このプロファイルはLK H-Arx/UHパスを削除し、EL3にEL2でカーネルへ入るよう要求し、対応する復号済み/再暗号化済みEL3モニターパッチテーブルを適用します。ストック/改変済みブートローダーのフラッシュモードでは引き続き利用できません。Webコントロールセンターには意図的にKVMコントロールがありません。対応するカーネルと[WindowsInQemu](https://github.com/Creeeeger/WindowsInQemu)を使用することで、WindowsはKVM経由でフルスピードのQEMU上でスマートフォン内で実行できます。

## クイックスタート

すべてのモードを番号付きの単一インストール手順として扱わないでください。目標を選択してください:

| 目標                              | パス                                                                                                                     |
|-----------------------------------|--------------------------------------------------------------------------------------------------------------------------|
| 署名付きカスタムROMをインストール       | 正確なモデル/セットアップ → EUB → 一時的な`--signed --no-fuse`チェーン → ROMの完全な署名済み出力をフラッシュ → UFS初回起動 |
| エクスプロイトをテストする                  | オプションの`--prepare --no-fuse` → EUB → `--signed --no-fuse` → 停止                                                       |
| ブートチェーンを開発する（CLIのみ） | 一時的なno-fuseテスト → ビルド → 生成されたSBoot/TZSW/LDFWをフラッシュ → UFS                                                   |
| ダンプ / リカバリー                   | 専用のワークフローとヒューズ状態チェックを使用                                                                          |

`--prepare`は推奨されるドライランであり、必須の前提ステップではありません: `--signed`
は事前チェックを繰り返します。生成された3部構成のHeimdallコマンドはブートチェーン開発ツールであり、カスタムROMの
フラッシュではありません。

デバイスに触れる前に[USER_GUIDE.md](https://github.com/creeeeger/cve-2024-56426/blob/exynos990/USER_GUIDE.md)を読み、対応するワークフローを選択してください。そこには
完全なROMの受け渡しに加え、未ヒューズ、ヒューズ済み、および状態不明のリカバリールールが含まれています。

## オプションのローカルUI

ブラウザUIはPythonの標準ライブラリのみを使用し、既存の
`exploit/exploit.py` CLIを呼び出します。ブートチェーン開発とその生成された3部構成のHeimdallコマンドはターミナルのみの
ツールのままです。

リポジトリのルートから起動します:```bash
python3 exynos990_control_center.py

UIは以下を提供します:

- 依存関係およびリポジトリ資産の赤/緑チェック;
- 1つのグローバルなターゲットモデル選択と、正確に2つのヒューズ決定: 未ヒューズのまま維持またはヒューズ;
- 選択されたワークフローのステップのみを表示して番号付けするワークフロー選択器;
- install-ROM、exploit-test、BootROM-dump、およびstock-recoveryワークフロー;
- UHを検証し、HeimdallでBOOTLOADERスロットにフラッシュしてEUBに入る、正確なモデルの改変ローダーアクション;
- 恒久的なヒューズ警告と、設定されたキー/eFuse SHA-256フィンガープリント;
- Fuseを選択した後は利用できない、未ヒューズ専用のストックブートチェーン復元カード;
- ライブプロセス出力、キャンセル、およびステージごとの検証マーカー。

また、CLI専用のExynos 990 KVM通知も表示しますが、KVMオプションを意図的に公開せず、`--kvm`をいかなるWebアクションにも転送しません。

USBアクセスは、コントロールセンターを起動したプロセスの権限に従います。起動する前に、同梱のudev/ドライバ権限を設定してください。UIは特権資格情報を要求、保持、または転送しません。印刷されたトークンURLを非公開に保ち、使用後すぐにサーバーを停止してください。

ターミナルユーザーは`exynos990_control_center.py`を無視できます。以下に記載されているすべてのCLIコマンドは変更されず、完全にサポートされたままです。

## 要件

Python 3.10以降が必要です。

Windows 10/11 (ネイティブPowerShell):```powershell
.\windows\setup.ps1
. .\windows\activate.ps1
python .\exploit\exploit.py --prepare --model G985F --no-fuse

macOS:```bash
brew tap messense/macos-cross-toolchains
brew install aarch64-unknown-linux-gnu lz4

Generate the corresponding signed bootloader without opening USB:```bash
python3 exploit/exploit.py --build-sboot --model N986B --no-fuse

このコマンドは`sboot.bin.lz4`、`tzsw.img.lz4`、`ldfw.img.lz4`のみを抽出し、一時ディレクトリ内でそれらを解凍して、3つの出力すべてが存在し空でないことを検証し、1回のHeimdallフラッシュ操作を実行します。一時ファイルはその後削除されます。`--no-reboot`と`--verbose`もサポートされています。電話機はすでにHeimdall互換のダウンロードモードにある必要があり、選択したモデルは物理デバイスと完全に一致している必要があります。

これはAndroid、AP、モデム、CSC、ユーザーデータ、または完全な純正ROMを復元するものではありません。カスタムキーでヒューズされたデバイスでは絶対に実行しないでください。そのような電話機には、正確にヒューズされたキーで再署名された純正ベースのソフトウェアが必要です。カスタムトラストルートは永続的に残ります。ヒューズの状態が不明な場合は、停止してください。

## FRP / 永続的ストレージの復旧に関する注意

> [!CAUTION]
> この手順は、あなたが個人的に所有し、サービスを提供する権限があるデバイスにのみ適用されます。他人のデバイスで使用することは固く禁止されています。パーティションのパスを誤ると、永続的なデータ損失やデバイスが起動不能になる可能性があります。書き込む前に、対象パーティションをバックアップし、解決されたブロックデバイスのパスとサイズを検証してください。

このリポジトリは、ファクトリーリセット保護（FRP）を自動的に削除しません。Androidの`PersistentDataBlockService`を使用するデバイスでは、FRP状態は一般に`PERSISTENT`という名前のパーティションに保存されます。[AOSP実装](https://android.googlesource.com/platform/frameworks/base/+/bc56632da95b/services/core/java/com/android/server/PersistentDataBlockService.java)を参照してください。

エクスプロイトチェーンが`adb`と`dd`を提供するカスタムリカバリを起動した後、パーティションを特定してバックアップしてください。推測による数値のブロックデバイスパスを代用しないでください。```bash
adb shell ls -l /dev/block/by-name/PERSISTENT
adb shell dd if=/dev/block/by-name/PERSISTENT of=/tmp/PERSISTENT.backup.img bs=4096
adb pull /tmp/PERSISTENT.backup.img

この方法はテスト済みで動作し、FRPは削除され、デバイスのロックが解除されます。

## LKパッチ

パッチの選択はアーティファクトマッピングに従います：```text
G780F -> lk_g780f_selected_patches.tsv
G980F -> lk_g980f_selected_patches.tsv  (applied to G981B LK)
G981B -> lk_g981b_selected_patches.tsv
G985F -> lk_g985f_selected_patches.tsv  (applied to G986B LK)
G986B -> lk_g986b_selected_patches.tsv
G988B -> lk_g988b_selected_patches.tsv
N980F -> lk_n980f_selected_patches.tsv  (applied to N981B LK)
N981B -> lk_n981b_selected_patches.tsv
N985F -> lk_n985f_selected_patches.tsv  (applied to N986B LK)
N986B -> lk_n986b_selected_patches.tsv

`external/ghidra/ApplyLkPatches.java` は同じ6列のTSV形式を受け入れ、古いバイトの不一致が発生した場合にパッチを盲目的に適用する代わりに失敗するようになりました。最初の列が `kvm` である行には、追加の `--kvm` スクリプト引数が必要です。従来の `check_signature` および `check_ext4_signature` の戻り値ゼロの行はプロファイル `0` を使用します。これらは古いバイパス位置を文書化しますが、意図的に適用されないため、ビルドされたイメージはLKの実際のSamsung署名チェックを満たす必要があります。

## 署名

`external/tools/sign_sboot_images.py` はモデルを必要とし、[model_data.py](https://github.com/creeeeger/cve-2024-56426/blob/exynos990/external/tools/model_data.py) からモデルID、EVT、およびロールバックリビジョンを導出します。```bash
python3 external/tools/sign_sboot_images.py \
  --images-dir exploit/extra/images/G986B \
  --keys-dir external/keys/exynos9830_crecker \
  --model G986B

これは意図的に通常起動を防ぎ、次回の起動をEUBに強制します。BL tarの残りのメンバーはフラッシュしません。

以下のコマンドで1つのパッケージを再生成します:```bash
python3 external/tools/build_tampered_loader.py \
  bootLoaderFiles/originalBl/G986B/BL_G986BXXSNHYB1.tar \
  bootLoaderFiles/tamperedLoader/G986B/BL_G986BXXSNHYB1_tampered.tar

スタンドアロンのマージャーは、partsディレクトリ内に`tzsw.img`と`ldfw.img`が必要で、対応する3パートのHeimdallコマンドを出力します。そのコマンドは、選択したモデル用にこれら2つのイメージがすでに署名されている場合にのみ使用してください。`--build-sboot`は、その署名を自動的に実行して検証します。

個々のLDFWレコードを抽出します:```bash
python3 external/tools/extract_ldfw.py ldfw.img -o LDFWs