SM-G985F / Exynos9830 Bootrom 익스플로잇

[!CAUTION] 현재 키 번들 및 생성된 파일은 퓨징(fusing)이 가능합니다. 일단 디바이스가 퓨징되면 eFuse 변경은 되돌릴 수 없으며, 디바이스는 퓨징된 키와 일치하는 부트 이미지 및 키 자료를 계속 사용해야 합니다. 퓨징 동작으로 인해 이러한 파일이나 플로우를 사용하는 것은 사용자 자신의 책임입니다; 모든 결과에 대한 책임은 이를 실행하는 사용자에게 있습니다. 퓨징 플로우를 실행하기 전에 eFuse 파일, 개인 키, 서명된 FWBL1, LK / sboot.bin 이미지 및 대상 디바이스를 확인하십시오.

목차

• 저장소 구조
• 요구 사항
• 이미지 준비
• 페이로드 빌드
• 서명된 SBoot 이미지 생성
• 익스플로잇 모드
• Exynos 9830 부트 체인
• Exynos 9830 이미지 레이아웃
• 로드 주소
• 부트 소스 ID
• /mem 페이로드 덤프
• 업스트림 저작자 표시
• 크레딧

저장소 구조

요구 사항

Linux 툴체인

sudo apt-get update
sudo apt-get install -y gcc-aarch64-linux-gnu binutils-aarch64-linux-gnu

macOS 툴체인

brew tap messense/macos-cross-toolchains
brew install aarch64-unknown-linux-gnu

Python 종속성

python3 -m pip install -r requirements.txt

requirements.txt에는 coloredlogs, cryptography, hexdump, libusb, pyusb, pycryptodome이 포함됩니다.

Windows USB 드라이버

Windows에서 BootROM USB 디바이스 04e8:1234는 PyUSB가 열기 전에 WinUSB/libusb 호환 드라이버를 사용해야 합니다. exploit/windows/README.md를 참조하십시오.

저장소에는 exploit/windows/Exynos_USB_Device.inf에 WinUSB 드라이버 패키지가 포함되어 있으며, 동일한 디렉터리에 해당 카탈로그 및 인증서 가져오기 파일도 함께 있습니다.

이미지 준비

sboot.bin 분할

python3 exploit/split.py bootLoaderFiles/originalSboot_K/sboot.bin -o exploit/extra/images

분할 스크립트는 이미지 파트와 split_manifest.json 파일을 출력 디렉터리에 기록합니다.

LK 커스텀 키 패치

LK 이미지는 커스텀 키 플로우를 위해 ROM 시큐어 부트 키 2 명령 ID를 사용해야 합니다:

Ghidra 프로젝트 내에서 LK 패치 TSV를 적용할 때 헬퍼는 다음과 같이 Ghidra headless를 통해 호출되었습니다:

GHIDRA=/path/to/ghidra_12.0.4_PUBLIC
REPO=$(pwd)
"$GHIDRA/support/analyzeHeadless" "$REPO/exynos990reverseEng" exynos990 \
  -process lk.bin \
  -noanalysis \
  -scriptPath "$REPO/external/ghidra" \
  -postScript ApplyLkPatches.java "$REPO/external/ghidra/lk_985_selected_patches.tsv"

32바이트 eFuse 키를 기본 키 대신 오프셋 0x205008의 lk.bin에 임베드합니다:

dd if=external/keys/exynos9830_crecker/crecker.efuse of=exploit/extra/images/lk.bin bs=1 seek=$((0x205008)) count=32 conv=notrunc
xxd -g1 -s $((0x205008)) -l 32 exploit/extra/images/lk.bin

분할 파트 병합

python3 exploit/merge.py exploit/extra/images Exynos9830

병합 스크립트는 현재 작업 디렉터리에 sboot.bin을 기록합니다.

페이로드 빌드

external/payloads/ 아래의 페이로드 프로젝트를 빌드하고 결과 바이너리를 exploit/extra/payloads/로 복사합니다:

./exploit/build_payloads.sh

UFS 로더와 커스텀 키 페이로드는 빌드 시 32바이트 efuse 파일을 임베드합니다. 기본적으로 Makefile은 external/keys/exynos9830_crecker/crecker.efuse를 읽습니다; 필요 시 CUSTOM_KEY_EFUSE=/path/to/crecker.efuse로 재정의하십시오.

서명된 SBoot 이미지 생성

exploit/exploit.py가 실행하는 사전 점검 단계는 각 서명 실행 전에 exploit/extra/images/의 SBoot 이미지 세트를 제자리에서 다시 서명합니다. 별도의 서명된 출력은 유지되지 않습니다. 서명 단계는 external/keys/exynos9830_crecker/ 아래에 의도적으로 추적된 공유 키 번들을 사용합니다.

전체 이미지 세트에 대한 저장소 루트 기준 동일 명령:

python3 external/tools/sign_sboot_images.py \
  --images-dir exploit/extra/images \
  --keys-dir external/keys/exynos9830_crecker

다음 이미지가 서명됩니다:

일괄 서명기는 모든 이미지에 십진수 23을 전달하며 기존 푸터에 이미 있는 이전 롤백 값을 재사용하지 않습니다.

epbl.img는 필요 시 먼저 다시 암호화된 다음 최종 바이트에 서명됩니다. ldfw.img 및 tzsw.img의 AVB 콘텐츠를 갱신하려면 여전히 외부 AVB 플로우가 필요합니다.

FWBL1 전용 명령은 다음과 같습니다:

python3 external/tools/sign_tool.py \
  -i exploit/extra/images/fwbl1.img \
  -o exploit/extra/images/fwbl1.img \
  -k external/keys/exynos9830_crecker/crecker_private.pem \
  -H external/keys/exynos9830_crecker/crecker.hmac \
  -s 0x3000 \
  -r 23 \
  -ma 0x9830 \
  -m 0x142 \
  -e 11 \
  -t external/keys/exynos9830_crecker/crecker_stage2_tee_pubkey.bin \
  -re external/keys/exynos9830_crecker/crecker_stage2_ree_pubkey.bin

sign_tool.py, fwbl1.img 및 crecker_* 파일이 현재 디렉터리에 있을 때의 약식:

python3 sign_tool.py -i fwbl1.img -o fwbl1.img -k crecker_private.pem -H crecker.hmac -s 0x3000 -r 23 -ma 0x9830 -m 0x142 -e 11 -t crecker_stage2_tee_pubkey.bin -re crecker_stage2_ree_pubkey.bin

익스플로잇 모드

별도의 언급이 없는 한 저장소 루트에서 명령을 실행하십시오.

디바이스 플로우 참고 사항

Exynos 9830 부트 체인

관찰된 Exynos 9830 부트 절차는 다음과 같습니다:

Exynos 9830 이미지 레이아웃

로드 주소

부트 소스 ID

원시 부트 소스 ID

부트 소스 값

/mem 페이로드 덤프

참고: mem.bin 덤프 페이로드는 동작하는 sboot가 설치되지 않은 경우에만 사용할 수 있습니다.

1. Heimdall을 통해 uh.bin을 부트로더로 전송합니다:

   root@kitploit:~

   heimdall flash --BOOTLOADER uh.bin
   

2. 덤프 플로우를 실행합니다:

   root@kitploit:~

   python3 exploit/exploit.py --dump
   

3. 생성된 exynos990.bootrom.bin 덤프를 검토합니다.

업스트림 저작자 표시

이 저장소의 Python 복구 도구 일부는 halal-beef/hubble에서 각색되었습니다.

해당 업스트림 프로젝트는 GNU GPL v2.0으로 게시되었으며, 이 저장소는 호환성을 위해 GPL-2.0 라이선스를 유지합니다. LICENSE 및 NOTICE.md를 참조하십시오.

external/payloads/exynos990_boot_custom_key/ 아래의 Exynos990 커스텀 키 페이로드는 frederic/exynos-usbdl의 포크인 VDavid003/exynos-usbdl의 부트 커스텀 키 페이로드 스켈레톤 및 제어 흐름 아이디어를 기반으로 합니다. 이는 Exynos9830 / Exynos990 GET_CONFIGURATION 체인에 맞게 상당히 재작성 및 적용되었으며, 업스트림 페이로드의 축어적 복사본이 아닙니다. 참조된 업스트림 프로젝트가 GNU GPL v3.0으로 라이선스되었기 때문에 이 페이로드는 GPL-3.0-only로 유지됩니다; external/payloads/exynos990_boot_custom_key/LICENSE를 참조하십시오.

크레딧