استغلال Bootrom لجهاز SM-G985F / معالج Exynos9830

[!CAUTION] حزمة المفاتيح الحالية والملفات المُنشأة قادرة على الحرق (fusing-capable). بمجرد حرق جهاز ما، يكون تغيير eFuse غير قابل للتراجع، ويجب أن يستمر الجهاز في استخدام صور الإقلاع ومواد المفاتيح المطابقة للمفتاح المَحروق. استخدام هذه الملفات أو التدفقات على مسؤوليتك الخاصة بسبب سلوك الحرق؛ تظل جميع العواقب مسؤولية المستخدم الذي يشغّلها. تحقق من ملف eFuse، والمفاتيح الخاصة، وصور FWBL1 الموقعة، وLK / sboot.bin، والجهاز الهدف قبل تشغيل أي تدفق حرق.

المحتويات

• تخطيط المستودع
• المتطلبات
• تجهيز الصور
• بناء الحمولة
• توليد صورة SBoot الموقعة
• أوضاع الاستغلال
• سلسلة إقلاع Exynos 9830
• تخطيط صور Exynos 9830
• عناوين التحميل
• معرفات مصدر الإقلاع
• حمولة تفريغ /mem
• الإسناد إلى المصادر العلوية
• الاعتمادات

تخطيط المستودع

المتطلبات

سلسلة أدوات Linux

sudo apt-get update
sudo apt-get install -y gcc-aarch64-linux-gnu binutils-aarch64-linux-gnu

سلسلة أدوات macOS

brew tap messense/macos-cross-toolchains
brew install aarch64-unknown-linux-gnu

تبعيات Python

python3 -m pip install -r requirements.txt

يتضمن requirements.txt الحزم coloredlogs وcryptography وhexdump وlibusb وpyusb وpycryptodome.

برنامج تشغيل USB لنظام Windows

في نظام Windows، يجب أن يستخدم جهاز BootROM USB ذو المعرّف 04e8:1234 برنامج تشغيل متوافقًا مع WinUSB/libusb قبل أن يتمكن PyUSB من فتحه. راجع exploit/windows/README.md.

يتضمن المستودع حزمة برنامج تشغيل WinUSB في exploit/windows/Exynos_USB_Device.inf، مع ملف الفهرس (catalog) وملف استيراد الشهادة المطابقين لها في نفس الدليل.

تجهيز الصور

تقسيم sboot.bin

python3 exploit/split.py bootLoaderFiles/originalSboot_K/sboot.bin -o exploit/extra/images

يكتب سكربت التقسيم أجزاء الصور وملف split_manifest.json في دليل الإخراج.

رقعة المفتاح المخصص لـ LK

يجب أن تستخدم صورة LK معرّفات أوامر مفتاح الإقلاع الآمن 2 الخاصة بـ ROM لتدفق المفتاح المخصص:

عند تطبيق ملف TSV الخاص برقعة LK داخل مشروع Ghidra، تم استدعاء المساعد عبر Ghidra بدون واجهة (headless) على النحو التالي:

GHIDRA=/path/to/ghidra_12.0.4_PUBLIC
REPO=$(pwd)
"$GHIDRA/support/analyzeHeadless" "$REPO/exynos990reverseEng" exynos990 \
  -process lk.bin \
  -noanalysis \
  -scriptPath "$REPO/external/ghidra" \
  -postScript ApplyLkPatches.java "$REPO/external/ghidra/lk_985_selected_patches.tsv"

ضمّن مفتاح eFuse ذا الـ 32 بايت في lk.bin عند الإزاحة 0x205008، لاستبدال المفتاح الأصلي:

dd if=external/keys/exynos9830_crecker/crecker.efuse of=exploit/extra/images/lk.bin bs=1 seek=$((0x205008)) count=32 conv=notrunc
xxd -g1 -s $((0x205008)) -l 32 exploit/extra/images/lk.bin

دمج الأجزاء المقسمة

python3 exploit/merge.py exploit/extra/images Exynos9830

يكتب سكربت الدمج ملف sboot.bin في دليل العمل الحالي.

بناء الحمولة

ابنِ مشاريع الحمولات الموجودة تحت external/payloads/ وانسخ الثنائيات الناتجة إلى exploit/extra/payloads/:

./exploit/build_payloads.sh

يقوم محمّل UFS وحمولة المفتاح المخصص بتضمين ملف efuse بحجم 32 بايت وقت البناء. افتراضيًا، يقرأ ملف Makefile الملف external/keys/exynos9830_crecker/crecker.efuse؛ ويمكن تجاوز هذا الأمر بتحديد CUSTOM_KEY_EFUSE=/path/to/crecker.efuse عند الحاجة.

توليد صورة SBoot الموقعة

تعيد خطوة الفحص المسبق التي يشغّلها exploit/exploit.py توقيع مجموعة صور SBoot في exploit/extra/images/ في مكانها قبل كل تشغيل موقّع. لا يتم الاحتفاظ بأي ناتج موقّع منفصل. تستخدم خطوة التوقيع حزمة المفاتيح المشتركة المتعقبة عمدًا تحت external/keys/exynos9830_crecker/.

الأمر المكافئ من جذر المستودع لمجموعة الصور الكاملة:

python3 external/tools/sign_sboot_images.py \
  --images-dir exploit/extra/images \
  --keys-dir external/keys/exynos9830_crecker

يوقّع هذا:

يمرر مُوقّع الدفعات القيمة العشرية 23 لكل صورة ولا يعيد استخدام قيمة تراجع أقدم موجودة بالفعل في تذييل قائم.

يُعاد تشفير epbl.img أولاً عند الحاجة، ثم يُوقَّع على البايتات النهائية. لا يزال ldfw.img وtzsw.img يحتاجان إلى تدفق AVB الخارجي إذا كان المقصود تحديث محتوى AVB الخاص بهما.

أمر FWBL1 فقط هو:

python3 external/tools/sign_tool.py \
  -i exploit/extra/images/fwbl1.img \
  -o exploit/extra/images/fwbl1.img \
  -k external/keys/exynos9830_crecker/crecker_private.pem \
  -H external/keys/exynos9830_crecker/crecker.hmac \
  -s 0x3000 \
  -r 23 \
  -ma 0x9830 \
  -m 0x142 \
  -e 11 \
  -t external/keys/exynos9830_crecker/crecker_stage2_tee_pubkey.bin \
  -re external/keys/exynos9830_crecker/crecker_stage2_ree_pubkey.bin

الصيغة المختصرة عندما تكون sign_tool.py وfwbl1.img وملفات crecker_* موجودة في الدليل الحالي:

python3 sign_tool.py -i fwbl1.img -o fwbl1.img -k crecker_private.pem -H crecker.hmac -s 0x3000 -r 23 -ma 0x9830 -m 0x142 -e 11 -t crecker_stage2_tee_pubkey.bin -re crecker_stage2_ree_pubkey.bin

أوضاع الاستغلال

نفّذ الأوامر من جذر المستودع ما لم يُذكر خلاف ذلك.

ملاحظات تدفق الجهاز

سلسلة إقلاع Exynos 9830

إجراء الإقلاع المرصود لـ Exynos 9830 هو:

تخطيط صور Exynos 9830

عناوين التحميل

معرفات مصدر الإقلاع

معرفات مصدر الإقلاع الخام

قيم مصدر الإقلاع

حمولة تفريغ /mem

ملاحظة: لا يمكن استخدام حمولة التفريغ mem.bin إلا عندما لا يكون هناك sboot يعمل مثبتًا.

1. أرسل uh.bin عبر Heimdall إلى محمّل الإقلاع:

   root@kitploit:~

   heimdall flash --BOOTLOADER uh.bin
   

2. شغّل تدفق التفريغ:

   root@kitploit:~

   python3 exploit/exploit.py --dump
   

3. راجع ملف التفريغ المُنشأ exynos990.bootrom.bin.

الإسناد إلى المصادر العلوية

تم اقتباس أجزاء من أدوات الاسترداد المكتوبة بلغة Python في هذا المستودع من halal-beef/hubble.

هذا المشروع العلوي منشور بموجب GNU GPL v2.0، ويحتفظ هذا المستودع برخصة GPL-2.0 للتوافق. راجع LICENSE وNOTICE.md.

حمولة المفتاح المخصص لـ Exynos990 الموجودة تحت external/payloads/exynos990_boot_custom_key/ مبنية على الهيكل العظمي لحمولة مفتاح الإقلاع المخصص وفكرة تدفق التحكم من VDavid003/exynos-usbdl، وهو فرع من frederic/exynos-usbdl. وقد أُعيدت كتابتها وتكييفها بشكل جوهري لسلسلة GET_CONFIGURATION الخاصة بـ Exynos9830 / Exynos990، وهي ليست نسخة حرفية من الحمولة العلوية. نظرًا لأن المشروع العلوي المُشار إليه مرخّص بموجب GNU GPL v3.0، فإن هذه الحمولة محفوظة بموجب GPL-3.0-only؛ راجع external/payloads/exynos990_boot_custom_key/LICENSE.

الاعتمادات