linzi610

练唱歌练台词，立誓终身素食。公认的大学电磁学公式取一个单位物理量竟然等于引力常数G_6.6759x10^-11；首次发现光速c≈h/ek，余生定要破解发光玄机。

[linzi610 @linzi77610]

实测A12处理器静态内存SRAM最高可读地址是0x19C3FFFFF，应该和A13的SRAM一样大，也是4MB，A13因为漏洞代码要把BootROM复制到0x19C390000，并且需要设置TT、PTE所以占用了部分内存。

[linzi610 @linzi77610]

A12、A13（iPhone Xr和11）我利用usbliter8漏洞启动ramdisk挂载原来的数据分区一直失败，以为很难做到；昨天我才知道A11以下的ramdisk挂载原数据分区的方法几年前就已经开源了，所以又觉得可能不难。今天终于在iPhone Xr上用iOS 14.3系统的ramdisk挂载14.6系统的原数据分区/dev/disk0s1s2成功！见图片.

[linzi610 @linzi77610]

8】打算长时间研究A13的BootROM漏洞，看是否可以在A14上利用成功。它的BootROM里面_do_printf()无法正常使用，因为最关键的putc()被编译成空函数了。Leeksov的handler.c虽然看上去可以读写DFU内存，实际上A13是完全用不了的，所以我只能自己改写，今天终于读出成功，这对于分析usbliter8漏洞非常重要。

[linzi610 @linzi77610]

我在A12的DFU模式读取内存也成功了。iPhone Xr电池一直不充电、不能测试，昨天买了块电池后用470uF电容把旧电池也激活了。A12读取内存更难，所有SRAM内存地址都不可以���入，而A13高端地址内存是可写的，但方法也简单，把handler.c稍加修改编译成RP2350固件就行，handler_t8020.bin大于300B可能会重启。

[linzi610 @linzi77610]

通过读取内存可以看到，A13利用漏洞覆盖内存的最高地址就是漏洞代码中的panicdepth_ow_start=0x19C02950C，今天不仅发现了iPhone12从RP2350一拔下来就会死机，还验证了A14有可能根本就没有usbliter8漏洞，因为只要覆盖10个左右字节就会死机，而A13覆盖几百字节都还没事。

[linzi610 @linzi77610]

3】去掉usbliter8代码中的限制让它在A14上测试，我发现A14会马上丢失DFU模式，而iPhone7的A10反复测试时一直处于DFU，所以我认为A14也存在usbliter8漏洞。我问Grok，它也认为A14存在usbliter8漏洞，只是还没被利用成功。

[linzi610 @linzi77610]

修改一下usbliter8漏洞代码，可以检测到A14的DFU和recovery模式，但是就算��的RP2350不插电，只要iPhone12插上RP2350的lightning插头拔出来一次，就会立刻丢失DFU或者recovery模式，可见电路存在问题也会导致iPhone12死机，而iPhone11就完全没事。

[linzi610 @linzi77610]

实测A13处理器静态内存SRAM的最高地址是0x19C387FFF，所以总大小可能是4MB左右。

[linzi610 @linzi77610]

这个用ICH_A12_plus_Ramdisk自制的iOS26.5.2系统ramdisk，通过替换iBoot和devicetree，增加PMP.img4、WCH.img4，终于挂载上disk1s2数据分区了，也有办法可以写入文件。

[linzi610 @linzi77610]

6】终于可以ssh连接我自己制作的iOS26.5系统ramdisk了，用的还是ICH_A12_plus_Ramdisk，但是不能使用Leeksov的iboot_patchfinder.py修改iBoot，必须使用他的iboot_patcher.py修改才行。目前的问题还很大，/dev下面只有一个disk0，看不到任何的分区。

[linzi610 @linzi77610]

7】那块反复重启的iPhone 11主板，今天已经刷��了最新系统iOS26.5.2，disk1s2数据分区仍然可以挂载，也能写入文件，实测修改MobileGestalt.plist文件的激活方法已经失效了。图片上可以看出修改后文件的@属性不相同，我今天又自己编译了一个修改属性的命令，但是改成一样属性还是激活不了。

[linzi610 @linzi77610]

把这个系统坏掉的iPhone11刷机成了26.5.2新系统，仍然可以挂载disk1s2数据分区，用特殊的方法也可以导出、修改、替换https://t.co/LJeesszuOY.MobileGestalt.plist文件，但目前无法激活系统，方法正在改进中。

[linzi610 @linzi77610]

5】我那块坏掉的iOS17.1.1系统iPhone 11主板终于可以挂载disk1s2数据分区了，disk1s8是用户分区。目前最大的遗憾是disk1s2无法写入文件。主板目前是反复重启的状态，以前肯定是设置过锁屏密码的，但不记得取消密码没有。

[linzi610 @linzi77610]

已经找到ramdisk中iOS17系统disk1s2和disk1s8两个分区写入文件的方法，并不难。反复重启的毛病导���根本不能进行抹除操作，disk1s1快照改名字以后会变成永久恢复模式，把快照名字恢复原来的就又变成反复重启了，看来可能目前只能刷26.5.2以上系统了。

[linzi610 @linzi77610]

测试iPhone Xr 14.6用18.7.9 ramdisk同样也可以挂载disk1s2，13.3.1虽然可以load sep但是挂载不上disk1s2。当然Xr 14.6也不能写入文件。

[linzi610 @linzi77610]

4���iOS14.6系统iPhone11在18.6.2系统ramdisk中挂载disk1s2成功。/mnt2数据分区的文件可以读出来，但是写入方法已经失效了，有可能需要修改kernelcache才能写入文件。我那块反复重启的iOS17.1.1苹果11主板，用这个18.6.2的ramdisk还是挂载不上disk1s2。

[linzi610 @linzi77610]

@voxtovo @dr_tweetr sorry. 不方便公开，因为可以绕过激活，虽然只支持低版本系统机子在低版本ramdisk绕过。

[linzi610 @linzi77610]

@MrStokes83 @kallay26 <=iOS15不需要patch sep，iOS16机子以上我还没有挂载disk1s2成功，还弄坏了一块17.1.1系统主板。

[linzi610 @linzi77610]

@dr_tweetr 我在iOS14、13系统上的/mnt2写入文件的方法，已经私信告诉你了，可以试试���

[linzi610 @linzi77610]

@kallay26 目前我还没有看到可以直接使用、完整公开的A13代码，ICH_A12_plus_Ramdisk里面的iBoot patcher用错了（从名字看虽然是A12+），应该用Leeksov的iboot_patcher.py、但是ICH用的是iboot_patchfinder.py，这明显是错误的，iboot_patchfinder.py只能用于和18.7.9接近的系统。

[linzi610 @linzi77610]

@kallay26 iOS26我还没有能够ssh连接ramdisk成功。正在尝试挂载18.7.9数据分区。