Vankyo S30 Bootloader-Entsperrung

Entsperren des Bootloaders auf einem Vankyo MatrixPad S30 (Unisoc SC9863A) mit der CVE-2022-38694-FDL1-Methode.

Die BootROM des S30 akzeptiert unsigniertes FDL1 im Download-Modus, ohne dass der ROP- Bypass erforderlich ist, was die Entsperrung erheblich vereinfacht.

Schnellstart

./unlock.sh --prebuilt    # Use prebuilt binaries (no compilation needed)
./unlock.sh --source      # Build from source (needs PAC firmware + distrobox)

Nach der Entsperrung überprüfen:

./verify.sh

Zwei Wege

Weg	Voraussetzungen	Befehl
Vorkompiliert	Keine (Binärdateien enthalten)	./unlock.sh --prebuilt
Aus Quellcode bauen	PAC-Firmware, distrobox, build-essential, libusb-dev	./unlock.sh --source

Voraussetzungen

• Linux-Host mit usbutils (lsusb) und libusb
• USB-Kabel (datenfähig)
• Das S30-Tablet, ausgeschaltet
• Für Quellcode-Builds: eine Vankyo S30 PAC-Firmware-Datei (siehe Repo vankyo-s30-vendor-pac)

Wechsel in den Download-Modus

1. Das Tablet vollständig ausschalten
2. Lautstärke verringern gedrückt halten
3. Die versenkte Reset-Taste neben der Ein-/Aus-Taste drücken (mit einer Büroklammer)
4. Reset loslassen, dann Lautstärke verringern loslassen
5. Überprüfen: lsusb | grep 1782 sollte 1782:4d00 anzeigen

Entsperrungsablauf

Das interaktive Skript führt dich durch die Phasen:

1. SPL sichern & löschen — liest und speichert das ursprüngliche splloader/uboot, löscht SPL
2. Nativen gepatchten u-boot bauen (empfohlen) — generiert fdl2-cboot/fdl2-dl aus dem eigenen uboot-Backup des Geräts neu (Ankerpunkte identisch über alle beobachteten Builds)
3. Gepatchten u-boot schreiben — flasht fdl2-cboot.bin, das beim Booten set_lock_status(1) aufruft. Hinweis: Diese Phase allein schreibt nicht die Entsperrdaten — das Stock-SPL verifiziert u-boot und bootet stattdessen uboot_bak.
4. spl-unlock senden — erforderlich. Bootet den gepatchten u-boot über den BootROM- Fallback-Pfad, der die Entsperrdaten in miscdata schreibt. Die Ausgabe CHECK_BAUD FAIL ist hier normal (ein SPL spricht nicht das FDL1-Diag-Protokoll).
5. Entsperrung überprüfen — liest miscdata, um zu bestätigen, dass die Entsperrdaten geschrieben wurden
6. Originale wiederherstellen — schreibt ursprüngliches splloader/uboot zurück, löscht misc

Dokumentation

Siehe docs/ für:

• FINDINGS.md — Katalog der im Feld beobachteten Verhaltensweisen: korrigierte Entsperrsemantik, Referenz zur spd_dump-Konsolenausgabe, USB-/Verbindungseigenheiten, Hardware-Fehlermodi (kalte BGA-Lötstellen), Vergleich der Firmware-Builds
• GUIDE.md — umfassende Entsperranleitung mit technischen Details
• CVE-2022-38694-ANALYSIS.md — Analyse der Exploit-Schwachstelle
• CHAIN_OF_TRUST.md — Dokumentation der Unisoc-Boot-Kette
• HANDOFF-full.md — Forschungsnotizen zum AVB-Bypass
• Vollständige Exploit-Analyse, Formatdokumentation und historische Logs

reference/ enthält vollständige Partition-Readbacks aus dem Download-Modus von echten Geräten (z. B. reference/S30_20201020-S3032GBUSTUVWXYZ018151/ — ein zweites Tablet, das den ansonsten nicht verfügbaren Build S30_20201020 ausführt, einschließlich seiner gesperrten und entsperrten miscdata-Blobs).

Repository-Struktur

unlock.sh          — guided interactive unlock script
verify.sh          — verify unlock status
prebuilt/          — prebuilt binaries (no compilation needed)
source/            — build-from-source scripts + CVE-2022-38694 exploit source
exploit-artifacts/  — FDL2 AVB bypass experiment images
reference/         — full partition readbacks from real devices
docs/              — guides, analysis, and historical logs