起因#

8号早上的时候朋友突然跟我说200块就能解锁BL,还不快冲?

我因为换机原因(首发换的小米17PM)无法解锁BL所以被迫放弃了root,原先计划是等过保之后花钱解,但是现在居然这么便宜还不用拆机,还能远程??

于是去闲鱼和酷安搜了一下,发现都在传,当时是有多个店铺在卖,然后立即下单开始排队;中午的时候,突然有人公开的解锁方法,使用了三个漏洞实现,于是就见证了价格从1000邮寄->300拆机->200远程->0!?

三个漏洞#

这三个漏洞分别为 关闭SELinux强制执行, 以root身份执行任意命令, 永久解锁bootloader

1. 关闭SELinux强制执行
   fastboot oem set-gpu-preemption-value 0 androidboot.selinux=permissive
   此漏洞为高通限定,已修复
2. 以root身份执行任意命令
   service call miui.mqsas.IMQSNative 21 i32 1 s16 "命令" i32 1 s16 "参数列表" s16 '输出路径' i32 600
   系统自带组件提权 uid0 root
3. 永久解锁bootloader
   https://github.com/hicode002/qualcomm_gbl_exploit_poc
   此漏洞为高通限定(8e5新加的分区),把 gbl_efi_unlock.efi 写入 efisp 分区,需要root权限

于是,我们组合起来就可以: 进入 bootloader -> 关闭SELinux强制执行 -> 以 root 权限将 gbl_efi_unlock.efi 写入 efisp 分区 -> 解锁 BL

实际操作#

1. 设备开启adb并连接
2. 具体顺序如图 在关闭SELinux强制执行后执行 fastboot continue 继续启动(设备会黑屏,这是正常的),然后推送解锁文件,用root权限将 gbl_efi_unlock.efi 写入 efisp 分区,重启至 bootloader 即可解锁BL

大功告成,于是我们就成功解锁了!