Exploring the Amazon Echo Dot, Part 2: Into MediaTek utility hell

最新推荐文章于 2023-11-02 14:21:09 发布

Omni-Space

最新推荐文章于 2023-11-02 14:21:09 发布

阅读量575

点赞数

IoT Security 专栏收录该内容

6 篇文章 1 订阅

订阅专栏

新年庆祝活动让我们有机会看到Echo Dot。一旦创建了Echo Dot的eMMC的“分散文件”，就可以使用基于Windows的MediaTek工具刷新设备。此外，要访问锁定的引导加载程序，请在将其插入计算机时按住点（或超级）键，直到LED环变为绿色，并且它将显示为快速引导设备。 静音+ VolumeDown将发出恢复出厂设置。此外， Fire HD 8（2016）使用相同的芯片组。未来几周将不会有更多的研究。

ndroid黑客似乎主要是modding ，其核心是xda开发人员。论坛上绝大多数的帖子都是希望个性化手机的模块，但是有很多令人敬畏的信息来自隐藏在其中的有才能的开发人员需要花费数小时来筛选。用于特定设备的非官方ROM和构建每天下载数万次。安全方面，这与从Pirate Bay下载操作系统映像相同：谁知道是否有后门？然而，如果你正在深入研究Android，它真的是你所拥有的。

根植回声点：硬件还是软件？

自从我上一篇文章发表以来，我加入了一个对Echo感兴趣的社区，包括那些来自The Citadel的人，他们在他们的Echo硬件根目录上撰写了论文。看一下Echo Dot v2的拆解，看起来这个黑板比大回声的黑客友好得多，并且垫子也不一样。 Echo Dot使用MTK8163平板电脑SoC，它似乎没有公布的数据表，而三星/美光闪存芯片似乎也没有记录，尽管我发现它是eMMC芯片。

由于没有什么可以继续使用逻辑分析仪，微型焊接工具或任何拉动闪存芯片的方法，我现在尝试使用软件方法似乎更有意义。

USB端口的生命迹象

在我上一篇关于Echo Dot固件的文章中，我说Echo似乎没有通过MicroUSB接口提供adb或任何类型的调试工具。这是错误的，因为Echo作为USB设备出现在dbus中。在lsusb上设置监视会在不到一秒的时间内输出：

 总线001设备010：ID 0ed8d：2000 MediaTek Inc. MT65xx Preloader

虽然我们没有adb ，但MediaTek设备在启动时会出现在计算机上，从而暴露出某种类型的低级USB接口。根据XDA和其他消息来源，这是一个低级闪存接口，可以与名为SP Flash Tool的工具和（未签名） MediaTek VCOM驱动程序一起使用，将Echo Dot重新刷新到不同的固件。如果你真的想深入了解联发科技，俄罗斯的一个团队似乎在他们的网站上有大量的公用事业，但不能保证他们是干净的。

考虑到这一点，出现了一个旧的，气密的Windows笔记本和这些有问题的工具的安装，试图与Echo Dot的预加载器对话。使用VCOM驱动程序，PC可以检测到Dot只有一两秒钟。

分散文件：nope

我们距离能够闪存设备还有很长的路要走。 MTK芯片组设备依赖于Flash工具的分散文件 ，它似乎是一种用于设备上闪存的分区表。通常，MediaTek设备的分散文件是使用MTK Droid Root和Tools制作的，它们从设备的proc文件系统读取此信息并创建文件。但是，这需要一个带有adb的root设备，我们没有Dot。

但是，有一个分散文件用于不同的MT8163供电设备。挖掘周围显示Acer Iconia One 10平板电脑B3-A30也使用MT8163，虽然闪存不同。虽然这个分散文件可能无法为我们正常工作，但我们可以使用它来推断出Echo Dot的运行情况。将SP Flash工具设置为“高级模式”然后尝试ROM转储似乎会取得巨大成功，但是......没有。

无论我尝试什么，SP Flash工具都不会与我的Echo交谈。每次尝试最终都会因为神秘的BROM ERROR而失败：S_COM_PORT_OPEN失败（1013）并且它会继续正常启动。 请注意，这并不意味着这将失败。 它可能只是我糟糕的PC。 如果您尝试新版本的VCOM驱动程序和SP Flash工具并且它适用于您，请写下它。

第2轮：按键蛮力

Echo Dot必须有一种强制引导加载程序或恢复模式的方法。接下来开始按下启动时的随机按钮，看看是否有新的东西出现。 Echo Dot v2有四个按钮，从顶部开始按顺时针顺序排列：音量增大，优步，音量减小和静音。根据我的固件转储，优步是“点”按钮的内部名称。在启动时保持Uber有一个有趣的效果，即保持Echo Dot的LED全部为绿色。检查lsusb ：

 总线001设备019：ID 0bb4：0c01 HTC（高科技计算机公司）梦想/ ADP1 / G1 /魔术/纹身

这是引导加载程序吗？运行fastboot设备：

  [root @ testbox scatter-hax] #fastboot devices 
  [删除序列] fastboot

答对了。我们现在可以访问引导程序。也许这里有一些东西。

挖掘引导程序

更多联发科疯狂。从Ubuntu Touch设备的一些文档中学习：MediaTek的fastboot实现，我们目前正在使用一种名为Little Kernel的东西。（ Stormflut是联发科技平台上丰富的低级信息，值得一读。）为了确认，发布了一些getvar ：

  [root @ testbox ota] #fastboot getvar all 
  （bootloader）lk_build_desc：c1306a2-20160912_073730 
  （bootloader）prod：1 
  （bootloader）unlock_status：false 
  （bootloader）unlock_code：[删除] 
  （bootloader）serialno：[删除] 
  （bootloader）max-download-size：0x6d00000 
  （bootloader）保修：没有 
  （bootloader）安全：是的 
  （bootloader）内核：lk 
  （bootloader）产品：BISCUIT 
  （bootloader）version-preloader：0.1.00 
  （bootloader）版本：0.5 
 全部完成！！

注意unlock_status为false 。这意味着引导加载程序已锁定，就像在Amazon Fire上一样。虽然我们有一个unlock_code，但亚马逊不太可能很快将这个设备的解锁文件交给我们。

然而，并非所有人都失去了。新款亚马逊Fire HD 8是基于Dot相同MT8163V / B的另一款Fire OS平板电脑，因此如果引导加载程序解锁，无adb生根或闪烁方法可用于Fire HD 8，则相同的方法可能适用于Echo Dot几乎没有修改。

项目停滞了几个星期

随着其他一些项目即将推出，下周左右将不再有Dot探索，但希望这些帖子将引导您自己的努力。