spd_dump for macOS

English | 简体中文

Porting macOS dello strumento di flashing BootROM/FDL UNISOC (Spreadtrum). Basato su ilyakurdyukov/spreadtrum_flash (MIT), completa la funzionalità exec_addr2 (bypass del controllo firma CVE-2022-38694) della spd_dump closed-source e realizza l'intera catena su macOS (arm64 + libusb):

BootROM → CVE 越界写 → FDL1 → FDL2 → GPT 解析 → 分区读写 → reset

Piattaforma verificata: UMS9621 (T158), Android 13, kernel 5.15, architettura GKI (init_boot). Gli indirizzi della famiglia UMS9620 sono compatibili; per altri SoC vedi Adattamento.

Compilazione

Dipendenze: Xcode CLT, brew install libusb.

./scripts/build-macos.sh   # 产出 ./spd_dump

Utilizzo

Ingresso in modalità download

A dispositivo spento, tieni premuto Reset (o la combinazione di tasti specifica del modello) e inserisci l'USB: il dispositivo viene enumerato come 1782:4d00. Il BootROM risponde solo per circa 20 secondi dopo l'enumerazione, poi resta in silenzio (l'USB rimane attivo); l'automazione deve essere attivata sul fronte "assente→presente" del dispositivo (vedi scripts/runner.sh).

Caricare FDL2 e leggere la tabella delle partizioni

./spd_dump --wait 3 exec_addr2 0x65017f08 verbose 1 \
    fdl fdl1-dl.bin 0x65000800 \
    fdl fdl2-dl.bin 0xbefffe00 \
    disable_transcode partition_list gpt.xml

Backup

python3 scripts/backup_gen.py gpt.xml backup/ --img-dir data/
./spd_dump --wait 3 verbose 0 disable_transcode $(cat backup_args.txt)

backup_gen.py genera la sequenza di read_part in base al GPT (riprendibile; l'unità di size nel GPT è MB) e imposta offline su vbmeta* i flag AVB a 3 (equivalente a verity 0).

Flash

python3 scripts/flash_gen.py gpt.xml data/ flash_ops.txt
N=$(grep -c 'write_part\|erase_part' flash_ops.txt)
{ yes yes | head -n $N; sleep 3600; } | ./spd_dump --wait 3 verbose 0 \
    disable_transcode $(cat flash_ops.txt | tr '\n' ' ')

flash_gen.py include regole integrate per le partizioni (runtimenv convertito in erase, fixnv/calinv saltate, deduplicazione per mtime in assenza di alias di slot) e alla fine aggiunge erase_part userdata + reset.

Punti chiave del protocollo

Vedi docs/protocol-notes.md:

• I comandi personalizzati devono essere consumati nel ciclo di parsing delle opzioni; verbose 1 termina anticipatamente quel ciclo
• La sessione FDL2 sopravvive tra processi: l'uscita del processo non termina FDL2, quindi i comandi sulle partizioni possono essere eseguiti in lotti
• 0x8A (DOWN_SIZE_ERROR) viene usato anche per: download indipendente di indirizzi protetti, scrittura di runtimenv, blocchi di lettura troppo grandi
• Il limite massimo per la dimensione dei blocchi di lettura è inferiore a 0xffff; il default è 4096
• La famiglia di partizioni NV (nr_fixnv1), se letta tramite indirizzamento per nome, blocca la sessione; regole in docs/partition-rules.md

Verifica del backup

Le partizioni statiche (dtb, ecc.) vengono incrociate tramite md5 con immagini note dello stesso modello, per verificare la correttezza del percorso di lettura.

Adattamento ad altri SoC

Riferimenti

• ilyakurdyukov/spreadtrum_flash — upstream (MIT), src/ contiene il codice sorgente delle patch
• TomKing062/CVE-2022-38694_unlock_bootloader — principio della CVE e materiali per i vari SoC
• YC-nw/SPRDClientCore — riferimento per costanti di protocollo e regole delle partizioni
• NCC Group — UNISOC ROM Vulnerabilities

Pre-autorizzazione di Magisk su per dispositivi senza schermo: docs/headless-magisk-su.md.

Le operazioni a livello BootROM comportano il rischio di brick del dispositivo; esegui prima un backup, a tuo rischio (AS IS).