中興b860av1.1-t手動(dòng)獲取root權(quán)限

M_H_TV · 發(fā)表于 2018-2-10 13:20

本帖最后由 M_H_TV 于 2018-2-10 13:46 編輯

【寫在前面的話】
1、此方法必須拆機(jī)，且是針對(duì)ttl無法輸入的情況，需要自備usb轉(zhuǎn)串口。

2、希望保存原有系統(tǒng)并作備份，最后IPTV和互聯(lián)網(wǎng)點(diǎn)播均可用。
3、需要對(duì)linux有一點(diǎn)了解，至少要熟悉一點(diǎn)uboot操作。
4、鑒于1.1-t的情況，本文不會(huì)給出詳細(xì)操作步驟，僅提供思路以便大家研究。
5、忘了拍具體的圖，目前的等級(jí)也不讓我發(fā)圖和鏈接，所以欠妥之處請(qǐng)包容。

  【原理】
      av1.1-t應(yīng)該是采用的S905L芯片，根據(jù)wikipedia的說明，S905有多個(gè)變體，包括L系列，大體上都差不多。
因此參考一下網(wǎng)上S905的datasheet，可以從sdcard，emmc，spi，nand和usb啟動(dòng)，av1.1-t是從emmc啟動(dòng)的。
   大概的啟動(dòng)過程：上電，選擇從哪里啟動(dòng)，載入uboot，然后uboot里面可以做更多選擇，包括usb burn，也就是線刷、正常啟動(dòng)boot分區(qū)的android內(nèi)核和進(jìn)入 recovery模式等。
   眾所周知，最新的av1.1-t的串口只能輸出，輸入從uboot開始就被封了，因此一般情況拆了機(jī)也沒有辦法。我們需要換掉uboot，讓它從外部的存儲(chǔ)器啟動(dòng)，  這是關(guān)鍵。但若原系統(tǒng)未損壞時(shí)，emmc啟動(dòng)的優(yōu)先級(jí)最高，并不能如愿所償。相反，當(dāng)機(jī)器成了磚頭，就有可能直接從非系統(tǒng)emmc啟動(dòng)。對(duì)于正常的機(jī)器，我們需要做的是人為的將emmc屏蔽，是暫時(shí)的。此處要感謝前人的探索：
   B860AV1.1-T ,AV2.1短接刷機(jī)點(diǎn) ，論壇里直接搜

這種情況下串口輸出是這樣子的：
GXL:BL1:9ac50e:a1974b;FEAT:ADFD318C;POC:3;RCY:0;EMMC:0;READ:0;0.0;CHK:0;
TE: 109865

   OK，既然要從外部啟動(dòng)，我們需要準(zhǔn)備其他uboot+recovery，制作啟動(dòng)sd卡，當(dāng)然串口輸入不能無效。進(jìn)入recovery后就可以掛載system分區(qū)，data分區(qū)，就可以為所欲為了。

【需要下載的東西】

1、uboot和meson1.dtb，這個(gè)是比較底層的東西，雖然前文說過S905和L差別不大，但最好還是找一個(gè)S905L的鏡像提取，我這里用的是論壇里：晶晨s905L系列安卓6.0.1通刷固件20171210更新，提取的uboot經(jīng)測試可用。
   如何提取，如何制作可以啟動(dòng)的sdcard，可以網(wǎng)上找一找。就是下載這些工具，Amlogic Customization Tool，USB_Burning_Tool，Burn_Card_Maker等。
2、recovery，我測試用的TWRP，雖然沒有S905L專版的，但是S905X也是可行的，谷歌搜索就有。
3、SuperSu zip安裝包
4、終端模擬器TerminalEmulator，當(dāng)貝桌面，當(dāng)貝市場等。

【實(shí)際操作】

   1、準(zhǔn)備好sdcard，短接會(huì)自動(dòng)從sdcard啟動(dòng)uboot。另準(zhǔn)備一個(gè)U盤或者直接將TWRP放在sdcard里面，分區(qū)類型為fat32。TWRP.img最好不要重命名為recovery.img，因?yàn)閡boot env會(huì)自動(dòng)load recovery.img，有點(diǎn)不好控制。
   2、等到uboot出現(xiàn)命令提示符，大概是這樣：gxlXXX#，就可以手動(dòng)啟動(dòng)U盤或者sdcard里的TRWP.img，輸入print $recovery_from_udisk或者print  $recovery_from_sdcard查看怎么load TWRP.img。
   這里有比較重要的一點(diǎn)，因?yàn)槭菑耐獠縮dcard啟動(dòng)，當(dāng)前uboot也就認(rèn)它，需要把emmc設(shè)置為當(dāng)前設(shè)備，mmc dev device_Number，否則進(jìn)入TWRP recovery后找不到emmc的分區(qū)。
   3、啟動(dòng)TWRP后，準(zhǔn)備一個(gè)usb鼠標(biāo)，就可以隨心所欲的操作了，備份、root什么都行，掛載了system、data分區(qū)想安裝什么apk都可以。

M_H_TV · 發(fā)表于 2018-2-10 13:39

本帖最后由 M_H_TV 于 2018-2-10 13:42 編輯

以附件形式傳了鏈接。

kofwinner · 發(fā)表于 2018-2-13 16:50

厲害，我這種小白有點(diǎn)頭暈啊

kongyii · 發(fā)表于 2018-2-13 22:14

M_H_TV 發(fā)表于 2018-2-10 13:39
以附件形式傳了鏈接。

先把機(jī)器刷成磚，再把磚頭刷成機(jī)器，我都佩服自己在ZNDS學(xué)到的刷機(jī)技術(shù)！

huokang · 發(fā)表于 2018-3-5 23:28

學(xué)習(xí)學(xué)習(xí)！

zw402 · 發(fā)表于 2018-3-13 12:35

樓主求救：我已走到這步gxl_p211_v1#，手動(dòng)啟動(dòng)TWRP.img我學(xué)習(xí)了三天還是找不到load TWRP.img方法，求指點(diǎn)，十分感謝！

zw402 · 發(fā)表于 2018-3-13 13:19

繼續(xù)相求：用SD卡啟動(dòng)uboot后怎樣使用命令手動(dòng)啟動(dòng)SD卡里的鏡像如TWRP.img

hao501802766 · 發(fā)表于 2018-3-13 13:37

一看就是高深的技術(shù)了頂

ragelancer · 發(fā)表于 2018-3-14 16:12

M_H_TV 發(fā)表于 2018-2-10 13:39
以附件形式傳了鏈接。

樓主，你好。按照教程，前面都順利完成了。現(xiàn)在卡在從uboot啟動(dòng)twrp這一步，麻煩能否詳細(xì)介紹下用什么命令。多謝！

q543938816 · 發(fā)表于 2018-3-14 20:22

樓主用心了，內(nèi)容非常精彩。

xxxjguo · 發(fā)表于 2018-3-15 10:35

老鐵666！必須支持一波！

M_H_TV · 發(fā)表于 2018-3-16 14:29

本帖最后由 M_H_TV 于 2018-3-16 14:43 編輯

@ragelancer
@zw402
抱歉啊，這么久了，沒怎么看帖子。

進(jìn)入u-boot后首先要找到系統(tǒng)emmc，設(shè)置為當(dāng)前設(shè)備，默認(rèn)是外置sdcard。

在命令提示符下輸入“mmc"命令，看提示操作，記不太清了。
要啟動(dòng)twrp，看看uboot的環(huán)境變量是怎么設(shè)置的，可以輸入"print"查看環(huán)境變量，找到相關(guān)的啟動(dòng)命令，把里面的文件名改掉就行。
比方說把形如recovery.img之類的改成twrp.img ，xxx.dtb改成meson1.dtb，再把改好的命令輸入，加上一個(gè)啟動(dòng)命令，大概是"bootm 0xxxxxxx - 0xxxxxxxx"，這兩個(gè)地址具體是多少不用管，它是用符號(hào)表示的。環(huán)境變量里都有的。

具體命令我真記不太清了，反正查看uboot環(huán)境變量、輸入help都有的，沒有刻意去記。

zangjian · 發(fā)表于 2018-3-17 11:12

zw402 · 發(fā)表于 2018-3-18 18:06

sd卡啟動(dòng):

BL2 Built : 01:56:32, Dec 22 2016.
gxl g1614c0b - xiaobo.gu@droid05

Board ID = 8, adc=617
set vcck to 1070 mv
set vddee to 1070 mv
CPU clk: 1200MHz
2layers board, use ddr_set[0]
DQS-corr enabled
DDR scramble enabled
DDR3 chl: Rank0+1 @ 792MHz - FAIL
DDR3 chl: Rank0 @ 792MHz - PASS
Rank0: 1024MB(auto)-2T-11
DataBus test pass!
AddrBus test pass!
Load fip header from SD, src: 0x0000c200, des: 0x01400000, size: 0x00004000
sd/emmc read data error: ret=16
aml log : SIG CHK : 260 for address 0x01700000
reset...
GXL:BL1:9ac50e:a1974b;FEAT:ADFD318C;POC:3;RCY:0;EMMC:0;READ:0;0.0;CHK:0;
TE: 141266

BL2 Built : 19:31:35, Jul 25 2017.
gxl g4bbe26f-dirty - liang.yang@droid11-sz

Board ID = 8, adc=617
set vcck to 1070 mv
set vddee to 1070 mv
CPU clk: 1200MHz
Can't match board id, use default ddr_set[0]
DDR type: DDR3-ID
DQS-corr enabled
DDR scramble enabled
Pull down ddr cke
DDR3 chl: Rank0+1 @ 792MHz - FAIL
DDR3 chl: Rank0 @ 792MHz - PASS
Rank0: 1024MB(auto)-2T-11
DataBus test pass!
AddrBus test pass!
-s
Load fip header from eMMC, src: 0x0000c200, des: 0x01400000, size: 0x00004000
New fip structure!
Load bl30 from eMMC, src: 0x00010200, des: 0x01100000, size: 0x00007400
Load bl301 from eMMC, src: 0x00018200, des: 0x01200000, size: 0x00002200
Load bl31 from eMMC, src: 0x0001c200, des: 0x10100000, size: 0x00019400
Load bl33 from eMMC, src: 0x00038200, des: 0x01000000, size: 0x000de200
NOTICE:  BL3-1: v1.0(debug):27d2eea5
NOTICE:  BL3-1: Built : 14:56:35, Mar 24 2017
aml log : bl31 normal boot !
[Image: gxl_v1.1.3090-c2794da-dirty 2017-06-23 15:25:47 yun.cai@droid03]
bl30: check_permit, count is 1
bl30: check_permit: ok!
chipid: ef be ad de d f0 ad ba ef be ad de not ES chip
efuse init ops = e2
efuse init hdcp = c, cf9=7
[0.652492 Inits done]
secINFO: BL3-1: Initializing runtime services
WARNING: No OPTEE provided by BL2 boot loader
ERROR: Error initializing runtime service opteed_fast
INFO: BL3-1: Preparing for EL3 exit to normal world
INFO: BL3-1: Next image address = 0x1000000
INFO: BL3-1: Next image spsr = 0x3c9
re
at
1sUk- Bsotoatr t2!0
5.hig0h1 -tga7s4k4 1sbtda1r-td!i
7lotwy  t(aSsekp  s0t9a r2t0!1
  - 17:53:13)

DRAM:  1 GiB
gpio: pin GPIOCLK_1 (gpio 99) value is 1
gpio: pin GPIOAO_6 (gpio 106) value is 1
MMC init failed
Using default environment

reboot_mode=normal
store init flag
store read name addr off|partition size
read 'size' bytes starting at offset 'off'
to/from memory address 'addr', skipping bad blocks.
store write name addr off|partition size
write 'size' bytes starting at offset 'off'
to/from memory address 'addr', skipping bad blocks.
store rom_write add off size.
      write uboot to the boot device
store erase boot/data:
      erase the area which is uboot or data
store erase dtb
store erase key
store rom_protect on/off
store scrub off|partition size
      scrub the area from offset and size
store dtb iread/read/write addr <size>
      read/write dtb, size is optional
store key read/write addr <size>
      read/write key, size is optional

store init flag
store read name addr off|partition size
read 'size' bytes starting at offset 'off'
to/from memory address 'addr', skipping bad blocks.
store write name addr off|partition size
write 'size' bytes starting at offset 'off'
to/from memory address 'addr', skipping bad blocks.
store rom_write add off size.
      write uboot to the boot device
store erase boot/data:
      erase the area which is uboot or data
store erase dtb
store erase key
store rom_protect on/off
store scrub off|partition size
      scrub the area from offset and size
store dtb iread/read/write addr <size>
      read/write dtb, size is optional
store key read/write addr <size>
      read/write key, size is optional

set osd_size 1080p
bootmode:NORM
boot system norm failed, try boot safe!
gxl_p211_v1#

zw402 · 發(fā)表于 2018-3-18 18:15

環(huán)境變量
gxl_p211_v1#print
1080i_h=1050
1080i_w=1874
1080i_x=23
1080i_y=15
1080p_h=1080
1080p_w=1920
1080p_x=0
1080p_y=0
480i_h=456
480i_w=682
480i_x=21
480i_y=12
480p_h=455
480p_w=665
480p_x=27
480p_y=10
576i_h=557
576i_w=699
576i_x=12
576i_y=10
576p_h=576
576p_w=704
576p_x=0
576p_y=0
720p_h=704
720p_w=1245
720p_x=17
720p_y=8
720poutputheight=1000
720poutputwidth=1000
720poutputx=0
720poutputy=0
COMControlFlag=0
aml_dt=gxl_p211_1g
baudrate=115200
boardid=8
boardtype=8
boot_revision=V810574
bootargs=rootfstype=ramfs init=/init console=ttyS0,115200 no_console_suspend earlyprintk=aml-uart,0xc81004c0 ramoops.pstore_en=1 ramoops.record_size=0x8000 ramoops.console_size=0x4000 use_cma_first=1 androidboot.selinux=disabled logo=osd1,loaded,0x3d800000,1080p60hz vout=1080p60hz,enable hdmimode=1080p60hz cvbsmode=576cvbs hdmitx= cvbsdrv=1 androidboot.firstboot=1 jtag=apee quiet androidboot.hardware=amlogic androidboot.boardid=8 osd_size=1080p
bootcmd=jpeg ${outputmode};bootsys
bootdelay=1
bootflag=2
cmdline_keys=if keyman init 0x1234; then if keyman read usid ${loadaddr} str; then setenv bootargs ${bootargs} androidboot.serialno=${usid};fi;if keyman read mac ${loadaddr} str; then setenv bootargs ${bootargs} mac=${mac} androidboot.mac=${mac};fi;if keyman read deviceid ${loadaddr} str; then setenv bootargs ${bootargs} androidboot.deviceid=${deviceid};fi;fi;
console=ttyS0,115200n8 nohlt
cvbs_drv=1
cvbsmode=576cvbs
dbglevel=quiet
defaulttvfrequency=60Hz
digitaudiooutput=PCM
display_bpp=24
display_color_bg=0
display_color_fg=0xffff
display_color_index=24
display_height=1080
display_layer=osd1
display_width=1920
dtb_mem_addr=0x1000000
ethact=dwmac.c9410000
ethaddr=00:15:18:01:81:31
factory_reset_poweroff_protect=echo wipe_data=${wipe_data}; echo wipe_cache=${wipe_cache};if test ${wipe_data} = failed; then run init_display; run storeargs;if mmcinfo; then run recovery_from_sdcard;fi;if usb start 0; then run recovery_from_udisk;fi;run recovery_from_flash;fi; if test ${wipe_cache} = failed; then run init_display; run storeargs;if mmcinfo; then run recovery_from_sdcard;fi;if usb start 0; then run recovery_from_udisk;fi;run recovery_from_flash;fi;
fb_addr=0x3d800000
fb_height=1080
fb_width=1920
fdt_high=0x20000000
firstboot=1
force_auto_update=false
gatewayip=172.18.1.1
hdcp_process=0
hdmimode=1080p60hz
hostname=arm_gxbb
init_display=osd open;osd clear;bmp scale
initargs=rootfstype=ramfs init=/init console=ttyS0,115200 no_console_suspend earlyprintk=aml-uart,0xc81004c0 ramoops.pstore_en=1 ramoops.record_size=0x8000 ramoops.console_size=0x4000 use_cma_first=1 androidboot.selinux=disabled
ipaddr=172.18.35.6
ir_recovery=0
irremote_update=if irkey 0x7b84c43b 0xb748ff00 0x6699dd22 0x66994eb1 0x66994db2 0x66994cb3 200000; then echo read irkey ok!; if itest ${irkey_value} == 0x7b84c43b; then echo irkey_value == 0x7b84c43b;else if itest ${irkey_value} == 0xb748ff00; then echo irkey_value == 0xb748ff00;else if itest ${irkey_value} == 0x6699dd22; then echo irkey_value == 0x6699dd22;else if itest ${irkey_value} == 0x66994eb1; then echo irkey_value == 0x66994eb1;else if itest ${irkey_value} == 0x66994db2; then echo irkey_value == 0x66994db2;else if itest ${irkey_value} == 0x66994cb3; then echo irkey_value == 0x66994cb3;fi;fi;fi;fi;fi;fi;fi;
jtag=apee
loadaddr=1080000
logotime=0
mem=0M
netmask=255.255.0.0
outputmode=1080p60hz
preboot=run init_display;run storeargs;run irremote_update;run switch_bootmode;
reboot_mode=normal
recovery_from_flash=getCom; setenv bootargs ${bootargs} aml_dt=${aml_dt} recovery_part={recovery_part} recovery_offset={recovery_offset} system=safe COMControlFlag=${COMControlFlag};if imgread kernel ${recovery_part} ${loadaddr} ${recovery_offset}; then wipeisb; bootm ${loadaddr}; fi
recovery_from_sdcard=if fatload mmc 0 ${loadaddr} aml_autoscript; then autoscr ${loadaddr}; fi;if fatload mmc 0 ${loadaddr} recovery.img; then if fatload mmc 0 ${dtb_mem_addr} dtb.img; then echo sd dtb.img loaded; fi;wipeisb; bootm ${loadaddr};fi;
recovery_from_udisk=if fatload usb 0 ${loadaddr} aml_autoscript; then autoscr ${loadaddr}; fi;if fatload usb 0 ${loadaddr} recovery.img; then if fatload usb 0 ${dtb_mem_addr} dtb.img; then echo udisk dtb.img loaded; fi;wipeisb; bootm ${loadaddr};fi;
recovery_offset=0
recovery_part=recovery
runlevel=0
sdc_burning=sdc_burn ${sdcburncfg}
sdcburncfg=aml_sdc_burn.ini
serverip=172.18.35.20
stderr=serial
stdin=serial
stdout=serial
storeargs=setenv bootargs ${initargs} logo=${display_layer},loaded,${fb_addr},${outputmode} vout=${outputmode},enable hdmimode=${hdmimode} cvbsmode=${cvbsmode} hdmitx=${cecconfig} cvbsdrv=${cvbs_drv} androidboot.firstboot=${firstboot} jtag=${jtag} quiet; setenv bootargs ${bootargs} androidboot.hardware=amlogic androidboot.boardid=${boardid};run cmdline_keys;
storeboot=if imgread kernel boot ${loadaddr}; then bootm ${loadaddr}; fi;run update;
switch_bootmode=get_rebootmode;if test ${reboot_mode} = factory_reset; then run recovery_from_flash;else if test ${reboot_mode} = update; then run update;else if test ${reboot_mode} = cold_boot; then run try_auto_burn; fi;fi;fi;
system=norm
try_auto_burn=update 700 750;
uimode=1080p
update=run usb_burning; run sdc_burning; if mmcinfo; then run recovery_from_sdcard;fi;if usb start 0; then run recovery_from_udisk;fi;run recovery_from_flash;
upgrade_check=echo upgrade_step=${upgrade_step}; if itest ${upgrade_step} == 3; then run init_display; run storeargs; run update;else if itest ${upgrade_step} == 1; then defenv_reserv; setenv upgrade_step 2; saveenv;fi;fi;
upgrade_step=2
usb_burning=update 1000
wipe_cache=successful
wipe_data=successful
zte_dispmode=720p
gxl_p211_v1#

M_H_TV · 發(fā)表于 2018-3-18 20:52

zw402 發(fā)表于 2018-3-18 18:19
手動(dòng)啟動(dòng)：
gxl_p211_v1#fatload mmc 0 1080000 twrp.img
()

在uboot里應(yīng)該是能找到兩個(gè)mmc device的，一個(gè)外部sdcard，一個(gè)內(nèi)部emmc。輸入help，找與mmc有關(guān)的命令。
要從外部sdcard里啟動(dòng)twrp，輸入下面的命令（“0”根據(jù)情況來改，也可能是“1”，表示設(shè)備號(hào)，文件要放置在外部sdcard根目錄且sdcard格式化為fat32。U盤也是可以的，但要把下面的“mmc”換成“usb”）：

fatload mmc 0 ${loadaddr} twrp.img
fatload mmc 0 ${dtb_mem_addr} meson1.img

然后把當(dāng)前設(shè)備設(shè)置成emmc，否則啟動(dòng)twrp后不能掛載system分區(qū)，接著輸入下面的命令：

bootm ${loadaddr}
應(yīng)該就能啟動(dòng)了，可以進(jìn)入shell，HDMI會(huì)有輸出的，要用鼠標(biāo)操作。

M_H_TV · 發(fā)表于 2018-3-20 16:13

zw402 發(fā)表于 2018-3-19 17:07
感謝摟主的指點(diǎn)。其實(shí)我也是這樣理解和實(shí)驗(yàn)的，但問題是我這樣fatload mmc 0 1080000 twrp.img和這樣fatloa ...

meson1.img是手誤，就是dtb格式的。
其他文件我記得發(fā)的附件里面提到了從哪里下載......我現(xiàn)在不在老家了，提供不了必要的文件了。
從網(wǎng)上下載吧。

M_H_TV · 發(fā)表于 2018-3-20 16:16

本帖最后由 M_H_TV 于 2018-3-20 16:20 編輯

zw402 發(fā)表于 2018-3-20 00:18
@ragelancer
我按你的過程去做,還是無果.其實(shí)之前我也是按這個(gè)方法在試但都不成功,不知問題出在哪里?請(qǐng)幫我 ...

你要先load文件，然后切換mmc,不然系統(tǒng)是找不到的。
它只會(huì)在你設(shè)置的當(dāng)前設(shè)備號(hào)對(duì)應(yīng)的mmc的根目錄下找，大概吧？

M_H_TV · 發(fā)表于 2018-3-20 16:27

ragelancer 發(fā)表于 2018-3-19 18:10
樓主，你好，多謝回復(fù)。我已經(jīng)進(jìn)入了twrp，也刷了官方supersu2.82卡刷包。但刷完出現(xiàn)問題了，設(shè)置--關(guān)于里 ...

root后，第一步當(dāng)然是干掉OTA的升級(jí)程序?。?！

然后若是會(huì)linux，直接dd備份emmc鏡像，或者用TWRP備份，以后就可以隨便折騰。

我記得我的盒子里面可以直接看到升級(jí)的網(wǎng)址，通過路由器用機(jī)頂盒的賬號(hào)撥號(hào)后可以打開這個(gè)網(wǎng)站，升級(jí)包可以直接下載。
以后若是要升級(jí)，只能手動(dòng)升級(jí)，且root會(huì)丟失。

M_H_TV · 發(fā)表于 2018-3-20 16:29

本帖最后由 M_H_TV 于 2018-3-20 16:42 編輯

zw402 發(fā)表于 2018-3-20 14:58
@ragelancer @M_H_TV:請(qǐng)問兩位達(dá)人，“短接C125”是不是整個(gè)過程都要保持？我做的都是“短接C125”從sdcard ...

只要進(jìn)入了外置sdcard的uboot就不用短接了。

另外論壇里好像有了中興6位隨機(jī)數(shù)的算號(hào)器。

M_H_TV · 發(fā)表于 2018-5-3 21:56

luckyboylee 發(fā)表于 2018-4-24 20:44
能分享一下uboot文件嗎，我不知道如何提取

現(xiàn)在論壇應(yīng)該有更簡單的破解方法了吧？
不妨去搜一搜。

M_H_TV · 發(fā)表于 2018-7-29 16:32

tadalio 發(fā)表于 2018-5-29 10:09
樓主，我拿到TWRP文件了，我的盒子（b860a 2.1）TTL可以輸入，我在u-boot下用sdc_update刷入了這個(gè)recovery ...

recovery是個(gè)二進(jìn)制文件，很難修改了。
這里可能是你刷recovery刷錯(cuò)分區(qū)了。

› 運(yùn)營商IPTV / 有線電視 / 廣電機(jī)頂盒 › 中興機(jī)頂盒

中興b860av1.1-t手動(dòng)獲取root權(quán)限

中興b860av1.1-t手動(dòng)獲取root權(quán)限

評(píng)分

站長推薦 /1