SM-G985F / Exynos9830 ブートROMエクスプロイト

[!CAUTION] 現在のキーバンドルと生成されたファイルはヒュージング対応です。デバイスが一度ヒューズされると、eFuseの変更は不可逆であり、デバイスはヒューズされたキーに一致するブートイメージとキーマテリアルを引き続き使用する必要があります。ヒュージング動作により、これらのファイルまたはフローを使用する場合は自己責任となります。実行するユーザーがすべての結果に対する責任を負います。ヒュージングフローを実行する前に、eFuseファイル、秘密鍵、署名済みFWBL1、LK / sboot.bin イメージ、および対象デバイスを確認してください。

目次

• リポジトリ構成
• 要件
• イメージ準備
• ペイロードのビルド
• 署名付きSBootイメージの生成
• エクスプロイトモード
• Exynos 9830 ブートチェーン
• Exynos 9830 イメージレイアウト
• ロードアドレス
• ブートソースID
• /mem ダンプペイロード
• アップストリームの帰属
• クレジット

リポジトリ構成

要件

Linuxツールチェーン

sudo apt-get update
sudo apt-get install -y gcc-aarch64-linux-gnu binutils-aarch64-linux-gnu

macOSツールチェーン

brew tap messense/macos-cross-toolchains
brew install aarch64-unknown-linux-gnu

Python依存関係

python3 -m pip install -r requirements.txt

requirements.txt には、coloredlogs、cryptography、hexdump、libusb、pyusb、pycryptodome が含まれます。

Windows USBドライバー

Windowsでは、PyUSBがBootROM USBデバイス 04e8:1234 を開く前に、WinUSB/libusb互換ドライバーを使用する必要があります。exploit/windows/README.md を参照してください。

リポジトリには、exploit/windows/Exynos_USB_Device.inf にWinUSBドライバーパッケージが含まれており、対応するカタログと証明書インポートファイルも同じディレクトリにあります。

イメージ準備

sboot.bin の分割

python3 exploit/split.py bootLoaderFiles/originalSboot_K/sboot.bin -o exploit/extra/images

分割スクリプトは、イメージパーツと split_manifest.json ファイルを出力ディレクトリに書き込みます。

LKカスタムキーのパッチ

LKイメージは、カスタムキーフロー用にROMセキュアブートキー2のコマンドIDを使用する必要があります：

Ghidraプロジェクト内でLKパッチTSVを適用する際、ヘルパーは次のようにGhidraヘッドレス経由で呼び出されました：

GHIDRA=/path/to/ghidra_12.0.4_PUBLIC
REPO=$(pwd)
"$GHIDRA/support/analyzeHeadless" "$REPO/exynos990reverseEng" exynos990 \
  -process lk.bin \
  -noanalysis \
  -scriptPath "$REPO/external/ghidra" \
  -postScript ApplyLkPatches.java "$REPO/external/ghidra/lk_985_selected_patches.tsv"

ストックキーを置き換えて、32バイトのeFuseキーをオフセット 0x205008 の lk.bin に埋め込みます：

dd if=external/keys/exynos9830_crecker/crecker.efuse of=exploit/extra/images/lk.bin bs=1 seek=$((0x205008)) count=32 conv=notrunc
xxd -g1 -s $((0x205008)) -l 32 exploit/extra/images/lk.bin

分割パーツの結合

python3 exploit/merge.py exploit/extra/images Exynos9830

結合スクリプトは、現在の作業ディレクトリに sboot.bin を書き込みます。

ペイロードのビルド

external/payloads/ 配下のペイロードプロジェクトをビルドし、生成されたバイナリを exploit/extra/payloads/ にコピーします：

./exploit/build_payloads.sh

UFSローダーとカスタムキーペイロードは、ビルド時に32バイトのefuseファイルを埋め込みます。デフォルトでは、Makefileは external/keys/exynos9830_crecker/crecker.efuse を読み取ります。必要な場合は、CUSTOM_KEY_EFUSE=/path/to/crecker.efuse でこれを上書きします。

署名付きSBootイメージの生成

exploit/exploit.py によって実行されるプリフライトステップは、各署名付き実行の前に exploit/extra/images/ 内のSBootイメージセットをその場で再署名します。別個の署名済み出力は保持されません。署名ステップでは、external/keys/exynos9830_crecker/ の下にある意図的に追跡された共有キーバンドルを使用します。

完全なイメージセットに対するリポジトリルート相当のコマンド：

python3 external/tools/sign_sboot_images.py \
  --images-dir exploit/extra/images \
  --keys-dir external/keys/exynos9830_crecker

これは次のイメージに署名します：

バッチ署名ツールは、すべてのイメージに10進数の 23 を渡し、既存のフッターにすでに存在する古いロールバック値を再利用しません。

epbl.img は、必要に応じて最初に再暗号化され、その後、最終バイトに対して署名されます。ldfw.img と tzsw.img のAVBコンテンツを更新する場合は、外部AVBフローが依然として必要です。

FWBL1のみのコマンド：

python3 external/tools/sign_tool.py \
  -i exploit/extra/images/fwbl1.img \
  -o exploit/extra/images/fwbl1.img \
  -k external/keys/exynos9830_crecker/crecker_private.pem \
  -H external/keys/exynos9830_crecker/crecker.hmac \
  -s 0x3000 \
  -r 23 \
  -ma 0x9830 \
  -m 0x142 \
  -e 11 \
  -t external/keys/exynos9830_crecker/crecker_stage2_tee_pubkey.bin \
  -re external/keys/exynos9830_crecker/crecker_stage2_ree_pubkey.bin

sign_tool.py、fwbl1.img、および crecker_* ファイルが現在のディレクトリにある場合の短縮形：

python3 sign_tool.py -i fwbl1.img -o fwbl1.img -k crecker_private.pem -H crecker.hmac -s 0x3000 -r 23 -ma 0x9830 -m 0x142 -e 11 -t crecker_stage2_tee_pubkey.bin -re crecker_stage2_ree_pubkey.bin

エクスプロイトモード

特に記載がない限り、リポジトリルートからコマンドを実行します。

デバイスフローの注意事項

Exynos 9830 ブートチェーン

観測されたExynos 9830のブート手順は次のとおりです：

Exynos 9830 イメージレイアウト

ロードアドレス

ブートソースID

生のブートソースID

ブートソース値

/mem ダンプペイロード

注：mem.bin ダンプペイロードは、動作する sboot がインストールされていない場合にのみ使用できます。

1. Heimdallを介して uh.bin をブートローダーに送信します：

   root@kitploit:~

   heimdall flash --BOOTLOADER uh.bin
   

2. ダンプフローを実行します：

   root@kitploit:~

   python3 exploit/exploit.py --dump
   

3. 生成された exynos990.bootrom.bin ダンプを確認します。

アップストリームの帰属

このリポジトリのPythonリカバリツールの一部は、halal-beef/hubble から改作されました。

そのアップストリームプロジェクトはGNU GPL v2.0のもとで公開されており、このリポジトリは互換性のためにGPL-2.0ライセンスを維持しています。LICENSE と NOTICE.md を参照してください。

external/payloads/exynos990_boot_custom_key/ 配下のExynos990カスタムキーペイロードは、frederic/exynos-usbdl のフォークである VDavid003/exynos-usbdl のブートカスタムキーペイロードスケルトンと制御フローのアイデアに基づいています。これはExynos9830 / Exynos990 GET_CONFIGURATIONチェーン用に大幅に書き直され、適合されており、アップストリームのペイロードの逐語的なコピーではありません。参照されているアップストリームプロジェクトはGNU GPL v3.0でライセンスされているため、このペイロードはGPL-3.0-onlyで維持されています。external/payloads/exynos990_boot_custom_key/LICENSE を参照してください。

クレジット