WASDDestroy 的个人文档站

关于免解锁刷机，你至少需要知道这些 ​

TL; DR

保持对一切非官方镜像文件的警惕，学会使用 avbtool 相关工具。

原文来自我的酷安，发布于 2026.09.01，点我阅读原帖。本文大幅扩充了原文，用于作为本站免解锁篇的基础概要。

下文中，防回滚指数 、 回滚索引 以及 Rollback Index 指的是相同的事物。

联想设备一键免解锁 Root 在本文写作的一周前由 @可怜太可怜 实现了一键工具，太强了。但是——

看 @栞那daisuki 的帖子，发现最近刷免解锁出事的人似乎变多了。另一个问题是，栞老师的警告贴没有解释清楚为什么不要买二手 Pro GT 和其他联想免解锁设备。事实上很有必要明确说明一下，他提出的购买警告是和免解锁相关的一个大问题：

AVB2.0 和防回滚 ​

免解锁 Root 时需要用 AOSP 超级工程里面的一个叫做 avbtool.py 的脚本来对一些镜像追加验证信息。顾名思义这是用来添加 AVB 验证信息的 Python 脚本。

AVB 是安卓设备的启动保护技术的一部分，现行技术版本为 AVB 2.0，内部版本 1.3。如果你使用过 Magisk 这款 Root 管理器，可能在修补镜像时看见过这个技术名词。你需要知道 AVB 是验证镜像是否来自原厂的一大依据，若 Bootloader 锁定，则 Bootloader 只承认使用厂商密钥对附加验证信息的镜像。

根据构建系统设置，avbtool 在签名时会为构建系统生成的部分镜像附加大于 0 的防回滚指数。这些指数加进镜像并且镜像被刷进平板之后，系统会做下面的决策：

  • 设备 Bootloader 锁定：
    • 镜像的防回滚指数大于等于机器内记录的防回滚指数且通过密码学认证：更新机器内 RPMB （防重放记忆块，非授权写入方无法修改）记录的防回滚指数为较大值，继续启动流程
    • 镜像的防回滚指数小于机器内记录的防回滚指数或未通过密码学验证：拒绝启动 <- 请记住这一条
  • 设备 Bootloader 解锁：
    • 允许 AVB 验证失败时启动，且始终不更新防回滚信息

我见过下面几种防回滚指数的递增规律：

  1. 0, 1, 2, ... 这样的自然顺序
  2. 使用 UNIX 时间戳，比如在小新 Pro GT 1.5.04.495 系统上的 vbmeta_system 镜像有防回滚指数 1783209600 （2026-07-05，早上8点整，这是系统对应的安全补丁日期）。

这些做法都是可以的，防回滚指数能够按照厂商计划被正常递增；并且有比较好的语义，稍有经验的用户一眼就能看懂这个数字是什么意思。

自行签名镜像 ​

你可以在 Google's Git 查看 AVB2.0 和 libavb 相关源码。源码附带一份详尽的 README, 介绍了 AVB2.0 使用的数据结构、 avbtool.py 的使用方式、Bootloader 状态、自定义公钥等信息。自然，也可以将上文提到的 avbtool.py 从这里下载下来（行话一般称为 克隆），进行一些修补，封装成可以在 Windows, Android 等平台运行的新程序，方便在这些平台操作镜像。大部分时候对镜像的操作都是为镜像附加验证信息，一般将使用 avbtool.py 为镜像附加验证信息的操作称为 签名。

自行签名镜像在非联想设备的用途 ​

为镜像添加 AVB2.0 签名有助于确保镜像完整性，即便 Bootloader 解锁也是如此。因此部分 ROM 作者将自己制作的系统使用 AVB2.0 进行过签名作为卖点宣传（并可能利用它来防止 ROM 被篡改）。此外，如果设备支持烧录自定义公钥，则可以配合对应镜像在 Bootloader 解锁状态下享受完整 AVB 验证流程，进一步增进设备安全性。

这就是自行签名镜像在非联想设备上的全部用途了。

漏洞和漏洞利用 ​

对于 2023 到 2025 年发布的联想设备，联想的构建系统配置在很长一段时间内都有问题，他们使用了可在上面提到的 Google Git 找到的密钥对来对镜像做签名（具体来讲是 testkey_rsa2048.pem 和 testkey_rsa4096.pem）。文件对所有人公开，代表着任何人都可以用这套密钥对给镜像签名，而签名后的镜像会被联想的 Bootloader 认为是联想签名的，可以被认可的原厂镜像。也就是说：

  • 你可以篡改镜像（例如添加 KernelSU LKM），然后签名它们并刷入，联想 Bootloader 不会拒绝这些镜像；
  • 全过程中 Bootloader 保持锁定，TEE 不会损坏，Widevine 等认证保持 L1 高水准，大部分软件会认为环境完全可信
  • 即便刷入第三方系统，也可以通过签名镜像的方式实现上面两点的效果

以上漏洞由联想于 2026 年初开始逐渐着手缓解，现已覆盖全部受波及机型。但是漏洞没有被完整修复，只需要一个受波及版本的 abl, 再签名镜像，你依旧可以复现漏洞。

本站免解锁篇的教程就旨在尽可能避开底层知识，让你跟随操作利用这个漏洞。

这个漏洞看起来非常好利用，效果也极佳，但是真的完全无害吗？

无知还是恶意 ​

我们刚刚提到过：

  • 签名过程会对一些镜像添加大于 0 的防回滚指数
  • 设备侧防回滚指数存放在 RPMB 中
  • RPMB 无法任意篡改

这代表着防回滚指数不可随意修改，一旦将镜像中的防回滚指数改的比官方大且设备正常开机，则对应分区的防回滚指数就在 RPMB 中被刷新了。此时若刷回官方固件，则官方固件启动反而会失败。

由此开始看一种常见的社区状况：有些人用的防回滚指数是 9999999999 或者其他极大值，比如 6767676767。请小学生来都知道这些值是大于联想依据其规律维护的防回滚指数的。

绑定诅咒 ​

既然官方固件启动失败，则剩下的选项只有刷回自己修改过的那批镜像了。就仿佛是中了《我的世界》的绑定诅咒一样：玩家操控的角色（Steve, Alex, etc.）无法脱下已被穿戴的、带有绑定诅咒的装备，除非角色死亡。

也就是说，一旦你刷了这些防回滚指数大得离谱的镜像，你的机器在没有解锁 Bootloader 的情况下可能出现下面的情况：

  1. 系统全量更新了，发现更新后无法开机，亮屏之后显示一个带有红色感叹号的验证失败提示页。因为全量更新不校验原分区镜像，会拿低回滚指数的镜像覆盖你已经刷入的高回滚指数镜像，造成校验失败。
  2. 收到了系统增量更新，但是由于你刷了 AVB 防回滚指数大的离谱的镜像，需这样应用更新：
    • 在系统正常启动后刷入原版镜像，从而绕开启动验证
    • 应用增量补丁（增量补丁要在原版镜像基础上才能正确应用）
    • 打完补丁后关机回读镜像，签名添加错误的防回滚指数，然后将改好的镜像刷入到设备
    • 重启完成系统更新
    • 下次收到更新重复此操作
  3. 刷了第三方 OS ，这里的处理方式可能会很复杂，甚至可能会导致你刷不回原版系统。最简单的情况只需要保持 boot, recovery 这类“链式分区”不被刷入，但是复杂时，可能需要重新生成 vbmeta 和 vbmeta_system 。

只有一些办法可以缓解这个绑定诅咒：

  1. 自己用 avbtool.py 签名一个带有高防回滚指数的镜像，然后刷入平板，系统会更新防回滚指数并正常启动。但是如果你忘记了原来的极大防回滚指数是多少，就只能猜测一个极大值。如果你只是犯了“495 版本的系统救砖时刷了 470 版本的包”这样的小问题导致不开机，这个时候盲目签名镜像甚至会导致你落入真正的 AVB 麻烦中，也就是上面说到的那三种情况。
  2. 解锁 Bootloader ，系统不再校验 AVB 信息，任何符合 Android 标准且适配此平板的底层固件的系统都能正常启动。因此你可以降级，可以任意刷第三方系统，不受联想安全机制的阻碍。但是解锁 Bootloader ≠ 随意修改防回滚指数，一旦回锁，你的绑定诅咒将继续生效。

由于你无法擦除防回滚指数，以上两种办法都只是暂时救急，不能将你的平板恢复到被有毒镜像污染之前的状态（除下一节讲述的例外状况）。

例外 ​

  1. 联想拯救者平板 Y700 2025 （Y700 三代）在升级到 ZUXOS 后支持 Bootloader 指令 fastboot oem clearindex，可以清零防回滚指数。其余设备不支持。
  2. 部分联想设备泄露的工程 ROM 可能支持清除防回滚指数，待验证。

推荐的实践 ​

  1. 了解 AVB 机制，至少仔细阅读上面的文段了解防回滚指数和在联想设备上随意更新防回滚指数的风险。
  2. 了解如何使用 avbtool.py info_image 指令来检查镜像的 AVB 页脚信息，或者使用第三方工具，这里提供我的 APP 和知名工具 LTBox：
    • AVBDroid - 在移动端快速检查一个镜像的 AVB 信息或执行签名
    • LTBox - 基于 Rust 的联想设备工具箱，支持检查镜像 AVB 信息
  3. 了解你所处的系统的防回滚指数，对高于你系统的对应镜像的防回滚指数的镜像文件保持高度警惕：例如小新平板 Pro GT 1.5.04.495 系统:
    • boot 防回滚指数是 1736035200
    • recovery 防回滚指数是 1
    • vbmeta_system 的防回滚指数是 1783209600
    • 其余分区的防回滚指数都是 0 。
  4. 如果你要刷机，谨慎购买曾经受到联想免解锁漏洞影响的二手设备，主要是 2023 到 2025 年间发布的设备，包含拯救者 Y700 第二代到第四代和同时期的联想小新、YOGA 平板。刷过包含异常 AVB 信息镜像的设备可以通过上文所说的第一个缓解手段在非解锁情况下刷入“以毒攻毒”修改版镜像，伪装成正常二手设备流通，到 OTA 或者刷机时才露馅。更有甚者，冠以免解锁 Root 的名号加价售卖，实则早就因为免解锁失去了正常 OTA 的能力。这些设备覆盖官方 ROM 都可能不能无法开机。
  5. 在救砖时，确保你刷的救砖包版本大于等于你设备上曾经存在过的那个最高 ZUXOS 版本。如果刷入一次之后还是提示验证失败不开机，重新找包，再刷一次。同样，请注意这个包的来路，谨防供应链投毒。
  6. 不要放弃希望，不要完全排除联想官方的责任。比如本帖码字时，联想官方还没有放出目前已经批量推送的 1.5.04.495 版本的刷机包，这已经导致了不少酷友刷机变砖。如果真的山重水复疑无路，不如直接送售后。