Sblocco del bootloader ZTE Blade V40 Vita — P606F02 / Unisoc UMS9230 / UFS

Note e script per Linux per lo sblocco con CVE-2022-38694. Eseguito sul mio EEA_P606F02 con MyOS11.0.13_8045_EEA.

Due cose decidono se funziona e nessuna delle due è documentata da nessuna parte:

Non tenere mai premuto POWER durante il flashing. ~10 s di POWER = hard reset del PMIC = il collegamento USB muore a metà upload (SEND fdl2-dl.bin → connection closed). Tieni premuto solo VOL_UP + VOL_DOWN. Premi POWER una volta se hai bisogno di un reset.
Il telefono si blocca sul logo MyOS dopo lo sblocco, e la solita cancellazione della BCB misc non fa nulla — questo bootloader la ignora. Cancella userdata + metadata tramite BROM.

Dispositivo


Modello	ZTE Blade V40 Vita — `ZTE 8045` / `EEA_P606F02`
SoC / archiviazione	Unisoc UMS9230 / UFS
Pacchetto	`ums9230_universal_unlock_UFS`. I file `fdl2-*.bin` per UFS sono di 934088 byte; quelli per eMMC sono ~1 MB. Loader sbagliati possono cancellare i dati del telefono
OS / slot	Android 11, MyOS11.0.13 · slot `_b`

Compilare gli strumenti

git clone --recursive https://github.com/TomKing062/CVE-2022-38694_unlock_bootloader
cd CVE-2022-38694_unlock_bootloader
gcc chsize.c -o chsize
gcc gen_spl-unlock.c -o gen_spl-unlock
cd spreadtrum_flash && make      # spd_dump

Metti chsize, gen_spl-unlock, spd_dump e i quattro file del pacchetto UFS (fdl1-dl.bin, fdl2-dl.bin, fdl2-cboot.bin, misc-wipe.bin) in un'unica directory di lavoro. Gli script seguenti vengono eseguiti su quella directory.

Entrare in BROM

Telefono spento → tieni premuto VOL_UP + VOL_DOWN → collega il cavo USB → continua a tenere premuto. Devi vedere l'USB 1782:4d00:

for d in /sys/bus/usb/devices/*/; do
  [ "$(cat $d/idVendor 2>/dev/null)" = 1782 ] && echo "BROM: $(basename $d)"
done

19d2:135x è l'USB normale del telefono, non il BROM. Un telefono in boot-loop va bene — ogni reset riesegue il BootROM, che ricampiona i tasti al reset.

Sblocco

Un passo alla volta, rientrando nel BROM prima di ciascuno. Mantieni premuti i tasti del volume durante l'esecuzione.

cd /path/to/working-dir
sudo /path/to/repo/scripts/unlock.sh 1   # back up SPL + uboot_b, erase SPL (won't boot after this)
sudo /path/to/repo/scripts/unlock.sh 2   # prep images locally, phone not needed
sudo /path/to/repo/scripts/unlock.sh 3   # write fdl2-cboot.bin to uboot_b
sudo /path/to/repo/scripts/unlock.sh 4   # the unlock. ends in "connection closed" = success
sudo /path/to/repo/scripts/unlock.sh 5   # read miscdata @8192: 64 zeros = locked, string+2 hashes = unlocked
sudo /path/to/repo/scripts/unlock.sh 6   # restore uboot/SPL. never skip this

Lo step 4 termina con EXEC FDL1 → timeout → connection closed. Questo indica che lo sblocco funziona, non che fallisce. Se lo step 5 mostra zeri, esegui di nuovo lo step 4.

Lo step 3 lascia il telefono incapace di avviare Android (il payload non è un vero bootloader) — lo step 6 ripristina il tuo uboot_bak.bin originale. Non fermarti nel mezzo.

Bloccato sul logo MyOS

Le chiavi FBE in trustos sono sigillate allo stato di lock, quindi /data non può mai essere montato. La cancellazione dei dati è obbligatoria:

sudo /path/to/repo/scripts/fix-post-unlock-hang.sh

Tieni premuti i tasti del volume, si riarma da solo finché non intercetta il BROM. Cancella userdata + metadata, scrive il BCB, esegue il reset. Intercettato al terzo tentativo e ha richiesto meno di un minuto.

Verifica

adb shell getprop ro.boot.flash.locked          # 0
adb shell getprop ro.boot.verifiedbootstate     # orange
adb shell getprop ro.boot.vbmeta.device_state   # unlocked

fastboot getvar è inutile su questo dispositivo (restituisce vuoto per tutto), quindi non cercare lì per conferma.

Successivamente

Questo è un dispositivo VAB senza partizione recovery. Interroga sempre lo slot attivo prima di eseguire il flashing:

adb shell getprop ro.boot.slot_suffix

L'immagine di boot stock B06 richiede che il suo output Magisk venga firmato nuovamente prima del flashing. La procedura testata per Windows di stock-flash, firma AVB e recovery si trova in docs/windows-flash-root.md. Se si bricka un'immagine di boot, BROM funziona comunque. Mappa delle partizioni: docs/partition-table.md.

Ri-blocco: possibile (azzerare il token miscdata tramite BROM) ma inutile ai fini della sicurezza — il bug del BootROM è permanente, chiunque può ri-sbloccare con questi stessi passaggi.

Credito: CVE-2022-38694 è di NCC Group. Il tooling è di TomKing062. Gli script qui sono MIT. Cancella i dati del tuo telefono; è a tuo rischio.

Più Popolari

zte-blade-v40-vita-unlock