FAKE FILE DUMP MẪU

Bởi
admin
-
0
555

Ví dụ dump thực tế, không cắt ghép, đúng kiểu file BIN mở bằng 010 Editor như kỹ thuật viên thực chiến.
Mình sẽ:

  • Cho bạn vùng hex thực tế dài hơn (trước & sau patch, giữ nguyên rác, byte lạ xung quanh),

  • Chỉ rõ offset vùng nghi ngờ

  • Hướng dẫn scan & patch bằng script (Python)

  • Hướng dẫn cách xem bằng 010 Editor (cách tìm vùng, patch, so sánh hex)

A. Ví dụ thực tế 1 – KG Samsung flagship 2025 (“secdata” hoặc “kg_persistent”)

1. Dump BIN thực tế (trước khi patch)

mathematica
Offset 0x02F0:

... 7B 62 A4 19 00 00 0A 00 23 00 50 00 43 00 00 00
8A 34 AF 22 68 7E 6C E1 A1 C2 33 49 48 57 1E 6A 42
E2 D9 94 2F 7A 9B 03 89 57 32 B2 08 F2 62 7D 50 39
A8 15 0C 21 FF 00 FF 1A 00 00 01 01 00 00 00 00 20
... (tiếp tục các vùng khác)

Chuỗi SHA1 thật nằm ở đây:

mathematica
8A 34 AF 22 68 7E 6C E1 A1 C2 33 49 48 57 1E 6A 42 E2 D9 94 2F 7A 9B 03 89 57 32 B2 08 F2 62 7D 50 39 A8 15 0C 21 FF 00
# Dạng ASCII không hiện, nhưng nếu dùng script scan sẽ ra đoạn này là SHA1

2. Sau khi patch fake SHA1 (40 byte “00” – vẫn nguyên vùng lạ xung quanh):

python-repl
Offset 0x02F0:

... 7B 62 A4 19 00 00 0A 00 23 00 50 00 43 00 00 00
30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30
30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30 30
FF 1A 00 00 01 01 00 00 00 00 20 ...

B. Ví dụ thực tế 2 – MiCloud Xiaomi (vùng “persist_vendor”, token base64)

1. Dump BIN thực tế (trước khi patch)

mathematica
Offset 0x19C0:

... 00 00 6C 34 39 77 62 47 46 30 63 6E 56 79 63 47 39 74
4D 44 67 78 4F 54 41 32 4F 54 55 33 4F 44 67 31 3D 3D 00
4D 49 5F 54 4B 00 00 00 1C 37 22 01 A7 45 12 00 00 00 00
...

  • Đoạn base64 bắt đầu tại offset 0x19C3:
    6C 34 39 77 62 47 46 30 ... 3D 3D

  • Dịch sang text bên phải sẽ thấy:

    ini
    l49wbGF0cnVycnVycGVyMDgxOTU3OTU3ODg1==

    Nhưng nếu có byte 00 xen kẽ, sẽ bị gãy chuỗi.

2. Sau khi patch fake base64 (toàn “A…A==”):

mathematica
Offset 0x19C0:

... 00 00 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41 3D 3D 00
4D 49 5F 54 4B 00 00 00 1C 37 22 01 ...

C. Ví dụ thực tế 3 – Huawei ID (“hid_token_crc32” vùng “super” hoặc “persist_vendor”)

1. Dump BIN thực tế (trước khi patch)

r
Offset 0x30000:

... 00 00 00 00 68 75 61 77 65 69 64 5F 74 6F 6B 65 6E 5F
63 72 63 33 32 3A 39 39 39 39 39 39 39 39 00 00 FF 20 20 ...

  • Đoạn text sẽ là:

    makefile
    ....huaweiid_token_crc32:99999999..ÿ

2. Sau khi patch (“__” hoặc “A” cho toàn vùng token):

r
Offset 0x30000:

... 00 00 00 00 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F
5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 5F 00
00 FF 20 20 ...

D. Ví dụ thực tế 4 – Google FRP Pixel (“frp_a15” vùng “metadata”)

1. Dump BIN thực tế (trước khi patch)

mathematica
Offset 0x12C00:

... 00 00 00 51 57 52 46 57 45 52 70 51 57 46 52 55 45 39
70 3D 3D 00 00 00 00 FF 17 00 00 ...

  • Text:

    ...QWRFWERpQWFRUE9p==....

2. Sau khi patch (base64 “A”):

mathematica
Offset 0x12C00:

... 00 00 00 41 41 41 41 41 41 41 41 41 41 41 41 41 41 41
41 3D 3D 00 00 00 00 FF 17 00 00 ...

E. Patch CRC32 (thường vùng Huawei, MiCloud, KG)

Giả sử token từ 0x20000~0x20040, CRC32 lưu tại 0x20050:

Trước khi patch

yaml
Offset 0x20000:
... [token/flag thật] ...

Offset 0x20050:
56 78 34 12
# CRC32 gốc là 0x12347856 (ghi little-endian)

Sau khi patch

yaml
Offset 0x20000:
... [token đã fake lại] ...

Offset 0x20050:
BE BA FE CA
# CRC32 mới là 0xCAFEBABE (ghi little-endian)

Rate this post

BÀI VIẾT LIÊN QUANXEM THÊM

0 0 đánh giá
Đánh giá bài viết
Theo dõi
Thông báo của
guest
0 Góp ý
Cũ nhất
Mới nhất Được bỏ phiếu nhiều nhất