Sblocca Bootloader — Itel S23 (S665L) / Unisoc T606

Guida per sbloccare il bootloader su Itel S23 (S665L) utilizzando l'exploit CVE-2022-38694 sul chipset Unisoc T606 (UMS9230).

Informazioni sul Dispositivo

Prerequisiti

• Linux (testato su Fedora 43)
• adb e fastboot installati
• Cavo dati USB (non solo per ricarica)
• Batteria almeno all'80%
• Sblocco OEM abilitato nelle Opzioni sviluppatore
• Debug USB abilitato nelle Opzioni sviluppatore
• Esegui il backup di tutti i dati (verranno cancellati dopo lo sblocco)

Struttura dei File

ubl-itel-s23/
├── README.md
├── CLAUDE.md
├── recovery/
│   ├── TWRP_S665L.img              # Immagine di ripristino TWRP
│   └── OrangeFox_S665L.img         # Immagine di ripristino OrangeFox
└── tools/
    └── spreadtrum_flash_linux/
        ├── spd_dump                 # Strumento di comunicazione BootROM
        ├── gen_spl-unlock           # Generatore di payload per sblocco
        ├── unlock.sh                # Script automatico di sblocco
        ├── fdl1-dl.bin              # Primo stadio del loader
        ├── fdl2-dl.bin              # Secondo stadio del loader
        ├── fdl2-cboot.bin           # Uboot modificato per sblocco
        ├── custom_exec_no_verify_65015f08.bin  # Payload exploit CVE
        ├── custom_exec_no_verify_65015f48.bin  # Payload exploit CVE (alternativo)
        ├── splloader.bin            # Backup SPL (generato durante il processo)
        ├── uboot.bin                # Backup uboot (generato durante il processo)
        ├── spl-unlock.bin           # Payload di sblocco (generato durante il processo)
        └── ums9230/itel/            # Binari FDL per Itel UMS9230

Come Funziona (CVE-2022-38694)

Questo exploit sfrutta una vulnerabilità nel BootROM Unisoc che permette di scrivere dati in una regione di memoria prima che la verifica della firma sia completata.

Normal:   BootROM → verify(FDL1) → REJECT (unsigned)
Exploit:  BootROM → overwrite verify() → verify = always_true
               → accept(FDL1) → ACCEPT → unlock bootloader

Il payload custom_exec_no_verify (96 byte) sovrascrive il puntatore della funzione di verifica della firma all'indirizzo 0x65015f08, causando l'accettazione di qualsiasi FDL1 da parte del BootROM senza controllarne la firma.

Processo di Sblocco

Configurazione Iniziale

1. Installa le regole udev per l'accesso USB:

sudo tee /etc/udev/rules.d/51-android.rules << 'EOF'
# Google/Android (ADB & Fastboot)
SUBSYSTEM=="usb", ATTR{idVendor}=="18d1", MODE="0666", GROUP="plugdev"
# Spreadtrum/Unisoc
SUBSYSTEM=="usb", ATTR{idVendor}=="1782", MODE="0666", GROUP="plugdev"
EOF
sudo udevadm control --reload-rules && sudo udevadm trigger

2. Copia i file FDL e i payload dell'exploit nella directory di lavoro:

cd tools/spreadtrum_flash_linux
cp ums9230/itel/fdl1-dl.bin ums9230/itel/fdl2-dl.bin ums9230/itel/fdl2-cboot.bin .
cp ums9230/custom_exec_no_verify_65015f08.bin ums9230/custom_exec_no_verify_65015f48.bin .
chmod +x spd_dump gen_spl-unlock

Passo 1 — Backup di splloader e uboot, cancella splloader

Il telefono deve essere acceso e collegato via USB. Dopo questo passo, il telefono non si avvierà fino al Passo 6.

sudo ./spd_dump exec_addr 0x65015f48 fdl fdl1-dl.bin 0x65000800 \
  fdl fdl2-dl.bin 0x9efffe00 exec \
  r splloader r uboot e splloader e splloader_bak reset

Esegui il backup di splloader.bin e uboot.bin in una posizione sicura:

cp splloader.bin uboot.bin backup_spl/

Passo 2 — Genera il payload di sblocco

./gen_spl-unlock splloader.bin 0xfd28

Output: spl-unlock.bin

L'offset 0xfd28 è specifico per questo firmware. Controlla la dimensione di splloader.bin — l'offset dovrebbe corrispondere alla dimensione del file.

Passo 3 — Flash del uboot modificato

Entra in modalità BROM: spegni il telefono, tieni premuto Volume Giù, quindi collega il USB.

sudo ./spd_dump exec_addr 0x65015f08 fdl fdl1-dl.bin 0x65000800 \
  fdl fdl2-dl.bin 0x9efffe00 exec \
  w uboot fdl2-cboot.bin reset

Passo 4 — Invia il payload di sblocco

Entra di nuovo in modalità BROM, poi:

sudo ./spd_dump exec_addr 0x65015f08 fdl spl-unlock.bin 0x65000800

Se vedi device removed, exiting... significa successo.

Passo 5 — Verifica lo stato di sblocco

Entra di nuovo in modalità BROM, poi:

sudo ./spd_dump exec_addr 0x65015f08 fdl fdl1-dl.bin 0x65000800 \
  fdl fdl2-dl.bin 0x9efffe00 exec \
  verbose 2 read_part miscdata 8192 64 m.bin reset

• recv 64 zero = ancora BLOCCATO (fallito)
• recv 32 string + dati hash = SBLOCCATO (successo)

Passo 6 — Ripristina splloader e uboot

Entra di nuovo in modalità BROM, poi:

sudo ./spd_dump exec_addr 0x65015f08 fdl fdl1-dl.bin 0x65000800 \
  fdl fdl2-dl.bin 0x9efffe00 exec \
  w splloader splloader.bin w uboot uboot.bin reset

Il telefono si riavvierà. Seleziona Ripristino dati di fabbrica quando appare Android Recovery.

Verifica tramite ADB

Dopo che il telefono si avvia in Android:

adb shell getprop ro.boot.vbmeta.device_state
# Previsto: sbloccato

adb shell getprop ro.boot.flash.locked
# Previsto: 0

Note Importanti

• Dopo lo sblocco, il telefono mostrerà una schermata di avviso all'avvio (è normale)
• Gli aggiornamenti OTA probabilmente smetteranno di funzionare
• La garanzia decade
• Non eliminare splloader.bin e uboot.bin — sono necessari per il ripristino se qualcosa va storto
• Il Passo 1 utilizza l'indirizzo 0x65015f48, i passi 3-6 utilizzano 0x65015f08

Crediti e Riferimenti

Strumenti

• spd_dump / CVE-2022-38694 Unlock Bootloader di TomKing062 / QuTick102 https://github.com/TomKing062/CVE-2022-38694_unlock_bootloader

• Recovery Collections & Spreadtrum Flash Tool (Linux) di Massatriof16 https://massatriof16.github.io/recovery-collections/#alat

• unisoc-unlock (alternativa in Python) di patrislav1 https://github.com/patrislav1/unisoc-unlock

Guide e Riferimenti

• Guida per sbloccare il bootloader di Itel S23 — Forum XDA
• Come sbloccare il bootloader Unisoc (SPD) utilizzando Identifier Token — Hovatek
• SUBUT — Spreadtrum/Unisoc Bootloader Unlock Tool (Web)

Immagini di Ripristino

• TWRP e OrangeFox per Itel S23 — da Massatriof16 Recovery Collections