DictPen Universe
有道词典笔S6获取adb权限的详细教程 #277
Replies: 16 comments 45 replies
-
|
非常好详细教程（doge） |
Beta Was this translation helpful? Give feedback.
-
|
对力，如果懒（bushi）可以直接使用Kali Linux 的Vmware/VirtualBox整合包，工具都是齐的 |
Beta Was this translation helpful? Give feedback.
-
|
好喔，但是我考虑到VW/VB配置起来可能还得写个教程，就更直接的以大家都有的环境为基础写的教程（） |
Beta Was this translation helpful? Give feedback.
-
|
有空试试，不过希望有大佬可以解答下，有adb后是否可以： |
Beta Was this translation helpful? Give feedback.
-
.dat 文件。 |
Beta Was this translation helpful? Give feedback.
-
对于词典笔OS的
|
Beta Was this translation helpful? Give feedback.
-
|
Beta Was this translation helpful? Give feedback.
-
|
可以开服 minecraft 安装 java |
Beta Was this translation helpful? Give feedback.
-
|
Beta Was this translation helpful? Give feedback.
-
Beta Was this translation helpful? Give feedback.
-
|
可以呀，标明转载和原作者就行，不过我还没写完，可能还得鸽上一段时间（咕咕咕咕咕 |
Beta Was this translation helpful? Give feedback.
-
进了，但是我看不到历史聊天记录，如果很重要的话可以私发给我，不过最近应该是没空折腾，得鸽一会啦（咕咕咕咕咕咕咕 |
Beta Was this translation helpful? Give feedback.
-
|
正准备买有道笔 正好搜到热乎的教程了 必须支持 |
Beta Was this translation helpful? Give feedback.
-
|
要注意哦，最近几代的有道词典笔都是Linux，目前为止就算拿到ADB权限也装不了第三方应用什么的，没有什么折腾的价值（ |
Beta Was this translation helpful? Give feedback.
-
|
貌似修改了返回方式？ 能不能分享一下全量包链接？ |
Beta Was this translation helpful? Give feedback.
-
全是二进制可执行文件 逆向都逆向不出来 |
Beta Was this translation helpful? Give feedback.
-
|
按照教程用 binwalk |
Beta Was this translation helpful? Give feedback.
-
不应该呐，我也是 S6 Pro |
Beta Was this translation helpful? Give feedback.
-
我刚拿我词典笔的全量包又重新试了一遍，是没问题的，你要不把你抓到的全量包发过来我试试看？ |
Beta Was this translation helpful? Give feedback.
-
|
谢谢大佬，这是我的请求： { "timestamp": 1740905347, "sign": "05d3269abe26794cb32ad038c8a31da4", "mid": "7E72400008711781", "productId": "1708583443", "version": "99.99.90", "networkType": "WIFI" }img 太大了发不过来，要不加我？ 3616565571 |
Beta Was this translation helpful? Give feedback.
-
|
已确认教程中的设备实际上是 S6, S6 pro 测试已成功，我补充几点:
附上 http 文件服务器(支持断点续传): from http.server import HTTPServer, SimpleHTTPRequestHandler
import os
class RangeRequestHandler(SimpleHTTPRequestHandler):
def do_GET(self):
"""处理 GET 请求，支持 Range 请求头"""
path = self.translate_path(self.path)
if not os.path.exists(path):
return super().do_GET() # 如果文件不存在，调用父类方法返回 404
self.range_request(path)
def range_request(self, path):
"""处理 Range 请求"""
file_size = os.path.getsize(path)
range_header = self.headers.get("Range")
if range_header:
# 解析 Range 请求头，例如 "bytes=0-1023"
start, end = self.parse_range_header(range_header, file_size)
if start is None or end is None:
self.send_error(416, "Requested Range Not Satisfiable")
return
self.send_partial_response(path, start, end, file_size)
else:
self.send_full_response(path, file_size)
def parse_range_header(self, range_header, file_size):
"""解析 Range 请求头"""
if not range_header.startswith("bytes="):
return None, None
range_values = range_header[6:].split("-")
if len(range_values) != 2:
return None, None
start = int(range_values[0]) if range_values[0] else 0
end = int(range_values[1]) if range_values[1] else file_size - 1
if start < 0 or end >= file_size or start > end:
return None, None
return start, end
def send_partial_response(self, path, start, end, file_size):
"""发送部分响应"""
self.send_response(206) # Partial Content
self.send_header("Content-Type", self.guess_type(path))
self.send_header("Content-Range", f"bytes {start}-{end}/{file_size}")
self.send_header("Content-Length", end - start + 1)
self.send_header("Accept-Ranges", "bytes")
self.end_headers()
with open(path, "rb") as file:
file.seek(start)
self.wfile.write(file.read(end - start + 1))
def send_full_response(self, path, file_size):
"""发送完整响应"""
self.send_response(200)
self.send_header("Content-Type", self.guess_type(path))
self.send_header("Content-Length", file_size)
self.send_header("Accept-Ranges", "bytes")
self.end_headers()
with open(path, "rb") as file:
self.copyfile(file, self.wfile)
if __name__ == "__main__":
port = 8000
print(f"Starting HTTP server on port {port}...")
server_address = ("0.0.0.0", port)
httpd = HTTPServer(server_address, RangeRequestHandler)
httpd.serve_forever()简单优化后的更新服务器: const http = require('http');
const fs = require('fs');
const path = require('path');
const port = 80;
// 假设这是你的自定义 JSON 数据
const JsonData = {
"releaseNotes": {
"publishDate": "2024-02-29",
"version": "4.7.8",
"content": "[{\"country\":\"zh_CN\",\"content\":\"1、修复部分问题，优化系统稳定性\"}]"
},
"sha256": "36d83659ffd041ac87edc0721eea3c0f35f2c86fc18d6bd65c7663615c4b84e9",
"safe": {
"encKey": null,
"isEncrypt": 0
},
"version": {
"segmentMd5": "[{\"num\": 0, \"startpos\": 0, \"md5\": \"431942e60e10bec58b391011551b35e7\", \"endpos\": 52428800}, {\"num\": 1, \"startpos\": 52428800, \"md5\": \"684496532ad9297505540d993a8f915e\", \"endpos\": 104857600}, {\"num\": 2, \"startpos\": 104857600, \"md5\": \"6d48da4f4c2061359a96bcc4f9205ecf\", \"endpos\": 157286400}, {\"num\": 3, \"startpos\": 157286400, \"md5\": \"d84d0ff0e09965fa955cfbf4daf8c79f\", \"endpos\": 209715200}, {\"num\": 4, \"startpos\": 209715200, \"md5\": \"de209fa6544e8330407f1b09478b8720\", \"endpos\": 262144000}, {\"num\": 5, \"startpos\": 262144000, \"md5\": \"d689a6b27a28cee199a4ac3bcb31ebd5\", \"endpos\": 314572800}, {\"num\": 6, \"startpos\": 314572800, \"md5\": \"457ff0d7ee31da83d0612d22f11a994d\", \"endpos\": 367001600}, {\"num\": 7, \"startpos\": 367001600, \"md5\": \"64d52bafee9eb870e72b9de334d8ce8b\", \"endpos\": 419430400}, {\"num\": 8, \"startpos\": 419430400, \"md5\": \"7a099536fccf4725caa42efef06853d8\", \"endpos\": 471859200}, {\"num\": 9, \"startpos\": 471859200, \"md5\": \"87ed2b247f84b4ab17d78a0fea25bbda\", \"endpos\": 524288000}, {\"num\": 10, \"startpos\": 524288000, \"md5\": \"10a030701b749e58734b5f05dd5ebaa8\", \"endpos\": 576716800}, {\"num\": 11, \"startpos\": 576716800, \"md5\": \"217ebe79e59d135369471c90d06390e4\", \"endpos\": 629145600}, {\"num\": 12, \"startpos\": 629145600, \"md5\": \"cd363d3fd605fd7b6e79139c2e27999b\", \"endpos\": 681574400}, {\"num\": 13, \"startpos\": 681574400, \"md5\": \"17616fc4c5a61052bf76304d987af23a\", \"endpos\": 734003200}, {\"num\": 14, \"startpos\": 734003200, \"md5\": \"9104f0113147f89375718dec80ae453d\", \"endpos\": 786432000}, {\"num\": 15, \"startpos\": 786432000, \"md5\": \"35c8d474218063c50b4a1ff4e6cccbee\", \"endpos\": 787582988}]",
"bakUrl": "http://10.42.0.1:8000/50415c49-338c-4d6b-8154-12d62d344ec6.img",
"versionAlias": "",
"deltaUrl": "http://10.42.0.1:8000/50415c49-338c-4d6b-8154-12d62d344ec6.img",
"deltaID": "16681889",
"fileSize": 787582988,
"md5sum": "78abbf91b8afca063bef1def6f48536b",
"versionName": "99.99.91",
"sha": "e7ae841a3f91e8b17059e2c26e3b9cfd057f2eee"
},
"policy": {
"download": [
{
"key_name": "wifi",
"key_message": "仅wifi下载",
"key_value": "optional"
},
{
"key_name": "storageSize",
"key_message": "存储空间不足",
"key_value": "76944507"
},
{
"key_name": "forceDownload",
"key_message": "",
"key_value": "false"
}
],
"install": [
{
"key_name": "battery",
"key_message": "电量不足，请充电后重试！",
"key_value": "30"
},
{
"key_name": "rebootUpgrade",
"key_message": "",
"key_value": "false"
},
{
"key_name": "force",
"key_message": "",
"key_value": "{\"from\": \"00:00\", \"to\": \"00:00\",\"gap\": \"00:00\"}"
}
],
// "check": [
// {
// "key_name": "cycle",
// "key_message": "",
// "key_value": "1500"
// }
// ]
}
};
// 获取当前日期，并格式化为 HTTP 头所需的格式
const getFormattedDate = () => {
const now = new Date();
return now.toUTCString(); // 转换为 UTC 格式
};
// 创建 HTTP 服务器
const server = http.createServer((req, res) => {
console.log(`${req.method} request for ${req.url} at ${new Date().toISOString()}`);
if (req.method === 'GET' && req.url === '/product/1708583443/b1be8c8c394409d9/ota/checkVersion') {
// 设置自定义头部
res.writeHead(200, {
'Server': 'nginx/1.20.1',
'Content-Type': 'application/json;charset=UTF-8',
'Date': getFormattedDate(), // 使用当前日期
'Transfer-Encoding': 'chunked',
'Connection': 'close'
});
// 发送 JSON 数据
res.write(JSON.stringify({
status: 1000,
msg: 'success',
data: JsonData
}));
res.end(); // 结束响应
} else if (req.method === 'POST' && req.url === '/product/1708583443/b1be8c8c394409d9/ota/checkVersion') {
// 设置自定义头部
res.writeHead(200, {
'Server': 'nginx/1.20.1',
'Content-Type': 'application/json;charset=UTF-8',
'Date': getFormattedDate(), // 使用当前日期
'Transfer-Encoding': 'chunked',
'Connection': 'close'
});
// 发送 JSON 数据
res.write(JSON.stringify({
status: 1000,
msg: 'success',
data: JsonData
}));
res.end(); // 结束响应
}
else {
if (req.method === 'POST') {
let body = ''; // 用于存储请求体的内容
// 监听 data 事件，逐步接收数据
req.on('data', chunk => {
body += chunk.toString(); // 将数据块转换为字符串并拼接
});
// 监听 end 事件，处理完整请求体
req.on('end', () => {
console.log('Received body:', body); // 打印接收到的文本
});
}
// 处理其他请求
// 设置自定义头部
res.writeHead(200, {
'Server': 'nginx/1.20.1',
'Content-Type': 'application/json;charset=UTF-8',
'Date': getFormattedDate(), // 使用当前日期
'Transfer-Encoding': 'chunked',
'Connection': 'close'
});
res.write(JSON.stringify({
status: 1000,
msg: 'success',
data: null
}));
res.end();
}
});
// 启动服务器
server.listen(port, () => {
console.log(`Server is running at http://localhost:${port}`);
});这里还有可以直接生成所需字符串的分段 md5 计算程序: import sys
import hashlib
import json
data = "[{\"num\":0,\"startpos\":0,\"md5\":\"431942e60e10bec58b391011551b35e7\",\"endpos\":52428800},{\"num\":1,\"startpos\":52428800,\"md5\":\"684496532ad9297505540d993a8f915e\",\"endpos\":104857600},{\"num\":2,\"startpos\":104857600,\"md5\":\"6d48da4f4c2061359a96bcc4f9205ecf\",\"endpos\":157286400},{\"num\":3,\"startpos\":157286400,\"md5\":\"d84d0ff0e09965fa955cfbf4daf8c79f\",\"endpos\":209715200},{\"num\":4,\"startpos\":209715200,\"md5\":\"de209fa6544e8330407f1b09478b8720\",\"endpos\":262144000},{\"num\":5,\"startpos\":262144000,\"md5\":\"d689a6b27a28cee199a4ac3bcb31ebd5\",\"endpos\":314572800},{\"num\":6,\"startpos\":314572800,\"md5\":\"457ff0d7ee31da83d0612d22f11a994d\",\"endpos\":367001600},{\"num\":7,\"startpos\":367001600,\"md5\":\"64d52bafee9eb870e72b9de334d8ce8b\",\"endpos\":419430400},{\"num\":8,\"startpos\":419430400,\"md5\":\"7a099536fccf4725caa42efef06853d8\",\"endpos\":471859200},{\"num\":9,\"startpos\":471859200,\"md5\":\"87ed2b247f84b4ab17d78a0fea25bbda\",\"endpos\":524288000},{\"num\":10,\"startpos\":524288000,\"md5\":\"10a030701b749e58734b5f05dd5ebaa8\",\"endpos\":576716800},{\"num\":11,\"startpos\":576716800,\"md5\":\"217ebe79e59d135369471c90d06390e4\",\"endpos\":629145600},{\"num\":12,\"startpos\":629145600,\"md5\":\"cd363d3fd605fd7b6e79139c2e27999b\",\"endpos\":681574400},{\"num\":13,\"startpos\":681574400,\"md5\":\"584eb8c60df2950dbef8264ce0b0dced\",\"endpos\":734003200},{\"num\":14,\"startpos\":734003200,\"md5\":\"9104f0113147f89375718dec80ae453d\",\"endpos\":786432000},{\"num\":15,\"startpos\":786432000,\"md5\":\"35c8d474218063c50b4a1ff4e6cccbee\",\"endpos\":787582988}]"
parsed_data = json.loads(data)
def calculate_md5(file_path, start, end):
hasher = hashlib.md5()
with open(file_path, 'rb') as f:
f.seek(start)
while start < end:
buffer = f.read(min(1024 * 1024, end - start)) # 每次读取1MB，避免内存占用过高
if not buffer:
break
hasher.update(buffer)
start += len(buffer)
return hasher.hexdigest()
def main():
if len(sys.argv) != 2:
print("Usage: ./md5_splitter.py <file_path>")
sys.exit(1)
file_path = sys.argv[1]
segment_sizes = [52428800, 104857600, 157286400, 209715200, 262144000, 314572800, 367001600, 419430400, 471859200, 524288000, 576716800, 629145600, 681574400, 734003200, 786432000]
segment_md5s = []
start = 0
for end in segment_sizes:
md5_value = calculate_md5(file_path, start, end)
segment_md5s.append(md5_value)
start = end
# 输出14个MD5值
for i, md5 in enumerate(segment_md5s, 1):
print(f"Segment {i}: {md5}")
parsed_data[i-1]['md5'] = md5
print(json.dumps(parsed_data))
if __name__ == "__main__":
main() |
Beta Was this translation helpful? Give feedback.
-
|
好，有空的时候我会更新教程，感谢 |
Beta Was this translation helpful? Give feedback.
-
|
可不可以通过拦截下载词典笔内的软件的链接把其他软件下载进去（我意思是比如下载写作指导它会从网络上获取链接，这时对其进行抓包然后把其他软件的下载链接伪装成写作指导的链接让它下载） |
Beta Was this translation helpful? Give feedback.
-
|
没用的，我抓了包，基本除了更新和背单词获取词书，其它走的都是https |
Beta Was this translation helpful? Give feedback.
-
|
改了md5升级成功还是显示incorrect的可以看看我这个教程 里面详细提到了部分固件存在的换行符问题导致md5出现偏差 |
Beta Was this translation helpful? Give feedback.
-
|
解包没有adb_auth.sh,只有如下文件 |
Beta Was this translation helpful? Give feedback.
-
|
你们不会加群吗 |
Beta Was this translation helpful? Give feedback.
-
666你把GitHub Discussions当什么了 来自 GitHub 社区行为准则 :GitHub 社区由 GitHub Discussions 提供支持，旨在成为推动协作、支持和集思广益的地方。 这是一个文明荟萃之地，在这里，您可以与其他用户联系、学习新技能、分享反馈和想法、寻找您的 GitHub 项目所需的所有支持。 参与 GitHub 社区，即表示您同意遵守适用于 GitHub.com 的服务条款以及 GitHub 可接受使用政策以及本 GitHub 社区特定的行为准则。 井然有序。 尽可能做到物归其位，以便我们减少整理时间，将更多的时间花在讨论上。 因此：
来自GitHub 可接受使用政策：我们不允许 GitHub 上出现以下内容或发生以下活动：
来自在 GitHub 上扰乱其他用户的体验：成为社区的一部分包括认识到您的行为如何影响他人，并与他人及其依赖的平台进行有意义和富有成效的互动。 我们不允许严重或持续破坏其他用户之体验的行为。 其中包括：
虽然我们鼓励维护人员根据个别情况调整自己的项目，但 GitHub 员工可能会对从事此类行为的帐户采取进一步的限制措施。 来自GitHub 上的垃圾信息和假活动：我们不允许 GitHub 上出现以下内容或发生以下活动：
|
Beta Was this translation helpful? Give feedback.
-
同意，我不明白到处起号加群的意义是什么，但我也没权限删，要不就此close discussion吧 |
Beta Was this translation helpful? Give feedback.
-
收到我已删除，但我已经告诉了解包方法，可以使用DNA或挂载得到adb_auth.sh为了方便我只能邀请他入群（其实已经有一键工具了），另外如果你不愿意入群我也不强求 |
Beta Was this translation helpful? Give feedback.
-
|
penuniversal和posc是两个不同的社区，且目前posc没有稳定的人员管理，引流是为了增强社区的早期力量，在社区稳定后当然考虑迁移到论坛/disscussion。 |
Beta Was this translation helpful? Give feedback.
-
|
直接winhex打开，搜索以下内容：
```
echo "success."
```
搜索之后 _应该_ 只有一个结果，往前偏移一点，就是要找的密码md5（或sha256，需要结合具体情况判断）值。
替换仍然建议用 `sed -i` 。
|
Beta Was this translation helpful? Give feedback.
-
|
我用windows替换它的大小要改变 |
Beta Was this translation helpful? Give feedback.
-
|
至少我这台这台机的包不能这样抓 |
Beta Was this translation helpful? Give feedback.
-
忘说了，确实存在这种情况。 |
Beta Was this translation helpful? Give feedback.
-
在winhex中，请使用 修改完后绝大部分的md5sum不会改变，应该只有一个分片会改变。 |
Beta Was this translation helpful? Give feedback.
-
|
并且你们俩都没上传完图片就发出来了🤬 |
Beta Was this translation helpful? Give feedback.
-
Beta Was this translation helpful? Give feedback.
-
|
分享的123网盘的链接吗？那个已经被封了，我刚看了。 |
Beta Was this translation helpful? Give feedback.
-
|
麻烦发一下链接，好吗？谢谢。 |
Beta Was this translation helpful? Give feedback.
-
|
我已经在群里了，之前加过了 |
Beta Was this translation helpful? Give feedback.
-
|
大佬，我是x7 pro,获取不了完整的固件。 设备x7 pro,词典笔os 4.9.6 更新包可以使用rkdevtool解开，解包后如下： ├── Android
│ ├── boot.img #一个设备树，可以用TIK rom工具正常解包
│ ├── install.img #ext4文件系统的镜像，可以正常挂载，里面的文件似乎是用于更新的程序，包括hdiffpatch的可执行文件
│ ├── MiniLoaderAll.bin #rk3562的引导程序
│ ├── package-file
│ ├── parameter.txt
│ └── rootfs.img #这个文件并不是完整的固件，而是hdiffpatch的差异补丁，在不同版本的更新包中不同
├── boot.bin #与 MiniLoaderAll.bin完全相同
└── firmware.img #解包后与Android目录相同，推测是解包工具为方便使用创建的不同版本我成功获取到了rootfs.img但是它似乎不是完整的镜像文件，而是一个二进制差异补丁。文件以 我尝试过使用其它版本号进行请求，能够成功获取到的响应是从4.9.x更新至 4.9.6 ，它们的镜像下载后虽然不同，但都是二进制差异补丁。而4.8.x和4.7.x以及更早不是失败就是没有更新。 |
Beta Was this translation helpful? Give feedback.
-
|
抱歉，这几天没看github.我已经加群了 |
Beta Was this translation helpful? Give feedback.
-
|
如果是不同型号的词典笔或者遇到了下到一半卡住的情况，记得把YDPen.js中 |
Beta Was this translation helpful? Give feedback.
-
|
实测a7pro可用 |
Beta Was this translation helpful? Give feedback.
-
？ |
Beta Was this translation helpful? Give feedback.
-
加群不让进啊 |
Beta Was this translation helpful? Give feedback.
-
|
出于无用的信息过多等原因，我决定Close Discussion |
Beta Was this translation helpful? Give feedback.
Uh oh!
There was an error while loading. Please reload this page.
Uh oh!
There was an error while loading. Please reload this page.
-
本文将PenUniverse Github Discussion上
SkySight-666大佬的帖子进行了细化和补全，如果有建议和疑问，欢迎在下面留言！0. 前言
免责：使用本方法以及本方法获取的权限造成的一切后果，如远程施法、有道律师函、词典笔损坏、家长批评、第三次世界大战.. 与作者无关。
此教程仅针对有道词典笔S6，不同版本的词典笔操作可能完全不同，此教程可能不适用于其他词典笔。
到目前为止，获取到有道词典笔的ADB权限所能做的事情都很局限，因为有道的词典笔是
基于Linux的，SoC是rics-v架构的，甚至从3代开始，词典笔硬件迎来了史诗级削减，如：屏幕刷新率被砍，运行内存被砍到只剩300MB，这直接的导致了它没法安装任何Android应用，甚至完全可以说折腾它是没有任何实用意义的。为了上课摸鱼或者拿词典笔干一些别的同款笔干不到的事以在其他人面前装x的可以退出此教程了，跟着这个教程做完你会发现什么也干不了!!!此漏洞十分危险，无论你是否想要给词典笔提权，都请做到：不在陌生的网络环境更新系统、警惕莫名奇妙的系统更新、关闭更新包自动下载 , 以及不要利用此漏洞攻击别人的设备。
原理
通过抓包可以分析，有道的OTA更新使用的是不安全的HTTP，以及更新镜像的MD5是返回在POST请求中的。同时，通过逆向抓包下载到的全量固件，发现有道的词典笔OS并没有做必要的系统更新签名校验。故我们可以修改一个全量包，修改其中
adb_auth.sh中的 sha256 值来实现修改密码，再通过规则转发来让词典笔更新我们自己的镜像。实现
binwalk拆解全量包，得到原始adb密码的sha256值sed -i命令替换sha256值nodejs服务器，修改返回值iotapi.abupdate.com重定向到你的欺骗服务器使用工具：
1. 抓取系统包
1.1 抓取更新请求
电脑开启热点并
使用词典笔连接打开任务管理器，确定自己电脑网络热点的适配器名称（我这里是
本地连接* 10）打开
WireShark，找到刚才的适配器名称（我这里是本地连接* 10），单击选中后，点击窗口上方绿色小鲨鱼启动抓包在词典笔上搜索更新，等待
WireShark抓取更新请求，不出所料会有这么一条POST请求抓到后可以点击窗口上方红色小鲨鱼停止抓包
1.2 重新发送更新请求，获取全量包链接
找一个HTTP测试网站，这里我用的是SOJSON，将Header设置为
application/json;charset=UTF-8，将你在WireShark获得的数据填入，发送如下请求：JSON { "timestamp": "这里填你WireShark获得的timestamp", "sign": "这里填你WireShark获得的sign", "mid": "这里填你WireShark获得的mid", "productId": "这里填你WireShark获得的productID", "version": "99.99.90", "networkType": "WIFI" }不出意外的话，获取到的数据差不多应该是这样的
我这里使用的是
有道词典笔S6，其他版本的词典笔获取到的数据大概率会和这个不一样，但整体结构就差不多是这么个结构deltaUrl（Line 19）部分后面的链接复制到浏览器中打开，下载下来的就是全量包啦，如果下载不成功可以试试换成bakUrl（Line 17）中的链接2. 解包，修改adb密码
2.1 使用Binwalk解包
前言：某些版本听说binwalk没用，用DNA试试.
别问我，我没试过安装
binwalkLinux环境:
Windows环境:
python setup.py install解包，读取密码
cd到全量包的同一目录，使用Binwalk解包
解包后会获得一个文件夹
在文件夹路径
./_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx.img.extracted/ext-root-0/usr/bin/adb_auth.sh下有个adb_auth.sh文件，其内容是这样的（其他版本的词典笔内容可能有所不同）：那么可以很容易的注意到这个bash文件的作用是在adb连接的时候校验密码，而密码的校验方式竟然是读取文件的倒数第一行的sha256值并与输入值的sha256进行匹配...
原理知道了，那么想要修改密码就不难了
2.2 使用sed -i 修改密码
安装
sedLinux环境:
Windows环境:
sed-x.x.x-setup.exe，然后安装C:\Program Files (x86)\GnuWin32\bin，没兴趣的也可以后续命令全部带绝对路径执行浏览器找一个
SHA256加密工具，我用的是SHA256 在线加密工具，要加密的数据输入你想要替换的密码，我拿1145141919810举例，得到的加密结果则为b7ab30a912521ac36e433a5cfc8b5c1037884487af45ae5311ced235ee77faef记录原全量包大小，精确到
字节（后面有用）用
sed -i替换全量包中指定的字符串大小一致3. 让词典笔更新修改密码后的全量包
现在已知词典笔检查更新是通过发送一条
POST请求，随后冈易服务器返回是否有更新.那么想要让词典笔更新
修改密码后的全量包，我们可以通过伪造一个冈易更新服务器来实现.观察可以发现，冈易返回的数据大概有以下几个重要元素：
status用于告诉词典笔是否有更新（2101为无更新，1000为有更新，5000为出现错误）releaseNotes用于告诉词典笔更新说明version下为更新包的下载接口（deltaUrl和bakUrl）和校验数据（segmentMd5为文件分段MD5，md5sum为文件总MD5）那么我们只需要修改这些关键数据后重新发送给词典笔就好了
3.1 计算修改后全量包的MD5
md5_splitter.pysegment_sizes中的数值修改为你自己的冈易更新请求里"segmentMd5"那一块每一个"endpos"的数值启动Python程序
python ./md5_splitter.py ./xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx.img # 输出如下 Segment 1: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 2: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 3: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 4: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 5: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 6: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 7: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 8: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 9: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 10: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 11: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 12: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 13: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Segment 14: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx记录所有
Segment数据，待会要用计算修改后全量包的总MD5
记录输出的
MD5值，待会要用3.2 创建一个更新文件直链
HTTP_Server.pypython ./HTTP_Server.py ./xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx.img # 输出如下 文件直链： http://xxx.xxx.xxx.xxx:14514/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx.img 按 Ctrl+C 停止服务器3.3 创建一个欺骗服务器
YDPen.jssegmentMd5，bakUrl，deltaUrl，md5sum的值。segmentMd5中修改startpos和endpos的值为你从冈易官方服务器获取到的值。md5值修改为之前用脚本分段计算的MD5值bakUrl和deltaUrl修改为3.3创建的文件直链md5sum修改为3.1计算的完整md5req.url修改为你抓到的词典笔获取更新的链接后缀3.4 让词典笔从你的欺骗服务器安装更新
4. 尝试用修改后的adb密码连接词典笔
4.1 配置Adb环境
4.2 使用Adb连接词典笔
正常应该会有弹窗提示
ADB调试已打开adb listdevices查找设备正常应该是这样的
如果不是长这个样可以尝试
重新打开adb，重新将词典笔连接电脑或重新安装Android SDK解决终端输入
adb shell，提示要求输入密码，输入完你修改后的密码后回车，再次输入adb shell即可进入ADB Shell至此，已经获取到词典笔的ADB权限。
疑难杂症
A: 尝试换一个http服务脚本解决
文章正在施工中，如果发现教程不完整，那么你先别急，等等会有的（咕咕咕咕咕
Beta Was this translation helpful? Give feedback.
All reactions