spd_dump for macOS

English | 简体中文

Puerto para macOS de la herramienta de flasheo BootROM/FDL de UNISOC (Spreadtrum). Basado en ilyakurdyukov/spreadtrum_flash (MIT), implementa el exec_addr2 (bypass de verificación de firma CVE-2022-38694) que falta en el spd_dump de código cerrado y completa toda la cadena en macOS (arm64 + libusb):

BootROM → escritura fuera de límites (CVE) → FDL1 → FDL2 → análisis de GPT → lectura/escritura de particiones → reset

Plataforma de verificación: UMS9621 (T158), Android 13, kernel 5.15, arquitectura GKI (init_boot). Las direcciones de la familia UMS9620 son compatibles; para otros SoC, ver Adaptación.

Compilación

Dependencias: Xcode CLT, brew install libusb.

./scripts/build-macos.sh   # genera ./spd_dump

Uso

Entrar en modo de descarga

Con el dispositivo apagado y sin alimentación, mantenga pulsado Reset (o la combinación de teclas correspondiente al modelo) y conecte el USB; el dispositivo se enumera como 1782:4d00. El BootROM solo responde durante unos 20 segundos tras la enumeración y luego queda en silencio (el USB sigue presente); la automatización debe activarse por el flanco "ausente → presente" del dispositivo (ver scripts/runner.sh).

Cargar FDL2 y leer la tabla de particiones

./spd_dump --wait 3 exec_addr2 0x65017f08 verbose 1 \
    fdl fdl1-dl.bin 0x65000800 \
    fdl fdl2-dl.bin 0xbefffe00 \
    disable_transcode partition_list gpt.xml

Copia de seguridad

python3 scripts/backup_gen.py gpt.xml backup/ --img-dir data/
./spd_dump --wait 3 verbose 0 disable_transcode $(cat backup_args.txt)

backup_gen.py genera la secuencia de read_part según el GPT (con reanudación; la unidad de size del GPT es MB) y establece AVB flags=3 sin conexión para vbmeta* (equivalente a verity 0).

Flasheo

python3 scripts/flash_gen.py gpt.xml data/ flash_ops.txt
N=$(grep -c 'write_part\|erase_part' flash_ops.txt)
{ yes yes | head -n $N; sleep 3600; } | ./spd_dump --wait 3 verbose 0 \
    disable_transcode $(cat flash_ops.txt | tr '\n' ' ')

flash_gen.py incorpora reglas de partición integradas (runtimenv convertido en borrado, fixnv/calinv omitidos, alias sin ranura deduplicados por mtime) y añade erase_part userdata + reset al final.

Puntos clave del protocolo

Ver docs/protocol-notes.md para más detalles:

• Los comandos personalizados deben consumirse en el bucle de análisis de opciones; verbose 1 termina ese bucle antes de tiempo
• La sesión FDL2 sobrevive entre procesos: salir del proceso no termina FDL2, por lo que los comandos de partición pueden ejecutarse por lotes
• 0x8A (DOWN_SIZE_ERROR) se usa también para: descarga independiente de direcciones protegidas, escritura de runtimenv y bloques de lectura demasiado grandes
• El tamaño máximo del bloque de lectura es inferior a 0xffff; por defecto 4096
• Leer la familia de particiones NV (nr_fixnv1) por direccionamiento por nombre cuelga la sesión; ver las reglas en docs/partition-rules.md

Verificación de la copia de seguridad

Las particiones estáticas (dtb, etc.) se contrastan por md5 con imágenes conocidas del mismo modelo, lo que permite verificar la corrección de la cadena de lectura.

Adaptación a otros SoC

Referencias

• ilyakurdyukov/spreadtrum_flash — upstream (MIT), src/ contiene el código fuente con los parches
• TomKing062/CVE-2022-38694_unlock_bootloader — principio del CVE y materiales para cada SoC
• YC-nw/SPRDClientCore — referencia de constantes de protocolo y reglas de partición
• NCC Group — UNISOC ROM Vulnerabilities

Preautorización de Magisk su en dispositivos sin pantalla: docs/headless-magisk-su.md.

Las operaciones a nivel de BootROM conllevan riesgo de brick; haga una copia de seguridad primero. Úselo bajo su propio riesgo (AS IS).