 8008이라는 기술적 세부사항이 적힌 마이크로프로세서의 데이터 시트를 사람들에게 나눠 줬다. 그것은 인텔 8008 마이크로프로세서의 완벽한 복제판었다. 그것을 갖고 집으로 와서 생각했다.
...
그날 밤 나는 마이크로프로세서 데이터 자료를 꼼꼼히 들여다보기 시작했다. A 레지스터에 메모리 위치를 할당하는 것에 대한 지시 사항이 있었다. 이것 봐라. 나는 생각했다. 다음으로는 A레지스터에서 메모리 빼는 것에 관한 지시 사항이 있었다. 세상에. 이게 무슨 말인지 모를 사람도 있겠지만, 나는 이 사항의 의미를 정확히 알고 있었다. 그것은 내가 알게 된 것 가운데 가장 흥분되는 부분이었다.
 그 자리에서 난 이 지시 사항들이 내가 고등학교와 대학교 시절 종이 위에서 미니컴퓨터를 설계할 때 따랐던 것과 같은 내용임을 알았다. 내가 종이 위에 재설계했던 미니컴퓨터가 지금 말하는 것과 똑같은 것임을 알았던 것이다.
 단지 지금의 CPU 부분이 여러 개가 아닌 하나의 칩에 연결되어 있으며, 그것이 바로 마이크로프로세서인 것이었다. 거기에는 삐져 나온 핀이 있는데, 우리는 그 핀을 이용하여 메모리 핍 같은 것들을 연결하면 됐다.
 이제 나는 모임에서 모든 사람들이 열광하던 알테어가 어떤 것인지 이해할 수 있었다. 그것은 내가 5년 전 설계했던 크림소다 컴퓨터와 거의 똑같았다. 알테어에는 마이크로프로세서, 즉 하나의 칩에 연결된 CPU가 장착돼 있고, 내가 만든 것에는 CPU가 여러 개의 칩에 연결돼 있다는 점이 차이라면 차이였다. 다른 차이는 그것이 팔리고 있느냐 아니냐 하는 것이었다. 마이크로프로세서 컴퓨터는 대당 379달러였던 것으로 기억한다. 그밖에는 하나도 차이가 없었다. 그러고 보면 난 알테어를 접하기 5년 전 이미 크림소다를 설계했었던 셈이다.
 마치 나의 모든 인생이 이 하나의 지점을 향해 달려왔다는 생각이 들었다. 미니컴퓨터를 재설계한 것 하며, 퐁과 브레이크 게임에서 화면에 문자를 출력시킨 것 하며, TV 단말기 작업에 매달린 것 하며. 크림소다 컴퓨터와 그밖의 것들을 통해 나는 메모리 연결하는 법과 작동체계 만드는 법을 알고 있었다. 내게 필요한 것은 이 캐나다산 프로세서 같은 것과 메모리 칩 몇개뿐이었다. 그렇게 하면 내가 그토록 원하던 컴퓨터를 만들 수 있었다.
 세상에, 내 손으로 컴퓨터를 만들고, 그것을 소유하고, 남은 생 동안 그것으로 하고 싶은 일들을 할 수 있다니!
 400달러나 주고 알테어를 구입할 필요가 없었다. 알테어는 금속 프레임과 표시등으로 둘러싸인 화려한 칩들의 묶음일 뿐인 데다, 400달러는 내 월급의 실수령액이었다. 알테어를 가지고 뭔가 재미있는 일을 하려면 그보다 더 많은 돈을 써야 했다. 아마도 수백, 아니 수천 달러가 들 것이었다.
...

p.187
...
 첫 모임을 마치고 돌아온 그날 밤 PC에 관한 이런 생각들이 한꺼번에 머리속에 떠올랐다. 둑이 터진 것 같았다.
 그날 밤 나는 훗날 애플I으로 알려지게 될 컴퓨터를 종이 위에 스케치하기 시작했다. 돌이켜 보건대 구상은 순식간이었다. 설계하는데 몇 시간 걸리지 않았다. 부품을 구하고 그 부품의 데이터 시트를 연구하느라 한 달 이상의 시간이 걸리긴 했지만.
 이 프로젝트를 수행한 이유는 여러 가지였다. 그 가운데 하나가 홈브루 회원들에게 단지 몇 개의 칩을 장착한, 사람들이 손쉽게 장만할 수 있는 컴퓨터, 즉 알테어를 구입할 수 있는 가격으로 프로그램까지 짤 수 있는 진짜 컴퓨터를 만들 수 있다는 것을 보여주기 위해서였다.
...
 애플I을 설계한 또 다른 이유는 그 설계도를 모임의 다른 회원들에게 무료로 나눠 주기 위해서였다.
,,,


...