Pwnagetool 以及刷機原理

[Hiraku]

由於前陣子碰了一些刷機的東西，所以想跟各位討論一下，

不知道這些關於刷機想法有沒有正確...


首先，大部分的人應該都知道Pwnagetool做出來的Custom ipsw是可以解壓縮之後掛載的，

藉此，我們可以在電腦上獲得原始韌體的檔案內容。

但是原始的ipsw不能這樣做，因爲Apple使用img3來加密了dmg，（iOS 2之後，在之前是img2）

不僅如此，Update Ramdisk、User Ramdisk...等等，都是在加密的狀態

所以Pwnagetool的真正作用之一就是解開ipsw裏面這些加密的檔案，之後把資訊寫入，再變出custom ipsw。



而要如何解密這些檔案呢？

在這裏就是了：

http://theiphonewiki.com/wiki/index....VFDecrypt_Keys

這裏面有每個韌體版本的金鑰號碼，所以你可以得到這些號碼之後，解開韌體檔案，

甚至自己做出pwnagetool的bundle。



如果在該網頁沒有你的韌體版本的Key要怎麼辦呢？

這時候就要自己算了（我有算出來）

原理跟操作方法是這樣的：

在每一台iPhone(iPod、iPad) 當中有一個硬體AES解碼器，

只要你輸入密碼，他就會算出對應的金鑰。

而不同裝置的金鑰是不一樣的，也就是說你不能用iPhone 4去算出iPhone 3GS的金鑰。



於是，假設我們要解開system root，也就是系統檔案的金鑰，

我們必須先使用xpwntool，來截取User Ramdisk的KBAG

Ramdisk有兩個，User Ramdisk跟Update Ramdisk，

其中User Ramdisk是你進去DFU、恢復模式時候載入的

Update Ramdisk則是升級的時候載入的。

你可以想象成在用光碟全新安裝Windows 7的時候，系統會先進去一個安裝畫面，

那就是User Ramdisk。



所以，要得到System root的金鑰，我們必須先解開User Ramdisk才行

先用剛剛說過的xpwntool得到KBAG (img3的加密資訊)

之後把手機弄進去安全模式，再用irecovery設定環境(set env)

使得手機不能自動開機(auto-boot false)

最後開啓綠毒，把手機丟進DFU去刷，這時候手機會持續白畫面不能正常JB

而這個狀態即是代表綠毒進去了系統核心，使得我們可以操作AES解碼器

因此，使用AES解碼器( go aes dec )，輸入剛剛得到的KBAG資訊，

會算出User Ramdisk的 iv 跟 key。




接着，再用 iv 跟 key 加上img3decrypt可以得到解密的User ramdisk，

最後用解密的ramdisk載入system root即可得到解密的金鑰...




按照以上方式，依序算出其他img3加密的檔案...得到所有key之後就可以做pwnagetool bundle了（但是我不知道怎麼做）XD



所以看到這裏的話，可以想得出來Pwnagetool的一個作用了

爲什麼刷韌體的時候一定要用Pwnagetool進去DFU呢？

原因就在這裏：因爲檔案已經解密/修改過了，iTunes在驗證的時候不會通過

另外，Pwnagetool現在會把Update Disk刪除，所以不可能用一般升級的方式刷上去。

而進去DFU之後，由於iTunes跟iPhone之間的聯繫變成十分低階，意思是說無法判斷iPhone現在的韌體狀態，所以才有可能降級或刷自製韌體。

而Pwnagetool這時候會趁機奪取刷機的一個控制權，把iTunes裏面的驗證韌體機制給欺騙過去，

這也是爲什麼一定要藉由Pwnagetool來進去DFU，因爲Pwnage Helper會取代iTunes的刷機功能！






我目前知道的東西大概就是這些，有些部分也是亂摸出來的，

以上的敘述也不一定全部正確，如果有人願意指正的話就太好啦...

目前我只知道如何獲得key跟iv...離製作Pwnagetool bundle還有好長一段路要走...

[艾斯]

皮樂姐好棒喔~

[Marty_1234]

好厲害啊！

[Hiraku]

我是求指正的...不是來被人說好棒的...Orz

[艾斯]

我是求指正的...不是來被人說好棒的...Orz

皮樂姐別這麼冷漠嘛
妳很棒的
我們請專業的5樓來回答

[agnesb1219]

皮樂大的知識真的粉棒~如果有人願意教導~~真的粉想上他的課好好研究

[peter3257385]

皮樂姐別這麼冷漠嘛
妳很棒的
我們請專業的5樓來回答

你就是五樓啊

[ceman84]

我都看不懂~皮樂姐超強..

[im8289]

太強了啦!雖然看了很久才稍微有看懂 厲害