Déverrouillage du bootloader du Vankyo S30

Déverrouillez le bootloader d'une Vankyo MatrixPad S30 (Unisoc SC9863A) en utilisant la méthode FDL1 de la CVE-2022-38694.

Le BootROM du S30 accepte un FDL1 non signé en mode download sans nécessiter le contournement ROP, ce qui simplifie considérablement le déverrouillage.

Démarrage rapide

./unlock.sh --prebuilt    # Utiliser les binaires précompilés (aucune compilation nécessaire)
./unlock.sh --source      # Compiler depuis les sources (nécessite le firmware PAC + distrobox)

Après le déverrouillage, vérifiez :

./verify.sh

Deux approches

Approche	Prérequis	Commande
Précompilé	Aucun (binaires inclus)	./unlock.sh --prebuilt
Compiler depuis les sources	Firmware PAC, distrobox, build-essential, libusb-dev	./unlock.sh --source

Prérequis

• Hôte Linux avec usbutils (lsusb) et libusb
• Câble USB (compatible données)
• La tablette S30, éteinte
• Pour les compilations depuis les sources : un fichier de firmware PAC Vankyo S30 (voir le dépôt vankyo-s30-vendor-pac)

Entrer en mode download

1. Éteignez complètement la tablette
2. Maintenez Volume Bas
3. Appuyez sur le bouton reset encastré à côté du bouton d'alimentation (utilisez un trombone)
4. Relâchez reset, puis relâchez Volume Bas
5. Vérifiez : lsusb | grep 1782 doit afficher 1782:4d00

Séquence de déverrouillage

Le script interactif vous guide à travers les phases :

1. Sauvegarde et effacement du SPL — lit et sauvegarde le splloader/uboot d'origine, efface le SPL
2. Compiler un u-boot patché natif (recommandé) — régénère fdl2-cboot/fdl2-dl à partir de la sauvegarde uboot de l'appareil lui-même (ancrages identiques sur toutes les versions observées)
3. Écrire l'u-boot patché — flashe fdl2-cboot.bin qui appelle set_lock_status(1) au démarrage. Remarque : cette phase seule n'écrit pas les données de déverrouillage — le SPL d'origine vérifie l'u-boot et démarre uboot_bak à la place.
4. Envoyer spl-unlock — obligatoire. Démarre l'u-boot patché via le chemin de repli du BootROM, qui écrit les données de déverrouillage dans miscdata. La sortie CHECK_BAUD FAIL ici est normale (un SPL ne parle pas le protocole diag FDL1).
5. Vérifier le déverrouillage — lit miscdata pour confirmer que les données de déverrouillage ont été écrites
6. Restaurer les originaux — réécrit le splloader/uboot d'origine, efface misc

Documentation

Voir docs/ pour :

• FINDINGS.md — catalogue des comportements observés sur le terrain : sémantique de déverrouillage corrigée, référence de la sortie console de spd_dump, particularités USB/connexion, modes de défaillance matérielle (joints BGA froids), comparaison des versions de firmware
• GUIDE.md — guide complet de déverrouillage avec détails techniques
• CVE-2022-38694-ANALYSIS.md — analyse de la vulnérabilité exploitée
• CHAIN_OF_TRUST.md — documentation de la chaîne de démarrage Unisoc
• HANDOFF-full.md — notes de recherche sur le contournement AVB
• Analyse complète de l'exploit, documentation des formats et journaux historiques

reference/ contient des relectures complètes des partitions en mode download provenant de vrais appareils (par ex. reference/S30_20201020-S3032GBUSTUVWXYZ018151/ — une seconde tablette exécutant la version S30_20201020 autrement indisponible, y compris ses blobs miscdata verrouillés et déverrouillés).

Organisation du dépôt

unlock.sh          — script de déverrouillage interactif guidé
verify.sh          — vérifier l'état du déverrouillage
prebuilt/          — binaires précompilés (aucune compilation nécessaire)
source/            — scripts de compilation depuis les sources + source de l'exploit CVE-2022-38694
exploit-artifacts/  — images d'expérimentation du contournement AVB FDL2
reference/         — relectures complètes des partitions provenant de vrais appareils
docs/              — guides, analyses et journaux historiques