Desbloqueo del bootloader del Vankyo S30

Desbloquea el bootloader de una Vankyo MatrixPad S30 (Unisoc SC9863A) usando el método FDL1 de CVE-2022-38694.

El BootROM del S30 acepta FDL1 sin firmar en modo descarga sin requerir el bypass ROP, lo que simplifica significativamente el desbloqueo.

Inicio rápido

./unlock.sh --prebuilt    # Usar binarios precompilados (no requiere compilación)
./unlock.sh --source      # Compilar desde el código fuente (requiere firmware PAC + distrobox)

Tras el desbloqueo, verifica:

./verify.sh

Dos rutas

Ruta	Requisitos	Comando
Precompilado	Ninguno (binarios incluidos)	./unlock.sh --prebuilt
Compilar desde el código fuente	Firmware PAC, distrobox, build-essential, libusb-dev	./unlock.sh --source

Requisitos previos

• Host Linux con usbutils (lsusb) y libusb
• Cable USB (apto para datos)
• La tablet S30, apagada
• Para compilaciones desde el código fuente: un archivo de firmware PAC de la Vankyo S30 (consulta el repositorio vankyo-s30-vendor-pac)

Entrar en modo descarga

1. Apaga la tablet por completo
2. Mantén pulsado Bajar volumen
3. Pulsa el botón de reinicio empotrado junto al botón de encendido (usa un clip)
4. Suelta el reinicio y luego suelta Bajar volumen
5. Verifica: lsusb | grep 1782 debería mostrar 1782:4d00

Secuencia de desbloqueo

El script interactivo te guía por las fases:

1. Copia de seguridad y borrado del SPL — lee y guarda el splloader/uboot original, borra el SPL
2. Compilar u-boot nativo parcheado (recomendado) — regenera fdl2-cboot/fdl2-dl a partir de la propia copia de seguridad del uboot del dispositivo (anclas idénticas en todas las compilaciones observadas)
3. Escribir u-boot parcheado — flashea fdl2-cboot.bin, que llama a set_lock_status(1) al arrancar. Nota: esta fase por sí sola no escribe los datos de desbloqueo — el SPL de fábrica verifica el u-boot y arranca uboot_bak en su lugar.
4. Enviar spl-unlock — obligatorio. Arranca el u-boot parcheado a través de la ruta de respaldo del BootROM, que escribe los datos de desbloqueo en miscdata. La salida CHECK_BAUD FAIL aquí es normal (un SPL no habla el protocolo de diagnóstico FDL1).
5. Verificar desbloqueo — lee miscdata para confirmar que se escribieron los datos de desbloqueo
6. Restaurar originales — reescribe el splloader/uboot originales, borra misc

Documentación

Consulta docs/ para:

• FINDINGS.md — catálogo de comportamiento observado en campo: semántica de desbloqueo corregida, referencia de salida de consola de spd_dump, peculiaridades de USB/conexión, modos de fallo de hardware (juntas BGA frías), comparación de compilaciones de firmware
• GUIDE.md — guía completa de desbloqueo con detalles técnicos
• CVE-2022-38694-ANALYSIS.md — análisis de la vulnerabilidad del exploit
• CHAIN_OF_TRUST.md — documentación de la cadena de arranque de Unisoc
• HANDOFF-full.md — notas de investigación del bypass de AVB
• Análisis completo del exploit, documentación de formatos y registros históricos

reference/ contiene lecturas completas de particiones en modo descarga de dispositivos reales (p. ej. reference/S30_20201020-S3032GBUSTUVWXYZ018151/ — una segunda tablet que ejecuta la compilación S30_20201020, que de otro modo no está disponible, incluidos sus blobs de miscdata bloqueados y desbloqueados).

Estructura del repositorio

unlock.sh          — script interactivo guiado de desbloqueo
verify.sh          — verificar el estado del desbloqueo
prebuilt/          — binarios precompilados (no requiere compilación)
source/            — scripts de compilación desde el código fuente + código fuente del exploit CVE-2022-38694
exploit-artifacts/  — imágenes de experimentos de bypass de AVB con FDL2
reference/         — lecturas completas de particiones de dispositivos reales
docs/              — guías, análisis y registros históricos