【速報】FRLG単体で任意コード実行が出来ると判明！！！

https://twitter.com/GEN4pomeg/status/1726111440271257977

https://twitter.com/GEN4pomeg/status/1726111440271257977
今まではエメラルドのザロクバグを使ってバグポケを連れてこないと出来なかった

>>7
情報共有？
恐らく日本版のバグポケモン調査した人はいなかったはず

詳しいことわからないけど海外ROMと違って日本語版で自由に弄れるような文字が無いから結局任意コード実行に漕ぎ着けないとかなんとか聞いた
エメラルドから0×085Fの卵送ってしまえば現状それでいいしあまり開拓が進まなそうな雰囲気を感じるよ

>>2
試してみたい

>>9
厳密には"0x085Fで作ったタマゴとバグ技"だね
任意コード実行においては寧ろ日本版の方が使える文字が多いからコード作製は簡単
問題は日本版だとメールバグで書き換えられる領域に性格値が含まれていないということ
成功率はEmのタマゴバグと違って100%なのは良いんだけど…

>>10
あ､試したい？
適当に捕獲した野生ポケモンから性格値を特定する為のツールとか持ってる？

>>12
今持ってないです…

>>13
そうか…
もし興味があったら3genSearchとかってツールをDLしてみてね

>>14
3genSearchDLしました
これを使って野生の性格値逆算して、ある一定の性格値だったらそいつの種族書き換えを行ってグラブACEするって感じですかね？

>>15
折角DLしてもらった所申し訳ない､性格値検索出来るサイトあったわ
https://web.archive.org/web/20220302072900/http://2style.jp/bowline/ds/tool/random.html

乱数逆算ツールで捕獲した個体の個体値等の情報入力をしてseed[n]を特定､今度は乱数→ステータスでseed[n]を初期シードとして性格値表示オンにして結果を出力すれば性格値が特定出来る
勿論3genSearchでも出来る

性格値が判明したら暗号化ブロックデータの配列パターンを調べる為に以下の計算を行う

性格値 % 0x18 = 0x6,7,C,D,12,13

結果が上記の6個の何れかになれば第一段階突破

>>16
おおー！ありがとうございます
今個体値特定の為にメールバグでふしぎなアメ増殖中なので、終わり次第それやってみます

任意コードスレの手順解説と動画見ながら試したけど普通にダメタマゴでどうすればいいのかわかんなかったんだよね
これはすげー発見！

>>16
できました！性格値0x4671cb64(%0x18で0xC)の野生ポケモンを捕獲しました

>>19
OK
こっからかなりメンドくさい計算が続くから要覚悟

まず性格値の下位2バイト(その個体なら0xCB64)と親の表IDをXORして暗号化定数を求める
>>2のは表IDが10242(0x2802)でLIDが>>16の通り0xC69Bなので､
0xC69B ^ 0x2802 = 0xEE99
となる

そして､求めた暗号化定数と以下の簡単会話の纏めサイトにある各単語の内部番号(｢ブロックと移動エリア｣の2バイトを逆順にしたもの)とをXORして､下記のバグポケモンの内部番号と比較して作製可能かどうかを判断する
https://pokeglitch.game-info.wiki/d/%a5%eb%a5%d3%a1%bc%a5%b5%a5%d5%a5%a1%a5%a4%a5%a2%20%b4%ca%c3%b1%b2%f1%cf%c3

バグポケモン内部番号 ACE開始アドレス
03F8 021F0046
060C 021F0046
15BC 020F1404
1626 020F0000
4312 0202FC01
4317 0202FC01
4D12 02030000
7912 02031013
89FA 0277050B
A253 021B1333
B2A9 021705EC
C7FE 021B06DB
C950 024706D0
CAA2 022B0066
CD48 02EEBB7F
CF8B 02030007
D624 02230199
DD37 02070023
E07C 02FF0155
E472 021B02A0
E69D 02E2ED20

>>20続き

FF3B 026F026E
FF41 025F025E
FF61 027F027E
FF6B 027F027F
FF78 027F0000
FF79 027F027F
FF7B 027F027F
FF7E 027F027F
FF81 027F027F
FF83 027F027F
FF86 027F027F
FF8B 027F027F
FF8E 027F027F
FF96 027F027F
FF99 027F027F
FF9B 027F027F
FF9E 027F027F
FFA1 027F027F
FFA3 027F027F
FFAB 027F027F
FFAE 027F027F
FFB1 027F027F
FFB3 027F027F
FFB6 027F027F
FFB9 027F027F
FFBB 027F027F
FFC3 027F027F
FFC6 027F027F
FFC9 027F027F
FFCE 027F027F
FFD3 027F027F
FFF8 027F0000
FFF9 027F027F

>>20
これは手動だとかなり長くなりそうですね…
一応、当方プログラミングを多少齧ってるので、性格値と表IDを入力したら自動的に結果を求めてくれるプログラムみたいなものを作ってみようと思います…

>>22
手動でやるなら､判定は以下の4つの計算をしてみて､近い数字が>>20,>>21のリストにないかを探す良い

例えば>>2なら
EE99 ^ 0200 = EC99
EE99 ^ 1E10 = F089
EE99 ^ 2020 = CEB9
EE99 ^ 2A01 = C498
となり､EC99がE07C,E472,E69Dと近いので､今度はこれら候補と暗号化定数とをXORする

EE99 ^ E07C = 0EE5
EE99 ^ E472 = 0AEB
EE99 ^ E69D = 0804
この内､0804は簡単会話の[いくわよ]という使用出来る単語なので､E69Dのバグポケモンは作製可能だと分かる

>>23
なるほどです！
一応私の表IDは59050(0xE6AA)で、暗号化定数が0x2DCEとなるのですが、リストと合致しなさそうですね…
また野生捕まえてみます

>>24
あー確かにムリなヤツだねそれ…
一応捕獲した野生ポケモンの個体値とか努力値とかは一切不問なので､適当にガンガン捕まえて候補増やしていけば1匹くらいは直ぐに見つかると思うよ(因みに>>2は7匹目とかだった)

見つかりました！
ボックスに長らく眠っていたニューラちゃんが0x8dc47574で、リストの0x89FAと合致していそうです

かんたんかいわは「メール」っぽいです

あっ計算ミスしてました
違うかもしれません

>>27
多分[ぬいぐるみ]かな？

>>29
再計算したところ、それみたいです！

>>30
では最終段階に

種族をニューラ(0x00D7)から0x89FAに変化させるとチェックサムがその差分(0x89FA-0x00D7=0x8923)だけ増加することになる為､経験値を使ってその増加分を吸収する必要がある
つまり､メールバグ後に経験値が0x8923(35107)だけ減少するように調整すれば良い
そこで､まず暗号化定数と簡単会話の[どんかん]の内部番号0x0440とをXORする

0x2DCE ^ 0x0440 = 0x298E

よって､メールバグ後に経験値を0x298E(10638)とするには､ニューラの経験値を予め0x298E+0x8923=0xB2B1(45745)に調整しておけば良い
もしくは､0x1298E(76174)とする為に､0x1298E+0x8923=0x1B2B1(111281)に調整しても良い
多少経験値の微調整に失敗しても簡単会話の0x0400番台は収録数が多いので､入力する単語を調整してカバー出来る

後は>>2に倣って､メールの3単語目に種族(今回は[ぬいぐるみ])､5単語目に経験値(基本は[どんかん])を入力してメールバグをすれば完成

きた！！！

>>31
これで大丈夫そうですか？

>>32
一応それが0x89FAのはずだけど…もしかしてそのロム後期FR？

>>33
バージョンはリーフグリーンです
型番の末尾が30なので後期版だと思います

>>34
あー
ボックス名1:[　ぶ　び　　　く]にしてグラブACEしてみて何か起こる？

>>35
フリーズするだけで特に何も起こらないですね…

>>36
俺が解析かけたのは前期FRだから､バージョン違いなのか出荷時期の違いかは定かでないけどACE開始アドレスが違うな…
これ見るとFRLGとで同じ個体らしいから出荷時期の所為だろうか
https://pastebin.com/pDXf5rGD
俺は後期版持ってないから解析出来ないや…

>>37
あ､でも手持ちの前期LGの0x89FAも>>32と同じ名前になったな
取り敢えずこの前期LGで新たに解析かけてみるわ

>>31
これ違うポケモンの暗号化定数だったね…

>>38
前期LGのバグポケモンを解析したものの､FRよりも更に偏りが大きくなってより作製が困難になっていた
イベント交換ポケモンからも作製出来ないし､>>19と>>26のポケモンからも作製出来ないのでまた捕獲し直しね…

03F8 021F0046
060C 021F0046
15BC 020F1404
1626 020F0000
3D88 02C7030E
4D1B 02030405
BCB2 020B0221
C290 020310C7
C6AA 02E2EDE2
CFAD 02870602
D45D 02031036
D628 02031003
EA20 02EEE440
EB51 027312D3
FBED 023301F0

>>39続き

FF11 026F026E
FF37 027F027E
FF41 024F024E
FF57 027F027E
FF5C 025F001A
FF61 026F026E
FF6C 027F027F
FF79 027F027F
FF7C 027F027F
FF7F 027F027F
FF81 027F027F
FF84 027F027F
FF87 027F027F
FF8C 027F027F
FF8F 027F027F
FF97 027F027F
FF99 027F027F
FF9C 027F027F
FF9F 027F027F
FFA1 027F027F
FFA4 027F027F
FFAC 027F027F
FFAF 027F027F
FFB1 027F027F
FFB4 027F027F
FFB7 027F027F
FFB9 027F027F
FFBC 027F027F
FFC4 027F027F
FFC7 027F027F
FFC9 027F027F
FFCE 027F0000
FFD1 027F027F
FFF9 027F027F

>>39
>>31の暗号化定数が違ってたのには気づいていたので大丈夫です

とりあえず、ボックスのアズマオウが条件に合致してくれました(画像のは自作ツール)
今回の暗号化定数はDF35で、計算が間違っていなければ経験値121397にすればいいはず

ちなみにバグポケモンのIDは恐らく0xFF37になりそうです

>>43
こっちの前期LGでも同じ見た目になったから大丈夫そう
ただ､ARMステートで開始されるタイプだからThumbステートで開始されるバグポケモンに切り替えたい所
今までARMステートのプログラム組んだことないからちょっと試行錯誤が必要かな

>>44
>>39>>40のうちthumbステートで開始されるバグポケモンはどれになりますか？

>>45
ACE開始アドレスが偶数なのがARM､奇数なのがThumb
一応ARM形式で7912やD628のバグポケ生成するコードは作る予定

任意コードスレ復旧したんで俺はそっちに帰る

>>46
了解です！
sage