SM-G985F / Exynos9830 Эксплойт Bootrom

[!CAUTION] Текущий набор ключей и сгенерированные файлы поддерживают операцию fusing. После того как устройство прошло fusing, изменение eFuse необратимо, и устройство должно продолжать использовать загрузочные образы и ключевой материал, соответствующие запрограммированному ключу. Использование этих файлов или процедур осуществляется на ваш собственный риск из-за особенностей fusing; все последствия остаются на ответственности пользователя, выполняющего их. Проверьте файл eFuse, закрытые ключи, подписанный FWBL1, образы LK / sboot.bin и целевое устройство перед запуском любой процедуры fusing.

Содержание

• Структура репозитория
• Требования
• Подготовка образов
• Сборка полезной нагрузки
• Генерация подписанного образа SBoot
• Режимы эксплойта
• Цепочка загрузки Exynos 9830
• Структура образа Exynos 9830
• Адреса загрузки
• Идентификаторы источника загрузки
• Полезная нагрузка дампа /mem
• Атрибуция первоисточников
• Благодарности

Структура репозитория

Требования

Тулчейн Linux

sudo apt-get update
sudo apt-get install -y gcc-aarch64-linux-gnu binutils-aarch64-linux-gnu

Тулчейн macOS

brew tap messense/macos-cross-toolchains
brew install aarch64-unknown-linux-gnu

Зависимости Python

python3 -m pip install -r requirements.txt

Файл requirements.txt включает coloredlogs, cryptography, hexdump, libusb, pyusb и pycryptodome.

USB-драйвер Windows

В Windows USB-устройство BootROM 04e8:1234 должно использовать драйвер, совместимый с WinUSB/libusb, прежде чем PyUSB сможет открыть его. См. exploit/windows/README.md.

Репозиторий включает пакет драйвера WinUSB в exploit/windows/Exynos_USB_Device.inf вместе с соответствующим каталогом и файлом импорта сертификата в том же каталоге.

Подготовка образов

Разделение sboot.bin

python3 exploit/split.py bootLoaderFiles/originalSboot_K/sboot.bin -o exploit/extra/images

Скрипт разделения записывает части образа и файл split_manifest.json в выходной каталог.

Патч кастомного ключа LK

Образ LK должен использовать идентификаторы команд ROM secure boot key 2 для процедуры кастомного ключа:

При применении TSV-патча LK внутри проекта Ghidra вспомогательная функция вызывалась через Ghidra headless следующим образом:

GHIDRA=/path/to/ghidra_12.0.4_PUBLIC
REPO=$(pwd)
"$GHIDRA/support/analyzeHeadless" "$REPO/exynos990reverseEng" exynos990 \
  -process lk.bin \
  -noanalysis \
  -scriptPath "$REPO/external/ghidra" \
  -postScript ApplyLkPatches.java "$REPO/external/ghidra/lk_985_selected_patches.tsv"

Встройте 32-байтовый ключ eFuse в lk.bin по смещению 0x205008, заменив штатный ключ:

dd if=external/keys/exynos9830_crecker/crecker.efuse of=exploit/extra/images/lk.bin bs=1 seek=$((0x205008)) count=32 conv=notrunc
xxd -g1 -s $((0x205008)) -l 32 exploit/extra/images/lk.bin

Объединение разделённых частей

python3 exploit/merge.py exploit/extra/images Exynos9830

Скрипт объединения записывает sboot.bin в текущий рабочий каталог.

Сборка полезной нагрузки

Соберите проекты полезной нагрузки в external/payloads/ и скопируйте полученные бинарные файлы в exploit/extra/payloads/:

./exploit/build_payloads.sh

UFS-загрузчик и полезная нагрузка с кастомным ключом встраивают 32-байтовый файл efuse во время сборки. По умолчанию Makefile читает external/keys/exynos9830_crecker/crecker.efuse; при необходимости переопределите это значение с помощью CUSTOM_KEY_EFUSE=/path/to/crecker.efuse.

Генерация подписанного образа SBoot

Предварительный этап, выполняемый exploit/exploit.py, повторно подписывает набор образов SBoot в exploit/extra/images/ на месте перед каждым подписанным запуском. Отдельный подписанный выходной файл не сохраняется. Этап подписи использует общий набор ключей в external/keys/exynos9830_crecker/, который намеренно хранится в репозитории.

Эквивалентная команда из корня репозитория для полного набора образов:

python3 external/tools/sign_sboot_images.py \
  --images-dir exploit/extra/images \
  --keys-dir external/keys/exynos9830_crecker

При этом подписываются:

Пакетный подписант передаёт десятичное значение 23 для каждого образа и не использует повторно более старое значение отката, уже присутствующее в существующем футере.

epbl.img при необходимости сначала повторно шифруется, а затем подписывается по финальным байтам. Для ldfw.img и tzsw.img по-прежнему требуется внешняя процедура AVB, если их содержимое AVB должно быть обновлено.

Команда только для FWBL1:

python3 external/tools/sign_tool.py \
  -i exploit/extra/images/fwbl1.img \
  -o exploit/extra/images/fwbl1.img \
  -k external/keys/exynos9830_crecker/crecker_private.pem \
  -H external/keys/exynos9830_crecker/crecker.hmac \
  -s 0x3000 \
  -r 23 \
  -ma 0x9830 \
  -m 0x142 \
  -e 11 \
  -t external/keys/exynos9830_crecker/crecker_stage2_tee_pubkey.bin \
  -re external/keys/exynos9830_crecker/crecker_stage2_ree_pubkey.bin

Краткая форма, когда sign_tool.py, fwbl1.img и файлы crecker_* находятся в текущем каталоге:

python3 sign_tool.py -i fwbl1.img -o fwbl1.img -k crecker_private.pem -H crecker.hmac -s 0x3000 -r 23 -ma 0x9830 -m 0x142 -e 11 -t crecker_stage2_tee_pubkey.bin -re crecker_stage2_ree_pubkey.bin

Режимы эксплойта

Выполняйте команды из корня репозитория, если не указано иное.

Заметки о процедуре на устройстве

Цепочка загрузки Exynos 9830

Наблюдаемая процедура загрузки Exynos 9830:

Структура образа Exynos 9830

Адреса загрузки

Идентификаторы источника загрузки

Сырые идентификаторы источника загрузки

Значения источника загрузки

Полезная нагрузка дампа /mem

Примечание: полезную нагрузку дампа mem.bin можно использовать только в том случае, если рабочий sboot не установлен.

1. Отправьте uh.bin в загрузчик через Heimdall:

   root@kitploit:~

   heimdall flash --BOOTLOADER uh.bin
   

2. Запустите процедуру дампа:

   root@kitploit:~

   python3 exploit/exploit.py --dump
   

3. Просмотрите сгенерированный дамп exynos990.bootrom.bin.

Атрибуция первоисточников

Части инструментов восстановления на Python в этом репозитории были адаптированы из halal-beef/hubble.

Этот первоисточник опубликован под лицензией GNU GPL v2.0, и данный репозиторий сохраняет лицензию GPL-2.0 для совместимости. См. LICENSE и NOTICE.md.

Полезная нагрузка с кастомным ключом Exynos990 в external/payloads/exynos990_boot_custom_key/ основана на скелете полезной нагрузки boot-custom-key и идее управления потоком из VDavid003/exynos-usbdl, форка frederic/exynos-usbdl. Она была существенно переписана и адаптирована для цепочки GET_CONFIGURATION Exynos9830 / Exynos990 и не является дословной копией исходной полезной нагрузки. Поскольку упомянутый первоисточник лицензирован под GNU GPL v3.0, эта полезная нагрузка распространяется только под GPL-3.0; см. external/payloads/exynos990_boot_custom_key/LICENSE.

Благодарности