spd_dump para macOS

English | 简体中文

Porte para macOS da ferramenta de gravação BootROM/FDL da UNISOC (Spreadtrum). Baseado no ilyakurdyukov/spreadtrum_flash (MIT), adiciona o exec_addr2 do spd_dump proprietário (bypass da verificação de assinatura CVE-2022-38694) e conclui o fluxo completo no macOS (arm64 + libusb):

BootROM → escrita fora dos limites do CVE → FDL1 → FDL2 → análise do GPT → leitura/gravação de partições → reset

Plataforma de validação: UMS9621 (T158), Android 13, kernel 5.15, arquitetura GKI (init_boot). Endereços da família UMS9620 compatíveis; para outros SoCs, veja Adaptação.

Compilação

Dependências: Xcode CLT, brew install libusb.

./scripts/build-macos.sh   # Gera ./spd_dump

Uso

Entrar no modo de download

Com o aparelho desligado e sem energia, mantenha pressionado Reset (ou a combinação de teclas correspondente ao modelo) ao conectar o USB; o dispositivo é enumerado como 1782:4d00. O BootROM responde apenas por cerca de 20 segundos após a enumeração e depois fica silencioso (o USB permanece); a automação deve ser acionada pela borda "ausente → presente" do dispositivo (veja scripts/runner.sh).

Carregar o FDL2 e ler a tabela de partições

./spd_dump --wait 3 exec_addr2 0x65017f08 verbose 1 \
    fdl fdl1-dl.bin 0x65000800 \
    fdl fdl2-dl.bin 0xbefffe00 \
    disable_transcode partition_list gpt.xml

Backup

python3 scripts/backup_gen.py gpt.xml backup/ --img-dir data/
./spd_dump --wait 3 verbose 0 disable_transcode $(cat backup_args.txt)

O backup_gen.py gera a sequência de read_part com base no GPT (com retomada; a unidade de size do GPT é MB) e define offline AVB flags=3 para vbmeta* (equivalente a verity 0).

Gravação

python3 scripts/flash_gen.py gpt.xml data/ flash_ops.txt
N=$(grep -c 'write_part\|erase_part' flash_ops.txt)
{ yes yes | head -n $N; sleep 3600; } | ./spd_dump --wait 3 verbose 0 \
    disable_transcode $(cat flash_ops.txt | tr '\n' ' ')

O flash_gen.py tem regras de partição embutidas (runtimenv é convertido em apagamento, fixnv/calinv são pulados, aliases sem slot são deduplicados por mtime) e anexa erase_part userdata + reset ao final.

Pontos-chave do protocolo

Consulte docs/protocol-notes.md:

• Comandos personalizados devem ser consumidos no loop de análise de opções; verbose 1 encerra esse loop prematuramente
• A sessão FDL2 sobrevive entre processos: a saída do processo não encerra o FDL2, permitindo executar comandos de partição em lotes
• 0x8A (DOWN_SIZE_ERROR) também é usado para: download separado de endereços protegidos, gravação do runtimenv e blocos de leitura excessivamente grandes
• O tamanho máximo do bloco de leitura é inferior a 0xffff, padrão 4096
• A leitura da família de partições NV (nr_fixnv1) por endereçamento por nome trava a sessão; veja as regras em docs/partition-rules.md

Verificação do backup

As partições estáticas (dtb etc.) são comparadas por md5 com imagens conhecidas do mesmo modelo, o que valida a corretude do caminho de leitura.

Adaptação para outros SoCs

Referências

• ilyakurdyukov/spreadtrum_flash — upstream (MIT), src/ contém o código-fonte dos patches
• TomKing062/CVE-2022-38694_unlock_bootloader — princípios do CVE e materiais para cada SoC
• YC-nw/SPRDClientCore — referência de constantes de protocolo e regras de partição
• NCC Group — UNISOC ROM Vulnerabilities

Pré-autorização do su do Magisk em dispositivos sem tela: docs/headless-magisk-su.md.

Operações no nível do BootROM apresentam risco de brick; faça backup antes e use por sua conta e risco (AS IS).