{"id":356,"date":"2025-05-14T20:49:16","date_gmt":"2025-05-14T20:49:16","guid":{"rendered":"https:\/\/tolva.fr\/?p=356"},"modified":"2025-05-14T20:49:16","modified_gmt":"2025-05-14T20:49:16","slug":"comment-magisk-modifie-init_boot-img","status":"publish","type":"post","link":"https:\/\/tolva.fr\/index.php\/2025\/05\/14\/comment-magisk-modifie-init_boot-img\/","title":{"rendered":"Comment Magisk modifie init_boot.img ?"},"content":{"rendered":"\n

Dans les articles pr\u00e9c\u00e9dents, nous avons vu comment utiliser Magisk, explor\u00e9 le contenu d’une mise \u00e0 jour Android puis l’on s’est fait une id\u00e9e de la d\u00e9marche suivie par Magisk pour fournir des droits root<\/em> \u00e0 une application arbitraire.<\/p>\n\n\n\n

On sait que rooter un t\u00e9l\u00e9phone avec Magisk implique une modification d’une partition (init_boot<\/code> dans notre cas).<\/p>\n\n\n\n

Mais comment l’application Magisk r\u00e9alise-t-elle ces modifications ?<\/p>\n\n\n\n

Modification de l’init_boot.img<\/code> par Magisk<\/strong><\/h4>\n\n\n\n

Lorsque l’on patche l’image init_boot.img<\/code> avec Magisk, les messages suivants sont affich\u00e9s :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Partons de ces messages pour d\u00e9bobiner la pelote de laine.<\/p>\n\n\n\n

Les deux seules occurrences du message \u00ab\u00a0Unpacking boot image\u00a0\u00bb se trouvent dans les scripts boot_patch.sh et uninstaller.sh.<\/p>\n\n\n\n

Ce dernier ne contient toutefois pas le message \u00ab\u00a0Repacking boot image\u00a0\u00bb, contrairement \u00e0 boot_patch.sh, si bien que c’est le script boot_patch.sh qui va nous int\u00e9resser.<\/p>\n\n\n\n

Notons que ce script commence par un commentaire r\u00e9capitulant les r\u00f4les des diff\u00e9rents utilitaires Magisk, ce qui est tout \u00e0 fait appr\u00e9ciable :<\/p>\n\n\n\n

# File name          Type      Description\n#\n# boot_patch.sh      script    A script to patch boot image for Magisk.\n#                  (this file) The script will use files in its same\n#                              directory to complete the patching process.\n# util_functions.sh  script    A script which hosts all functions required\n#                              for this script to work properly.\n# magiskinit         binary    The binary to replace \/init.\n# magisk             binary    The magisk binary.\n# magiskboot         binary    A tool to manipulate boot images.\n# init-ld            binary    The library that will be LD_PRELOAD of \/init\n# stub.apk           binary    The stub Magisk app to embed into ramdisk.\n# chromeos           folder    This folder includes the utility and keys to sign\n#                  (optional)  chromeos boot images. Only used for Pixel C.<\/code><\/pre>\n\n\n\n
Notons d’abord que le premier argument, $1<\/code>, est le chemin du fichier \u00e0 patcher :<\/p>\n\n\n\n
BOOTIMAGE=\"$1\"\n[ -e \"$BOOTIMAGE\" ] || abort \"$BOOTIMAGE does not exist!\"<\/code><\/pre>\n\n\n\n
On unpack ensuite le bootimage avec magiskboot<\/code> :<\/p>\n\n\n\n
#########\n# Unpack\n#########\n\nCHROMEOS=false\n\nui_print \"- Unpacking boot image\"\n.\/magiskboot unpack \"$BOOTIMAGE\"<\/code><\/pre>\n\n\n\n
Le commentaire ci-dessus nous dit que magiskboot<\/code> est un \u00ab\u00a0tool to manipulate boot images\u00a0\u00bb. Mais encore ?<\/p>\n\n\n\n
Regardons le help<\/code> de magiskboot<\/code> pour avoir des pr\u00e9cisions. Le texte pondu par magiskboot help<\/code> \u00e9tant assez long, nous ne retiendrons que la liste des commandes propos\u00e9es :<\/p>\n\n\n\n
    \n
  • unpack bootimg<\/code> : extrait les diff\u00e9rents composant du fichier bootimg<\/code><\/li>\n\n\n\n
  • repack origbootimg outbootimg<\/code> : recr\u00e9\u00e9 un fichier outbootimg<\/code> \u00e0 partir des \u00e9l\u00e9ments de origbootimg<\/code><\/li>\n\n\n\n
  • verify bootimg<\/code> : v\u00e9rifie la signature de bootimg<\/code>, retourne 0 (succ\u00e8s) ou 1 (\u00e9chec)<\/li>\n\n\n\n
  • sign bootimg<\/code> : signe bootimg<\/code><\/li>\n\n\n\n
  • extract payload.bin partition outfile<\/code> : extrait la partition partition<\/code> du fichier payload.bin<\/code>, dans le fichier outfile<\/code><\/li>\n\n\n\n
  • hexpatch file hexpattern1 hexpattern2<\/code> : recherche le motif hexpattern1<\/code> dans file<\/code> et le remplace par hexpattern2<\/code><\/li>\n\n\n\n
  • cpio incpio commands<\/code> : ex\u00e9cute la sequence de commandes cpio commands<\/code> sur le fichier incpio<\/code><\/li>\n\n\n\n
  • dtb file action<\/code> : r\u00e9alise des actions en lien avec le dtb, ie le device tree blob<\/em><\/li>\n\n\n\n
  • split file<\/code> : splitte un fichier .dtb<\/li>\n\n\n\n
  • compress=format infile outfile<\/code> : compresse un fichier<\/li>\n\n\n\n
  • decompress infil outfile<\/code> : d\u00e9compresse un fichier<\/li>\n<\/ul>\n\n\n\n
    La commande magiskboot unpack \"$BOOTIMAGE\"<\/code> r\u00e9alise donc l’extraction de l’init_boot.img<\/code>\u2026comme le commentaire le laissait penser.<\/p>\n\n\n\n
    Que ce passe-t-il dans la suite du script ?<\/p>\n\n\n\n
    Si un fichier ramdisk.cpio<\/code> est pr\u00e9sent, le script teste sa d\u00e9compression avec magiskboot cpio ramdisk.cpio test<\/code> :<\/p>\n\n\n\n
    ###################\n# Ramdisk Restores\n###################\n\n# Test patch status and do restore\nui_print \"- Checking ramdisk status\"\nif [ -e ramdisk.cpio ]; then\n  .\/magiskboot cpio ramdisk.cpio test\n  STATUS=$?\n  SKIP_BACKUP=\"\"\nelse\n  # Stock A only legacy SAR, or some Android 13 GKIs\n  STATUS=0\n  SKIP_BACKUP=\"#\"\nfi<\/code><\/pre>\n\n\n\n
    La valeur de retour de cette commande est soit 0 (cas nominal), soit 1 (ramdisk.cpio patch\u00e9 avec Magisk), soit 2 (format non support\u00e9), soit 4 (ramdisk.cpio Sony).<\/p>\n\n\n\n
    Dans le cas normal, l’init_boot.img<\/code> est copi\u00e9 dans stock_boot.img<\/code> et le ramdisk.cpio<\/code> est copi\u00e9 dans ramdisk.cpio.orig<\/code>.<\/p>\n\n\n\n
    case $STATUS in\n  0 )\n    # Stock boot\n    ui_print \"- Stock boot image detected\"\n    SHA1=$(.\/magiskboot sha1 \"$BOOTIMAGE\" 2>\/dev\/null)\n    cat $BOOTIMAGE > stock_boot.img\n    cp -af ramdisk.cpio ramdisk.cpio.orig 2>\/dev\/null\n    ;;<\/code><\/pre>\n\n\n\n
    le cas d’un ramdisk.cpio patch\u00e9 avec Magisk, est g\u00e9r\u00e9 diff\u00e9remment :<\/p>\n\n\n\n
      1 )\n    # Magisk patched\n    ui_print \"- Magisk patched boot image detected\"\n    .\/magiskboot cpio ramdisk.cpio \\\n    \"extract .backup\/.magisk config.orig\" \\\n    \"restore\"\n    cp -af ramdisk.cpio ramdisk.cpio.orig\n    rm -f stock_boot.img\n    ;;<\/code><\/pre>\n\n\n\n
    enfin en cas d’echec l’ex\u00e9cution s’arr\u00eate :<\/p>\n\n\n\n
      2 )\n    # Unsupported\n    ui_print \"! Boot image patched by unsupported programs\"\n    abort \"! Please restore back to stock boot image\"\n    ;;\nesac<\/code><\/pre>\n\n\n\n
    Durant l’\u00e9tape suivante, le script compresse les fichiers magisk<\/code>, stub.apk<\/code> et init-ld<\/code> :<\/p>\n\n\n\n
    #################\n# Ramdisk Patches\n##################\n\nui_print \"- Patching ramdisk\"\n\n$BOOTMODE && [ -z \"$PREINITDEVICE\" ] && PREINITDEVICE=$(.\/magisk --preinit-device)\n\n# Compress to save precious ramdisk space\n.\/magiskboot compress=xz magisk magisk.xz\n.\/magiskboot compress=xz stub.apk stub.xz\n.\/magiskboot compress=xz init-ld init-ld.xz<\/code><\/pre>\n\n\n\n
    Un fichier config<\/code> contenant divers \u00e9l\u00e9ments de configuration est cr\u00e9\u00e9 :<\/p>\n\n\n\n
    echo \"KEEPVERITY=$KEEPVERITY\" > config\necho \"KEEPFORCEENCRYPT=$KEEPFORCEENCRYPT\" >> config\necho \"RECOVERYMODE=$RECOVERYMODE\" >> config\nif [ -n \"$PREINITDEVICE\" ]; then\n  ui_print \"- Pre-init storage partition: $PREINITDEVICE\"\n  echo \"PREINITDEVICE=$PREINITDEVICE\" >> config\nfi\n[ -n \"$SHA1\" ] && echo \"SHA1=$SHA1\" >> config<\/code><\/pre>\n\n\n\n
    Ensuite, le ramdisk.cpio<\/code> est patch\u00e9 :<\/p>\n\n\n\n
    .\/magiskboot cpio ramdisk.cpio \\\n\"add 0750 init magiskinit\" \\\n\"mkdir 0750 overlay.d\" \\\n\"mkdir 0750 overlay.d\/sbin\" \\\n\"add 0644 overlay.d\/sbin\/magisk.xz magisk.xz\" \\\n\"add 0644 overlay.d\/sbin\/stub.xz stub.xz\" \\\n\"add 0644 overlay.d\/sbin\/init-ld.xz init-ld.xz\" \\\n\"patch\" \\\n\"$SKIP_BACKUP backup ramdisk.cpio.orig\" \\\n\"mkdir 000 .backup\" \\\n\"add 000 .backup\/.magisk config\" \\\n|| abort \"! Unable to patch ramdisk\"\n\nrm -f ramdisk.cpio.orig config *.xz<\/code><\/pre>\n\n\n\n
    Dans l’\u00e9tape suivante, fstab est patch\u00e9 :<\/p>\n\n\n\n
    #################\n# Binary Patches\n#################\n\nfor dt in dtb kernel_dtb extra; do\n  if [ -f $dt ]; then\n    if ! .\/magiskboot dtb $dt test; then\n      ui_print \"! Boot image $dt was patched by old (unsupported) Magisk\"\n      abort \"! Please try again with *unpatched* boot image\"\n    fi\n    if .\/magiskboot dtb $dt patch; then\n      ui_print \"- Patch fstab in boot image $dt\"\n    fi\n  fi\ndone<\/code><\/pre>\n\n\n\n
    Lorsqu’un noyau est pr\u00e9sent dans le fichier fourni (ce qui n’est pas le cas avec un init_boot.img<\/code>), celui-ci est patch\u00e9 si n\u00e9cessaire :<\/p>\n\n\n\n
    if [ -f kernel ]; then\n  PATCHEDKERNEL=false\n  # Remove Samsung RKP\n  .\/magiskboot hexpatch kernel \\\n  49010054011440B93FA00F71E9000054010840B93FA00F7189000054001840B91FA00F7188010054 \\\n  A1020054011440B93FA00F7140020054010840B93FA00F71E0010054001840B91FA00F7181010054 \\\n  && PATCHEDKERNEL=true\n\n  # Remove Samsung defex\n  # Before: [mov w2, #-221]   (-__NR_execve)\n  # After:  [mov w2, #-32768]\n  .\/magiskboot hexpatch kernel 821B8012 E2FF8F12 && PATCHEDKERNEL=true\n\n  # Disable Samsung PROCA\n  # proca_config -> proca_magisk\n  .\/magiskboot hexpatch kernel \\\n  70726F63615F636F6E66696700 \\\n  70726F63615F6D616769736B00 \\\n  && PATCHEDKERNEL=true\n\n  # Force kernel to load rootfs for legacy SAR devices\n  # skip_initramfs -> want_initramfs\n  $LEGACYSAR && .\/magiskboot hexpatch kernel \\\n  736B69705F696E697472616D667300 \\\n  77616E745F696E697472616D667300 \\\n  && PATCHEDKERNEL=true\n\n  # If the kernel doesn't need to be patched at all,\n  # keep raw kernel to avoid bootloops on some weird devices\n  $PATCHEDKERNEL || rm -f kernel\nfi<\/code><\/pre>\n\n\n\n
    Enfin l’init_boot.img<\/code> est reconstruit avec le ramdisk modifi\u00e9 :<\/p>\n\n\n\n
    #################\n# Repack & Flash\n#################\n\nui_print \"- Repacking boot image\"\n.\/magiskboot repack \"$BOOTIMAGE\" || abort \"! Unable to repack boot image\"\n\n# Sign chromeos boot\n$CHROMEOS && sign_chromeos\n\n# Restore the original boot partition path\n[ -e \"$BOOTNAND\" ] && BOOTIMAGE=\"$BOOTNAND\"\n\n# Reset any error code\ntrue<\/code><\/pre>\n\n\n\n
    Conclusions<\/strong><\/h4>\n\n\n\n
    Le script boot_patch.sh lanc\u00e9 par l’application Magisk modifie l’init_boot.img :<\/p>\n\n\n\n
      \n
    • Ajout de l’init sauce Magisk<\/li>\n\n\n\n
    • Ajout d’un r\u00e9pertoire overlay.d contenant notamment magisk.xz, stub.xz<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
      Dans les articles pr\u00e9c\u00e9dents, nous avons vu comment utiliser Magisk, explor\u00e9 le contenu d’une mise \u00e0 jour Android puis l’on s’est fait une id\u00e9e de la d\u00e9marche suivie par Magisk pour fournir des droits root \u00e0 une application arbitraire. On sait que rooter un t\u00e9l\u00e9phone avec Magisk implique une modification d’une partition (init_boot dans notre […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-356","post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/posts\/356","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/comments?post=356"}],"version-history":[{"count":1,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/posts\/356\/revisions"}],"predecessor-version":[{"id":358,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/posts\/356\/revisions\/358"}],"wp:attachment":[{"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/media?parent=356"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/categories?post=356"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/tolva.fr\/index.php\/wp-json\/wp\/v2\/tags?post=356"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}