Vankyo S30 부트로더 언락

CVE-2022-38694 FDL1 방식을 사용하여 Vankyo MatrixPad S30(Unisoc SC9863A)의 부트로더를 언락합니다.

S30의 BootROM은 다운로드 모드에서 ROP 바이패스 없이도 서명되지 않은 FDL1을 허용하므로, 언락 절차가 상당히 단순해집니다.

빠른 시작

./unlock.sh --prebuilt    # 미리 빌드된 바이너리 사용 (컴파일 불필요)
./unlock.sh --source      # 소스에서 빌드 (PAC 펌웨어 + distrobox 필요)

언락 후 확인:

./verify.sh

두 가지 경로

경로	요구 사항	명령
미리 빌드됨	없음 (바이너리 포함)	`./unlock.sh --prebuilt`
소스에서 빌드	PAC 펌웨어, distrobox, build-essential, libusb-dev	`./unlock.sh --source`

사전 요구 사항

usbutils(lsusb)와 libusb가 설치된 Linux 호스트
USB 케이블 (데이터 전송 지원)
전원이 꺼진 S30 태블릿
소스 빌드의 경우: Vankyo S30 PAC 펌웨어 파일 (vankyo-s30-vendor-pac 저장소 참조)

다운로드 모드 진입

태블릿 전원을 완전히 끕니다
볼륨 다운을 누르고 있습니다
전원 버튼 옆의 움푹 들어간 리셋 버튼을 누릅니다 (클립 사용)
리셋을 놓은 다음 볼륨 다운을 놓습니다
확인: lsusb | grep 1782가 1782:4d00을 표시해야 합니다

언락 절차

대화형 스크립트가 다음 단계들을 안내합니다:

SPL 백업 및 삭제 — 원본 splloader/uboot를 읽어 저장하고 SPL을 삭제합니다
네이티브 패치된 u-boot 빌드 (권장) — 기기 자체의 uboot 백업으로부터 fdl2-cboot/fdl2-dl을 재생성합니다 (관측된 모든 빌드에서 앵커가 동일함)
패치된 u-boot 기록 — 부팅 시 set_lock_status(1)을 호출하는 fdl2-cboot.bin을 플래시합니다. 참고: 이 단계만으로는 언락 데이터를 기록하지 않습니다 — 순정 SPL이 u-boot를 검증하고 대신 uboot_bak을 부팅하기 때문입니다.
spl-unlock 전송 — 필수. BootROM 폴백 경로를 통해 패치된 u-boot를 부팅하며, 이 경로가 miscdata에 언락 데이터를 기록합니다. 여기서 출력되는 CHECK_BAUD FAIL은 정상입니다 (SPL은 FDL1 diag 프로토콜을 사용하지 않습니다).
언락 확인 — miscdata를 읽어 언락 데이터가 기록되었는지 확인합니다
원본 복원 — 원본 splloader/uboot를 다시 기록하고 misc를 초기화합니다

문서

docs/에서 다음을 확인하세요:

FINDINGS.md — 현장 관측 동작 목록: 수정된 언락 의미론, spd_dump 콘솔 출력 참조, USB/연결 관련 특이 사항, 하드웨어 고장 모드 (BGA 냉납), 펌웨어 빌드 비교
GUIDE.md — 기술적 세부 사항을 담은 종합 언락 가이드
CVE-2022-38694-ANALYSIS.md — 취약점 분석
CHAIN_OF_TRUST.md — Unisoc 부팅 체인 문서
HANDOFF-full.md — AVB 바이패스 연구 노트
전체 취약점 분석, 포맷 문서, 과거 로그

reference/에는 실제 기기에서 읽어낸 전체 다운로드 모드 파티션 덤프가 포함되어 있습니다 (예: reference/S30_20201020-S3032GBUSTUVWXYZ018151/ — 다른 경로로는 구할 수 없는 S30_20201020 빌드를 실행하는 두 번째 태블릿으로, 잠금 및 언락 상태의 miscdata 블롭 포함).

저장소 구조

unlock.sh          — 안내식 대화형 언락 스크립트
verify.sh          — 언락 상태 확인
prebuilt/          — 미리 빌드된 바이너리 (컴파일 불필요)
source/            — 소스 빌드 스크립트 + CVE-2022-38694 익스플로잇 소스
exploit-artifacts/  — FDL2 AVB 바이패스 실험 이미지
reference/         — 실제 기기에서 읽어낸 전체 파티션 덤프
docs/              — 가이드, 분석, 과거 로그

vankyo-s30-bootloader-unlock

인기