Huaweiスマホの文鎮（Brick）からの脱出方法メモ

キット各種完売。
msBerryDAC改造情報

速くて使いやすいCMS - adiary / 頒布物一覧 / 寄付

2018/05/24(木)Huaweiスマホの文鎮（Brick）からの脱出方法メモ

Android

HUAWEI nova liteをうっかり文鎮化してしまったので、復旧方法（復旧手段）のまとめメモ。ちなみに海外では文鎮化のことを「Brick」（レンガ化）と言うようです。

文鎮化の経緯

カスタムリカバリを入れるためにbootloaderをunlockする
root化したり色々いじる。開発者モードとかもいじる。
いつのまにかFRP Locked（OEMロック状態）になっていることに気づく
FRP Lockedだと fastboot flash できず、EMUI 5.xではOEMロック解除に再度ブートローダーのロックが必要だと気づく。
リカバリも/bootも/systemも改変された状態のままブートローダを再ロックしてしまう。
```
fastboot oem relock 0421234567897012
```
「secboot」が有効になり、改変された/bootや/systemやTWRPは起動しなくなる。

どうして復旧できないのか

OEM Lockedのため「fastboot oem unlock」が拒否（Command not allowed）される。
Phone/OEM Lockedであるため、fastboot flashができない。
EMUIリカバリは起動するものの、オンラインリカバリは（なぜか）失敗する。

まさに八方塞がり状態です。

bootloaderもFRP/OEMもロックされていない場合

もしも、fastboot画面で「PHONE unlocked」で「FRP unlocked」ならば復旧は簡単です。fastboot flashで公式OTAイメージ（Stock ROM）を焼くだけで復旧できます。

USB接続かつVol-/電源で起動し、fastbootの画面に移行する。

スマホの型番（ビルド番号）を調べる。

C:\>fastboot oem get-build-number
...
(bootloader) :PRA-LX2C635B121
OKAY [  0.016s]
finished. total time: 0.016s

Firmware databaseから対応するファームウェアを検索しダウンロードする。今回の場合は「PRA-LX2C635B121」で調べる。
zipを解凍して UPDATE.APP 取り出す。
Huawei Update Extractorを使用し、Factory Imageを取り出す。

取り出したイメージを fastboot を使用して書き込む。

fastboot flash boot boot.img
fastboot flash system system.img
fastboot flash recovery recovery.img

これで再起動すれば復旧するはずです（多分）。リカバリモードに入ってデータの初期化が必要になるかもしれませんが。

SDカードからの復旧

Huawei EMUIには、SDカードからアップグレード（OTAファームウェアの焼き込み処理）をする機能が付いています。

上を参考に、対応するFirmwareを見つける
zipを解凍して出てきた UPDATE.APP をSDカードの /dload/UPDATE.APP に置く。
リカバリーモード（Vol+/-/電源同時押し）で再起動する。
- 【注意】USBは刺さないこと。画面が切り替わるまで「Vol+/-」は押したままにすること。

リカバリーモードが正しく機能する状態ならば、これで復旧するはずなのですが、エラーになってダメでした。システムが少しでも変更されていると、この方法はダメみたいですね。

Software install failed!
Get help from: http://www.emui.com/emotiondownload.php?mod=restore

OEM/FRP unlockする

USBを接続し、Vol-と電源を押してbootloaderを起動すると「FASTBOOT&RESCUE MODE」になります。実はfastbootモードから直接FRPロックを解除することも可能なようです。しかしながら解除コードが必要になります。

この解除コードはIMEIから何らかの法則で計算される16桁*1の文字列で、コードが分かれば以下のように入力することでFRP lockを解除することができるようです。*2

C:\>fastboot oem frp-unlock 1234567890ABCDEF

さてどうやって解除コードを入手するかという話ですが、「FRP Unlock Huawei IMEI」などの単語で検索すると、解除コードを売っている海外のお店がいくつか見つかります。安い所だと$2～$5ぐらいで見つかりますが最低チャージが$30～$50という罠があります。高いところだとDC Unlockerの€15ぐらいです。

本当に解除できるかは不明。しかも、DC-Unlockerの説明を読んでいると、

FRP unlock does not change FRP lock status in fastboot!

とあるので、fastbootのFRP lock（OEM Lock）は解除できない模様。紛らわしい……。

Hisuite復旧モード

fastbootの画面には、復旧用のリカバリイメージを転送して起動する手段があります。

公式ROMのUPDATE.APPの中から RECOVERY.img を取り出します。これをレスキューイメージとして転送して起動させます。

C:\>fastboot flash rescue_recovery RECOVERY.img
target reported max download size of 471859200 bytes
sending 'rescue_recovery' (35554 KB)...
OKAY [  1.092s]
writing 'rescue_recovery'...
OKAY [  0.016s]
finished. total time: 1.108s

C:\>fastboot getvar rescue_enter_recovery
(bootloader) This is sec phone!!
rescue_enter_recovery: start to hisuite mode!
finished. total time: 0.406s

こんな感じで、USBを接続してHiSuiteを使うリカバリを行うモードになります。この状態でアップデートイメージを送信する無償ツールとして「Huawei Update MultiLoader Tool」があります。

これを使い UPDATE.APP をスマホにダウンロードさせてみたのですが、dload からのインストールと同様に失敗しました。この方法もシステムが少しでも変更されていると失敗するようです。

「flash rescue_recovery」を使ってイメージを送り込んで起動できるなら、カスタムリカバリを起動させればいいのではないかと思うかも知れません。しかし、secbootという仕組みにより起動できるイメージは限られていて、TWRPイメージを送り込んでも起動時に怒られてしまいます。

強制リカバリツール

Kirin（HiSilicon）のHuaweiスマホには、ロック状態のされたスマートフォンでも、bootloaderから強制的にファームウェアを焼き込むツールが存在します。ただし有料で、いいお値段します……。

DC-Phoenix €15（1台72時間限り）
Miracle Huawei Tool $35ぐらい？
FC Huawei Resurrector $80ぐらい？
MCT DH Tool ※起動にはMCT Dongleが必要

これらのツールは次の「bootloader認証」を使って強制的にロック解除をしているようです。

bootloader認証（bootloader backdoor）

この動画を見るとHuaweiのbootloaderにはバックドアが仕掛けてあって、認証を通すことで強制的に Phone Locked を解除できます。これにより強制的にファームウェアを書き込めるようになります。

fastboot oem hwdog certify get
...
(bootloader) FBLOCK3e8743a2089e73b9
OKAY [  0.016s]
finished. total time: 0.016s

として認証モードに入り、FBLOCK以降の16byte文字列（毎回違う）を1024bitで署名（RSA？）128byteのデータファイル（Unlock.bin）を生成し、送り返せば良いようです。

fastboot flash slock Unlock.bin   <-- 128byte Auth File

署名と思われるので秘密鍵か何かで暗号化（ハッシュ化）するだけなのですが、もちろん秘密鍵なんて分かりません。ただ、署名すべき元データは色々解析してわかっていますので、どなたか鍵探しに挑戦してみませんか？

# Original data = d(128byte)
+00h 00 01 FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+10h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+20h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+30h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+40h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+50h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF FF
+60h FF FF FF FF FF FF FF FF - FF FF FF FF FF FF FF 00
+70h 33 65 38 37 34 33 61 32 - 30 38 39 65 37 33 62 39
#
# 70h-7fh: FBLOCK 16byte string (example "3e8743a2089e73b9")
# unlock.bin(128byte) = unknown_func(d)
#
# "unlock.bin" generated by unknown way;
# May be RSA Signature or 1024bit-HASH or other.

最後の16byteは「FBLOCK」に続く16byteの文字列です。
これ単純に連結して128byteの文字列とします。そのまま1024bit整数とみなして処理すれば問題ありません。
- 間違えのないように書いておくと、最上位バイトは+00hで、最下位バイトは+7Fhです。

認証モードを終わらせる。

fastboot oem hwdog certify close

結局

bootloader認証を解析すべく、リバースエンジニアリング（RE）に挑戦しましたが敗れ去りました（苦笑）。RE自体は楽しかったですけどね、さすがに暗号鍵を探すのは難しい。

結局、DC-Phoenixに€15（2000円）ほど課金して復旧させました。これが一番楽だと思います。

ちなみに、この際ビルド番号まで一致させたファームウェア（FullOTA）が必要になります。どうやら boot.img がフォームウェアのどこかに記録されているビルド番号（例：PRA-LX2C635B121）と一致しない場合正常起動しないようになっているようです。

余談

他社のスマホだと強制的にfirmwareをflashするツールとか、デベロッパーモード（EDL 9008）にして書き換えるとか、SIMロックやFRPロックを強制的にunlockするとか色々あるのですが、HuaweiのHiSilicon製スマホ（KIRIN）はまだその辺充実してないのか、プロテクトが頑丈なのか、突破するのは難しいようです。

FRPロック（OEMロック）状態になると以下のことができなくなります。

ファクトリーリセット（FRP = Factory Reset Protection）
ファームウェアの書き換え（Flash）
ブートローダーロックの解除（PHONE Lockの解除）
fastbootによるサードパーティ製（非公式）boot.imgやリカバリの起動

ただただ面倒に感じるこの仕組みは実は盗難防止のためのもので、Google Accountで使用状態になっているスマホを強制的に初期化して売ったりすることを防止するシステムです。

その割には既に解析されていて、いくらかお金を払えば誰でも解除できてしまう現状には矛盾も感じます。

メモ

色々調べる方法。

# 販売元の国
fastboot getvar vendorcountry
# 製品型番
fastboot oem get-product-model
# シリアルナンバー/IMEI
fastboot oem get-psid
# ビルド番号
fastboot oem get-build-number
# lock情報
fastboot oem get-bootinfo
fastboot oem lock-state info
# バッテリィーチェック
fastboot oem battery_present_check

リンク

Huawei Firmware database
Huawei Update Extractor
Free Blackberry & Huawei Online Calculator IMEIから解除コード計算（モデムのみ）
huaiwei-unlock.py 同じ計算をするソース

復旧手順の参考情報

Huawei P9 が起動しなくなって、復旧までにやったこと

コメント（31件） ※古いコメントもすべて表示

12: ono 2019/08/15 15:58:56

貴重な情報と体験を読ませていただきましてありがとうございます。。

ちょっと気になりますが、最初はどうやって(bootloader unlock のまま) frp をロックしてしまいましたか？

あと、

>
>
>そもそもFRPロック（not OEMロック）はGoogle Account Lockとも呼ばれます。Androidを>最初に起動するときGoogle Accountを入力することでロック状態になり以下のことができ>なくなります。
>
>ファクトリーリセット（FRP = Factory Reset Protection）
>ファームウェアの書き換え（Flash）
>ブートローダーロックの解除（PHONE Lockの解除）
>サードパーティ製（非公式）boot.imgやリカバリの起動

最後の条目について、frp unlock　の状態であれば、fastboot での flash / erase はできないが、すでに改変された/bootや/systemやTWRPは正常に機能するはずと思います。

13: 2019/08/15 22:03:51

>>12
>最初はどうやって(bootloader unlock のまま) frp をロックしてしまいましたか？

たしか、古い公式ROM(6.x)を入れ直すと、「bootloader unlock時」には開発者モードのOEM lockedが操作できなくなる仕様があります。

OEM lockがかかった正確なタイミングは忘れてしまいましたが、おそらくGoogle Accountを入力したときにかかったのではないかと思っています。

どちらもHuawei端末だけの現象かはわかりません。Android 7に更新後は、このようなに意図せずOEM lockがかかることも、bootloader unlock時にOEM lockが操作できない問題も解消されていました。

>すでに改変された/bootや/systemやTWRPは正常に機能する
おっしゃるとおり機能します。

最後の項目は「flash boot boot.img」の説明です。
ROMイメージの署名か何かを確認されるので、非公式イメージが起動できなくなるという意味になります（本文を修正しておきます）。

14: まぬ 2019/09/05 11:27:45

初めまして。
1年位前にMate10proが文鎮になり、たまに思い出したときに復旧方法をググっていて
このサイトを見つけました。ココのおかげで復旧できたので、どなたかに情報が役に
立てばいいかな、とコメント欄をお借りします。

自分の文鎮化は症状が少し皆さんと違っていて、BootloaderがUnlock,FRPはLocked。
しかし、Vol-と電源キーを同時押しのファストブートモードではADBが反応しなく、
Vol-+と電源キー同時押しのみのUSBモードのみで辛うじてADBを認識していました。
そこでDCPHENIXを購入し、USBモードからAPDATE.appをインストール。

無事復旧出来てどうしてもお礼が言いたかったので書込みしてしました。

ありがとうございました。

15: 2019/09/05 12:42:51

>>14
お役に立ったのなら嬉しいです。情報共有ありがとうございます(^^

16: take 2019/09/29 17:53:41

初めまして。
私もこちらのHPを参考に文鎮からの復旧をすることができました
ありがとうございます

折角ですので報告させていただきます

文鎮化の状況は一度TWRPをインストールしたもP10 LiteからTWRPを消そうとしたらイメージの書き込みに失敗して文鎮化しました。
このためPHONEとFRPの両方共unlockedになっています。

色々試しましたがSDカードを使用する方法とHisuite復旧モードを使用する方法では復旧できず、最終的に上で書かれたようにfastbootを使用してboot.img、system.img、recovery.imgを書き込むことで復旧させました。
このため上で書かれていた内容で復旧できると思われますが、
"fastboot erase userdata"と"fastboot erase cache"はエラーが出て失敗しました。
また同じ作業をしても復旧しなかったケースも有るので、失敗した場合でも再度書き込みをすれば治るかもしれません

あとこの状態は通常環境とは何かが違うらしく、最初にFWのアップデートをする時は”完全パッケージ”を使用してアップデートしないと失敗するようでした。

17: 2019/09/29 23:58:35

>>16
報告と情報ありがとうございます。

>SDカードを使用する方法とHisuite復旧モードを使用する方法では復旧できず、
少しでもROMが書き換わっていると、この2つは失敗してしまうのですね……。

>"fastboot erase userdata"と"fastboot erase cache"はエラーが出て失敗

fastbootからのeraseは許可されてないのかもしれませんね。
本文修正しておきます。

18: european 2019/12/14 00:36:02

Actually someone managed to decrypt that key to unlock the bootloader with the 128byte .bin file ----> @huaweihax on Telegram redirects to a Huawei Exploits Group. I don't actually know how they did that tough.

19: 2019/12/16 00:16:25

>>18
Thank you unlock (slock) infomation.

Note:
https://github.com/mrmazakblu/bl-unlock-slock1
https://forum.xda-developers.com/9-lite/how-to/unlock-bootloader-code-t3859685

20: 牛タン 2020/01/21 12:52:58

こんにちは

>いつのまにかFRP Locked（OEMロック状態）になっていることに気づく

私もこの状況となってネットをうろうろしてたらこのサイトにたどり着きました(笑)
google frp lockが原因だと、ロック解除してもデバイス起動してgoogleアカウントセットすると再びFRPロックされちゃうんですかね。いつの間にかロックされいゃう訳だ(笑)
もう自由にAndroidデバイスのROM焼きで遊べないんかな、、、

21: 2020/01/21 23:00:21

>>20
同じ目に合われてる方がいたんですね……。

Oreo(8.0)にしてからはそういうことは起きなかったのですが、7.x（古いEMUI）では勝手にOEM lockされてしまい、ほんとに困りました。しかも原因がよくわからないという。

Huaweiがbootloader lock解除サービスやめてしまって、たしかにちょっとつまらないです^^;;

22: 牛タン 2020/01/24 09:06:27

設定の開発者～のOEMロック解除がグレーアウトされてるのと標準の時計アプリが動かないのとfrp lock,phone unlock状態で気持ち悪くはありましたがEMUI5,Android7で使えている状態でした。
が、遊ぶ目的のP9 plusであったのでphone unlock -> lockにしてOTA貰える状態にしてみたくなりました(^_^;
P9 plusは日本未発売モデルなので日本じゃOTAは降ってこないのですが、そこは色々遊んでアップデート試みてみると、、、
でもunlock codeは控えていないのでDC UNLOCKERを使って調べるしかないかとなり、課金してDC UNLOCKERでunlock code調べました。調べ終わると、何故かFRP LOCK & PHONE LOCKにもなってて、これはいきなり目的達成？とぬか喜びしたのですが、EMUIが起動しない状況になっておりrecoveryとfastbootのみが入れるモードとなってしまいました。とんだ罠がdc unlockerに、、、設定のOEMロック解除が出来ていないので、fastboot使とunlock code使ってのロック解除が跳ねられてしまいます、、、予想はしてはいたのですが(笑)
スムーズに行けばfastbootでrelockしてお終いなはずだったのですが、、(^_^;

で、こうなるとdc phenixですよね(笑)
今は、エラーとならないfull otaを順に試している状況で見事に遊べてます(笑)
とりあえずのfastboot oem get-build-numberで調べたROMのUPDATE.APPはダメでした(^_^;

23: 牛タン 2020/01/24 19:50:56

使ってたバージョンはVIE-L29C636B363でしたが、復活に使えたのはB180でしたー
一気に古くなった(笑)
最新に変更する遊びが出来そうです(^_^)
しかしDC PHENIXすごいですねー以前なら諦める状況から不死鳥の如く(笑)

24: 2020/01/24 22:51:24

>>22
>課金してDC UNLOCKERでunlock code調べました。
>調べ終わると、何故かFRP LOCK & PHONE LOCKにもなってて、

これはひどい罠ですね……。お察しします。

>ROMのUPDATE.APPはダメでした(^_^;

bootloaderやsystemが少しでも改変されていると、
UPDATE.APPやリカバリーモードは失敗するみたいですね。
自分も、おかげでいろんな情報に踊らせれました。

>しかしDC PHENIXすごいですねー以前なら諦める状況から不死鳥の如く(笑)

まさしく不死鳥のごとく（笑）

>>18 で頂いた情報によれば、dc phenixを使わなくても、
お願いすればバックドア（fastboot oem hwdog certify get）を
突破できるみたいですので、他の方はご参考までに。

25: 牛タン 2020/01/27 15:34:54

ちなみに、DC unlockerで調べたunlockcodeはfastbootで使うと端末アンロックは出来ましたがリロックは出来ませんでしたー

26: テオ 2020/03/28 22:39:25

はじめまして、mate20xを完全文鎮化してしまい、復旧方法を探してこちらにたどり着きました
機種は違うのですが、DC-Phoenixを使ってみました。
実はこの機種は中国版にグローバル版ROMを焼いたものらしくAndoroid10にアップデートしようとして失敗した末にbootlorderとFRP共にロック状態になったモノです。
日本未発売という事もあり、情報が少なく、また公式はbootlorderの解除コードも既に配布しておらず八方塞がりでした。
貴サイトは大変参考になりましたが、残念ながら復旧に至らずでした。
fastbootでもロックがかかっているせいか、使えないコマンドが多く、DC-Phoenixではファームのロード時にアラートが出て先に進めませんでした。ビルド番号も合わせてみたのですがどれも合わず。一通り手に入るファームウェアを当ててみたのですが失敗しました。

参考までにお伺いしたいのですが、中国版の箱にimeiが２つ印刷されており、念のためffastboot oem get-psidも調べたのですがimeiは返ってきませんでした。これはbootloaderがロック状態だからでしょうか？
不躾な質問で申し訳ございません。

27: 2020/03/29 16:10:43

>>26
うまく行かなかったのは残念ですね……。

>ffastboot oem get-psidも調べたのですがimeiは返ってきませんでした。
>これはbootloaderがロック状態だからでしょうか？

再ロックをかけて確認するのもリスキーなので、ちょっとわからないです。
コマンドが変わっている（廃止されている）可能性もあります。

28: せんべい 2020/07/01 14:11:37

はじめましてP9を文鎮化してここにたどり着きました。
「PHONE unlocked」で「FRP locked」の状態でした

藁にもすがる思いでDC-Phoenixに€19支払って
試してみましたが失敗

fastboot画面を再確認したとことろ端末もロックされていました。

これは、もしやhuaweiのHPにある公式のROMをDLしていけるのではないかと思い
中継パッケージバージョン、
その後Android 6.0ソフトウェアパッケージを入れてみました。

でも文鎮から復旧せず・・

ところがemuiの起動画面からfactory resetを実行したら
無事にandroid6.0で復帰しました

この度はありがとうございました

29: 2020/07/06 22:31:14

>>28
報告ありがとうございます。

なんとなく、DC-PhoenixでどれかしらのROMを焼いた時点でROMは復旧されていたけども、data領域を初期化してなかったので起動しなかった、という感じがしますね。

30: リム 2021/12/21 21:09:42

MediaPadM3 liteを文鎮化させてしまい、こちらの記事を見つけました。

カスタムROMを入れようとしていたのですが、ROMのバージョンが使用したTWRPのバージョンに合っていなかったらしく、導入に失敗して強制Flashすら使えない状態になってしまいました。

PHONE unlocked FRP unlockの状態でTWRPは起動できたり、イメージを焼いたりすることはできますがなぜか再起動ループになってしまいます。　eRecoveryをどこかの拍子でTWRPに置き換えてしまったらしく、どうすることもできません....recovery, recovery2があってrecovery2に焼くといいというふうにサイトで見ましたが、焼こうとしてもcommand not allowedと返されてしまいます。　どうしたらよいのでしょうか....

31: 2021/12/22 00:15:15

>>30
TWRPが動作するなら復旧はそんなに難しくないかと思います。
正しいTWRPで、正しいパーティションに焼き直せばいいのではないでしょうか。

※具体的な方法はご自分で調べてくださいね^^

		2018/05
日	月	火	水	木	金	土
		1	2	3	4	5
6	7	8	9	10	11	12
13	14	15	16	17	18	19
20	21	22	23	24	25	26
27	28	29	30	31