-
-
[求助]Vivo Mediatek机型LK(ABOOT)文件Android Verify Boot校验的困惑和一点研究
-
发表于: 2021-6-21 23:36
-
最近折腾的Vivo MTK机型IQOO Z1，研究Root时在AVB部分遇到了一些困难，特整理了一些资料来求助看雪大神，详述如下：
该机型的Bootloader上锁方式极为奇葩，且听细细道来。
在旧版本上，酷安的朋友发现该机型采用了Google提供的简单OEM锁，遂尝试解锁并获取Root。
BL解锁是成功的，但令人困惑的是此LK(ABOOT)并没有提供相应的烧写命令，EDL刷写也存在校验。所以无法刷写打入补丁后的boot.img文件进行测试，前期研究遂终止。
令人惊喜的是，过后不久在XDA论坛爆出了Mediatek机型通用的EDL刷写验证绕过的漏洞，遂可以使用SP Flash Tool进行刷写尝试。我和朋友着手开始了对Vivo IQOO Z1机型Magisk打补丁进行Root的研究。
开始研究之初我们便遇到了困难。该机型BL解锁后并不同于往常的机器，当刷写打补丁的boot后，无法正常引导。经测试该机型为secure boot：no状态时（如下图），仍会对vbmeta，boot文件进行校验，遂Root尝试失败。
之后，我们的测试发现关闭secure boot仅能跳过logo与lk分区的校验。
经过一些控制变量的检查，我们确认了校验vbmeta的相关实现在LK分区中，遂转变思路，转向对LK的反编译和修改进行下一步工作。无奈个人并不是很懂相关知识，在期间也请教了一位会IDA的朋友，奈何找不到相应BSP与源代码，进度推进无果。
使用IDA的朋友判断Vivo将lk进行了魔改。他的工作在于，将auth和verified boot启用返回0（原厂镜像 lk直接忽略了从平台读出来的secureboot状态，和bl锁状态），修改后的LK能正常引导开机（使用官方签名vbmeta的情况下）。遂进一步尝试对vbmeta的修改，对原版vbmeta文件hex写入跳过验证的flag，写入后引导失败，结论是仍存在对vbmeta文件的签名校验。
|
|
|---|---|
|
|
|
|
|
这个机型在旧版本可以解锁bl，secure boot就关了。LK似乎是是联发科和Vivo魔改的版本，网上找不到相应的BSP和源代码。可能是基于a9eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6D9K9i4c8@1L8r3g2C8k6i4u0F1k6h3I4Q4x3V1k6D9K9#2!0q4y4W2)9&6y4q4!0n7z5g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4W2)9^5z5q4)9&6x3g2!0q4y4q4!0n7z5g2)9&6c8W2!0q4y4q4!0n7z5q4)9^5c8q4!0q4y4W2)9&6z5q4!0m8c8W2!0q4y4g2!0n7c8g2)9^5z5q4!0q4y4#2!0m8x3g2!0m8c8g2!0q4y4g2!0m8c8g2)9&6b7g2!0q4x3#2)9^5x3q4)9^5x3W2!0q4z5g2)9&6b7#2)9^5x3q4!0q4z5q4!0m8y4W2)9^5x3g2!0q4z5q4!0n7c8W2)9&6b7W2!0q4y4q4!0n7z5q4)9^5x3q4!0q4y4W2!0m8c8q4!0m8y4g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4y4g2)9^5c8q4)9^5c8W2!0q4y4g2)9^5b7g2!0m8z5g2!0q4y4#2)9&6b7g2)9^5y4q4!0q4z5q4!0m8c8W2)9&6c8q4!0q4c8W2!0n7b7#2)9^5b7#2!0q4y4g2)9^5c8W2!0m8c8W2!0q4y4q4!0n7b7W2!0m8y4g2!0q4y4#2!0m8b7W2)9&6z5g2!0q4y4g2)9^5y4W2)9^5y4g2!0q4y4#2!0m8y4#2)9^5x3g2!0q4y4q4!0n7c8W2!0m8x3g2q4c8i4@1f1#2i4K6V1H3i4K6V1%4i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1$3i4K6R3@1i4K6W2r3i4@1f1^5i4@1t1H3i4@1p5J5i4@1g2r3i4@1u0o6i4K6R3I4 |
|
|
|
|
|
我们能找到的就只有1.7.6 大佬可以详细讲讲吗 不过个人觉得问题不在这，现在主要是去vbmeta的校验有点棘手 
|
|
|
|
|
|
没有用，现在存在的是vbmeta文件本身的验证，这个命令的本质是对文件的读写，会导致签名改变。 我们的目的也差不多是这个命令的效果，但是存在对vbmeta的校验导致我们后续的修改都做不来。
最后于 2021-6-24 13:20
被mb_iolubvlg编辑
，原因：
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
提取这个版本的lk总在最新系统里 |
|
|
|
|
|
|
|
|
|
