[原创] 初探安卓隐藏Bootloader锁-Android安全-看雪安全社区

[原创] 初探安卓隐藏Bootloader锁

发表于: 2023-8-17 12:08 38283

[原创] 初探安卓隐藏Bootloader锁

cslime

2023-8-17 12:08

38283

# 初探安卓隐藏Bootloader锁

做完硬件断点记录器后就开始研究如何隐藏Android的Bootloader锁了,当然最近没啥兴趣继续研究了,把目前为止的思路发出来

首先想到的一个方向是要先spoof安卓Setting里的oemlock status

## 收集所需信息

在aoxpxref网站上搜索

`bootloader unlocked`

看到一个可疑的文件

`/frameworks/base/core/java/android/service/oemlock/OemLockManager.java`

xref 找到

`/frameworks/base/services/core/java/com/android/server/oemlock/OemLockService.java`

看到函数

```java
private static final String FLASH_LOCK_PROP = "ro.boot.flash.locked";
private static final String FLASH_LOCK_UNLOCKED = "0"

public boolean isDeviceOemUnlocked() {
    enforceOemUnlockReadPermission();
    String locked = SystemProperties.get(FLASH_LOCK_PROP);
    switch (locked) {
        case FLASH_LOCK_UNLOCKED:
            return true;
        default:
            return false;
    }
}
```

可以看到Setting检测的是系统属性 `ro.boot.flash.locked` 来判断Bootloader是否解锁

AOSP搜索`ro.boot.flash.locked`,发现`/system/core/init/init.cpp` 有初始化该属性值的代码

```cpp
static void export_oem_lock_status() {
    if (!android::base::GetBoolProperty("ro.oem_unlock_supported", false)) {
        return;
    }
    SetProperty(
            "ro.boot.flash.locked",
            android::base::GetProperty("ro.boot.verifiedbootstate", "") == "orange" ? "0" : "1");
}
```

`ro.boot.flash.locked` 的值是受到 `ro.boot.verifiedbootstate` 的值影响

google搜了一下后面的这个属性,发现这个属性可能的值有red,orange,yellow,green

看到一个隐藏bl锁的github项目

看到替换表

```cpp
static const char *prop_key[] =
		{ "ro.boot.vbmeta.device_state", "ro.boot.verifiedbootstate", "ro.boot.flash.locked",
		  "ro.boot.veritymode", "ro.boot.warranty_bit", "ro.warranty_bit",
		  "ro.debuggable", "ro.secure", "ro.build.type", "ro.build.tags",
		  "ro.vendor.boot.warranty_bit", "ro.vendor.warranty_bit",
		  "vendor.boot.vbmeta.device_state", nullptr };

static const char *prop_val[] =
		{ "locked", "green", "1",
		  "enforcing", "0", "0",
		  "0", "1", "user", "release-keys",
		  "0", "0",
		  "locked", nullptr };
```

可以确定green是bl未解锁,还有一个 `ro.boot.vbmeta.device_state` 要改成locked状态,实机看这个属性解锁bl状态下是unlocked,除了前三个之外其他属性解bl之后没变

还有 googleplay service 的验证

对应的解决方案是

这个问题不大,国内又不用googleplay service

## 总结需要修改的信息

按照上述总结一下,隐藏bl锁需要修改以下属性

| Property | Value |
| --- | --- |
| ro.boot.flash.locked | 1 |
| ro.boot.verifiedbootstate | green |
| ro.boot.vbmeta.device_state | locked |

## 寻找修改Property的方法

Java层最终会调用`native_get`方法获取Property的值

顺着`native_get` 找到函数`__system_property_find` 这个是用户层标准的获取property值的函数,来自libc.so,往下翻就是android property系统的实现了,可以看这篇文章

[https://bbs.kanxue.com/thread-274100.htm](https://bbs.kanxue.com/thread-274100.htm)

进用户层初始化property service的地方

`/system/core/init/property_service.cpp`

找到函数 `PropertyInit` 从名字猜测这是init进程初始化系统基本property值的地方,`ProcessBootconfig`和`ProcessKernelCmdline`最后是通过读取`/proc/bootconfig`和`/proc/cmdline`调用`_system_property_add`来设置`ro.boot.verifiedbootstate`和`ro.boot.vbmeta.device_state`的值

cat一下这两个设备文件,确实有相关信息

```
adb shell su -c cat /proc/bootconfig
androidboot.hardware = "qcom"
androidboot.memcg = "1"
androidboot.usbcontroller = "a600000.dwc3"
androidboot.bootdevice = "1d84000.ufshc"
androidboot.boot_devices = "soc/1d84000.ufshc"
androidboot.prjname = "22803"
androidboot.startupmode = "pwrkey"
androidboot.mode = "normal"
androidboot.product.hardware.sku = "0"
androidboot.hw_region_id = "1"
androidboot.serialno = "xxxxxxx"
androidboot.baseband = "msm"
androidboot.dtbo_idx = "12"
androidboot.dtb_idx = "1"
androidboot.force_normal_boot = "0"
androidboot.fstab_suffix = "default"
androidboot.verifiedbootstate = "orange"
androidboot.keymaster = "1"
androidboot.vbmeta.device = "PARTUUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
androidboot.vbmeta.avb_version = "1.0"
androidboot.vbmeta.device_state = "unlocked"
androidboot.vbmeta.hash_alg = "sha256"
androidboot.vbmeta.size = "23232"
androidboot.vbmeta.digest = "xxxxx"
androidboot.vbmeta.invalidate_on_error = "yes"
androidboot.veritymode = "enforcing"
androidboot.slot_suffix = "_a"
```

我想到了三个思路

1. 在内核层修改/proc/bootconfig和/proc/cmdline的内容
2. 对_system_property_add下硬件断点,回调里修改value的参数
3. 修改/dev/__properties__/u:object_r:bootloader_prop:s0里的信息

## 第一个思路

kernel版本 5.10.168 路径`/common/fs/proc/bootconfig.c` 中的`proc_boot_config_init` 函数初始化了`/proc/bootconfig`的输出,顺着全局变量 `xbc_data` 找到系统获取bootconfig的地方`/common/init/main.c -> setup_bootconfig` , 可以看到bootconfig是从initrd里拿的

![](upload/attach/202308/844784_ACGYEBG974DBN95.png)

将返回的data copy进全局变量,然后由驱动打印出来看到数据

```
www1@www1s-Mac-mini ~ % adb shell su -c dmesg | grep "\[+"
[    0.278576] [+] androidboot.hardware=qcom\x0aandroidboot.memcg=1\x0aandroidboot.usbcontroller=a600000.dwc3\x0a\x0aandroidboot.bootdevice=1d84000.ufshc\x0aandroidboot.boot_devices=soc/1d84000.ufshc\x0aandroidboot.prjname=22803\x0aandroidboot.startupmode=hard_reset\x0aandroidboot.mode=normal\x0aandroidboot.product.hardware.sku=0\x0aandroidboot.hw_region_id=1\x0aandroidboot.serialno=xxxxxxxx\x0aandroidboot.baseband=msm\x0aandroidboot.dtbo_idx=12\x0aandroidboot.dtb_idx=1\x0aandroidboot.force_normal_boot=0\x0aandroidboot.fstab_suffix=default\x0a\x0aandroidboot.verifiedbootstate=orange\x0aandroidboot.keymaster=1\x0aandroidboot.vbmeta.device=PARTUUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx\x0aandroidboot.vbmeta.avb_version=1.0\x0aandroidboot.vbmeta.device_state=unlocked\x0aandroidboot.vbmeta.hash_alg=sha256\x0aandroidboot.vbmeta.size=23232\x0aandroidboot.vbmeta.digest=xxxxxxxxxxxxx\x0aandroidboot.vbmeta.invalidate_on_error=yes\x0aandroidboot.veritymode=enforcing\x0aandroidboot.slot_suffix=_a\x0a\x0d
```

尝试文本替换

```cpp
void regen_bootcfg(char* buffer)
 {
   char * pos;
   pos = strstr(buffer, "verifiedbootstate=orange");
   if(pos)
   {
 		memcpy(pos,"verifiedbootstate=green\n",24);
   }
   pos = strstr(buffer, "vbmeta.device_state=unlocked");
   if(pos)
   {
     memcpy(pos,"vbmeta.device_state=locked\n\n",28);
   }
 	pos = strstr(buffer, "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx");
 	if(pos)
 	{
 		memcpy(pos,"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx1",36);
 	}
 }
```

实验发现替换 uuid 和 vbmeta.device_state 系统正常启动,一旦修改 verifiedbootstate 系统就无法启动了,第一个思路就结束在这里了

## 第二个思路

先说结果: **成功了!!!!!!**

安卓的linker使用的是mmap映射的elf文件,hook do_mmap的返回处,判断pgoff和filepath就能拦截到init进程加载libc.so,在这个时机里对_system_property_add函数下execute hook,

```c
void rwhandler_hidebl_mmap_callback(unsigned long addr,struct file *file)
{
  char fullpath[1024];
	char *path = d_path(&file->f_path, fullpath, 1024);
	if(
		path &&
		!strcmp(path,"/system/lib64/bootstrap/libc.so") && 
		current->pid == 1)
	{
		rwhandler_start_debug();
		rwhandler_set_hbp(1,addr+0x90430,4,HW_BREAKPOINT_X);
		printk("task = %s file = %s addr = %llX\r\n",current->comm,path,addr);
	}
}
```

hook回调里对参数进行简单处理

```c

static const char *hide_props[]={"ro.boot.verifiedbootstate","ro.boot.vbmeta.device_state",NULL};
static char *hide_value[]={"green","locked",NULL};

static bool hidebl_hbpcallback(struct perf_event *bp,
          struct perf_sample_data *data,
          struct pt_regs *regs)
{
	if(current->pid == 1)
  {
    char key[100];
    unsigned long keyaddr = regs->regs[0];
    unsigned long varaddr = regs->regs[2];
    memset(key, 0, 100);
    printk("[+] init hit pc = %llX x0 = %llX x1 = %llX\r\n",
      regs->pc,regs->regs[0],regs->regs[1]);
    
    keyaddr &= 0xFFFFFFFFFFFFFF;
    varaddr &= 0xFFFFFFFFFFFFFF;
    if(rwhandler_read_memory(
      1, 
      (unsigned long)keyaddr, 
      key, 99)>0)
    {
      char value[100];
      memset(value, 0, 100);
      printk("[+] value = %llX\r\n",*(uint64_t*)key);
      printk("[+] init key = %s\r\n",key);
      
      if(rwhandler_read_memory(
        1, 
        (unsigned long)varaddr, 
        value, 99)>0)
      {
				int idx = 0;
	       printk("[+] init value = %s\r\n",value);
				while(hide_props[idx])
				{
					if(!strcmp(key,hide_props[idx]))
					{
						
						if(rwhandler_do_ptrace_write(1, varaddr, hide_value[idx], strlen(hide_value[idx])+1))
						{
							regs->regs[3]=strlen(hide_value[idx]);
						}
						break;
					}
					idx++;
				}
      }
    }
    return true;
  }
	return false;
};
```

修改成功

![](upload/attach/202308/844784_BKVA9CRF3N9FJNX.png)

成功 Spoof Setting

![](upload/attach/202308/844784_7EZE3XXJWHBBQMU.png)

## 结尾

第三个方法暂时没试过,感兴趣的可以试试看

有空就把第二个思路用kprobe来实现hook,包装成驱动连带硬件断点记录器分别开源到github上

刚入坑安卓,如有不对的地方或者有其他方法检测bl锁请大佬们在评论区指出!!!

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2023-8-17 23:40 被cslime编辑，原因：修复图片

#程序开发 #HOOK注入 #系统相关

收藏・70

点赞・12

打赏

最新回复 (36) 1 2 ▶
hhhaiai 雪币： 2814 活跃值： (1761) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 163 粉丝 2 关注私信	hhhaiai 2 楼占坑，赞 2023-8-17 13:02 0
GitRoy 雪币： 5308 活跃值： (5835) 能力值： ( LV9，RANK：170 ) 在线值：发帖 23 回帖 149 粉丝 188 关注私信	GitRoy 3 3 楼 2023-8-17 13:46 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 4 楼密钥认证了解一下 29fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 2023-8-17 15:07 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 5 楼 Ylarod 密钥认证了解一下 ab1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 这个确实难过的,TEE chip里的key很难拿出来 2023-8-17 15:27 0
cmputer 雪币： 1912 活跃值： (2467) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 1 关注私信	cmputer 6 楼 mark 2023-8-17 15:39 0
StriveMario 雪币： 7616 活跃值： (6652) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 118 粉丝 63 关注私信	StriveMario 7 楼 Ylarod 密钥认证了解一下 6f2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 9c1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7j5i4m8W2M7W2y4@1M7X3W2C8k6g2)9J5c8Y4y4S2k6X3g2@1P5h3&6W2N6q4)9J5k6r3k6A6P5l9`.`. 2023-8-17 20:49 1
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 8 楼感谢分享 2023-8-18 09:23 1
shinratensei 雪币： 1719 活跃值： (215942) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 19 关注私信	shinratensei 1 9 楼 tql 2023-8-18 09:44 0
小黄鸭爱学习雪币： 2954 活跃值： (5907) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 337 粉丝 154 关注私信	小黄鸭爱学习 10 楼 StriveMario b46K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7j5i4m8W2M7W2y4@1M7X3W2C8k6g2)9J5c8Y4y4S2k6X3g2@1P5h3&6W2N6q4)9J5k6r3k6A6P5l9`.`. 这是通过改成不支持认证的方式来绕过的 2023-8-18 11:45 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 11 楼 Ylarod 密钥认证了解一下 0ecK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 删除最后于 2023-8-18 19:14 被cslime编辑，原因： 2023-8-18 12:01 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 12 楼 cslime Ylarod 密钥认证了解一下 62cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 昨天在听歌的时候想到了一个 ... 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到 2023-8-18 16:23 1
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 13 楼 Ylarod 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到删除最后于 2023-8-18 19:14 被cslime编辑，原因： 2023-8-18 16:31 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 14 楼删除最后于 2023-8-18 19:11 被cslime编辑，原因： 2023-8-18 16:52 0
StriveMario 雪币： 7616 活跃值： (6652) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 118 粉丝 63 关注私信	StriveMario 15 楼小黄鸭爱学习这是通过改成不支持认证的方式来绕过的雀实.... 2023-8-18 18:23 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 16 楼 Ylarod 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到或许可以这样? App层用Hook劫持密钥认证的传输层,利用重放请求来绕过设备密钥认证,密钥认证返回的请求者APP数字签名信息是来自software层,root设备可以修改software层获取到的请求者数字签名绕过防重放,这样就可以利用通过一个CVE-2022-20409提权上去的设备来做重放请求的设备但是TEE会返回kernel的patch版本,还是会产生一些检测方向,不太理想最理想的是受害app出现了一个代码执行漏洞,在未解BL的设备上复现受害APP的代码执行漏洞来进行请求的重放最后于 2023-8-21 11:34 被cslime编辑，原因： 2023-8-21 00:26 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 17 楼现在都在用秘钥验证。很少用你说的这些了。 2023-8-21 14:04 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 18 楼珍惜Any 现在都在用秘钥验证。很少用你说的这些了。重放攻击了解一下,root后的设备可以控app执行密钥认证时机的传输层,再给你另外一台未解BL的设备上重放一次看楼上 2023-8-21 14:19 0
月落之汀雪币： 5977 活跃值： (2843) 能力值： ( LV4，RANK：156 ) 在线值：发帖 6 回帖 162 粉丝 13 关注私信	月落之汀 1 19 楼 bootconfig里面的state这个试着通过在内核里面hook进行修改, 结论是有些机器是可以正常开机的, 有些会panic, 有可能是vendor的驱动搞鬼? 没细究, 不过KeyAttestation确实挺麻烦的, 不对症下药不知道有什么靠谱的办法 2023-8-21 14:53 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 20 楼 cslime 重放攻击了解一下,root后的设备可以控app执行密钥认证时机的传输层,再给你另外一台未解BL的设备上重放一次看楼上太复杂了哈哈哈哈，我现在就是不知道怎么检测shamiko 2023-8-21 15:41 0
TrumpWY 雪币： 887 活跃值： (1105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 79 粉丝 2 关注私信	TrumpWY 21 楼珍惜Any 太复杂了哈哈哈哈，我现在就是不知道怎么检测shamiko 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有 2023-8-22 09:31 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 22 楼 TrumpWY 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有这是高手 2023-8-22 09:55 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 23 楼 bl解锁 + 没找到ksu + 没找到root = shamiko，启动！ 2023-8-22 10:39 0
江渚雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	江渚 24 楼 TrumpWY 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有有没有一种可能 shamiko没有launcher 2023-9-14 13:06 0
龙之叶雪币： 164 活跃值： (393) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	龙之叶 25 楼感谢楼主的分享 2023-9-14 14:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

cslime

发帖

回帖

158

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (36) 1 2 ▶
hhhaiai 雪币： 2814 活跃值： (1761) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 163 粉丝 2 关注私信	hhhaiai 2 楼占坑，赞 2023-8-17 13:02 0
GitRoy 雪币： 5308 活跃值： (5835) 能力值： ( LV9，RANK：170 ) 在线值：发帖 23 回帖 149 粉丝 188 关注私信	GitRoy 3 3 楼 2023-8-17 13:46 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 4 楼密钥认证了解一下 29fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 2023-8-17 15:07 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 5 楼 Ylarod 密钥认证了解一下 ab1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 这个确实难过的,TEE chip里的key很难拿出来 2023-8-17 15:27 0
cmputer 雪币： 1912 活跃值： (2467) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 1 关注私信	cmputer 6 楼 mark 2023-8-17 15:39 0
StriveMario 雪币： 7616 活跃值： (6652) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 118 粉丝 63 关注私信	StriveMario 7 楼 Ylarod 密钥认证了解一下 6f2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 9c1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7j5i4m8W2M7W2y4@1M7X3W2C8k6g2)9J5c8Y4y4S2k6X3g2@1P5h3&6W2N6q4)9J5k6r3k6A6P5l9`.`. 2023-8-17 20:49 1
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 8 楼感谢分享 2023-8-18 09:23 1
shinratensei 雪币： 1719 活跃值： (215942) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 19 关注私信	shinratensei 1 9 楼 tql 2023-8-18 09:44 0
小黄鸭爱学习雪币： 2954 活跃值： (5907) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 337 粉丝 154 关注私信	小黄鸭爱学习 10 楼 StriveMario b46K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7j5i4m8W2M7W2y4@1M7X3W2C8k6g2)9J5c8Y4y4S2k6X3g2@1P5h3&6W2N6q4)9J5k6r3k6A6P5l9`.`. 这是通过改成不支持认证的方式来绕过的 2023-8-18 11:45 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 11 楼 Ylarod 密钥认证了解一下 0ecK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 删除最后于 2023-8-18 19:14 被cslime编辑，原因： 2023-8-18 12:01 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 12 楼 cslime Ylarod 密钥认证了解一下 62cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3N6X3t1J5x3o6j5H3i4K6u0r3d9$3g2&6b7i4c8@1k6i4y4@1j5i4c8A6L8$3^5`. 昨天在听歌的时候想到了一个 ... 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到 2023-8-18 16:23 1
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 13 楼 Ylarod 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到删除最后于 2023-8-18 19:14 被cslime编辑，原因： 2023-8-18 16:31 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 14 楼删除最后于 2023-8-18 19:11 被cslime编辑，原因： 2023-8-18 16:52 0
StriveMario 雪币： 7616 活跃值： (6652) 能力值： ( LV3，RANK：30 ) 在线值：发帖 3 回帖 118 粉丝 63 关注私信	StriveMario 15 楼小黄鸭爱学习这是通过改成不支持认证的方式来绕过的雀实.... 2023-8-18 18:23 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 16 楼 Ylarod 绕不过的，会生成一对密钥，私钥保存在TEE里面拿不到或许可以这样? App层用Hook劫持密钥认证的传输层,利用重放请求来绕过设备密钥认证,密钥认证返回的请求者APP数字签名信息是来自software层,root设备可以修改software层获取到的请求者数字签名绕过防重放,这样就可以利用通过一个CVE-2022-20409提权上去的设备来做重放请求的设备但是TEE会返回kernel的patch版本,还是会产生一些检测方向,不太理想最理想的是受害app出现了一个代码执行漏洞,在未解BL的设备上复现受害APP的代码执行漏洞来进行请求的重放最后于 2023-8-21 11:34 被cslime编辑，原因： 2023-8-21 00:26 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 17 楼现在都在用秘钥验证。很少用你说的这些了。 2023-8-21 14:04 0
cslime 雪币： 3129 活跃值： (4254) 能力值： ( LV8，RANK：158 ) 在线值：发帖 9 回帖 36 粉丝 146 关注私信	cslime 2 18 楼珍惜Any 现在都在用秘钥验证。很少用你说的这些了。重放攻击了解一下,root后的设备可以控app执行密钥认证时机的传输层,再给你另外一台未解BL的设备上重放一次看楼上 2023-8-21 14:19 0
月落之汀雪币： 5977 活跃值： (2843) 能力值： ( LV4，RANK：156 ) 在线值：发帖 6 回帖 162 粉丝 13 关注私信	月落之汀 1 19 楼 bootconfig里面的state这个试着通过在内核里面hook进行修改, 结论是有些机器是可以正常开机的, 有些会panic, 有可能是vendor的驱动搞鬼? 没细究, 不过KeyAttestation确实挺麻烦的, 不对症下药不知道有什么靠谱的办法 2023-8-21 14:53 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 20 楼 cslime 重放攻击了解一下,root后的设备可以控app执行密钥认证时机的传输层,再给你另外一台未解BL的设备上重放一次看楼上太复杂了哈哈哈哈，我现在就是不知道怎么检测shamiko 2023-8-21 15:41 0
TrumpWY 雪币： 887 活跃值： (1105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 79 粉丝 2 关注私信	TrumpWY 21 楼珍惜Any 太复杂了哈哈哈哈，我现在就是不知道怎么检测shamiko 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有 2023-8-22 09:31 0
珍惜Any 雪币： 6737 活跃值： (17074) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 483 粉丝 1811 关注私信	珍惜Any 4 22 楼 TrumpWY 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有这是高手 2023-8-22 09:55 0
Ylarod 雪币： 2641 活跃值： (4221) 能力值： ( LV4，RANK：40 ) 在线值：发帖 7 回帖 26 粉丝 103 关注私信	Ylarod 23 楼 bl解锁 + 没找到ksu + 没找到root = shamiko，启动！ 2023-8-22 10:39 0
江渚雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	江渚 24 楼 TrumpWY 哈哈哈哈哈哈哈哈哈偷偷截屏ocr分析，手机launcher有shamiko就是有有没有一种可能 shamiko没有launcher 2023-9-14 13:06 0
龙之叶雪币： 164 活跃值： (393) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	龙之叶 25 楼感谢楼主的分享 2023-9-14 14:59 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复