一加 Ace 6T 免深度測試秒解 Bootloader、偽回鎖與永久 Root 實錄

💡 方案特性總結#

• 免深度測試秒解 BL：不走官方排隊審核，利用漏洞臨時提權寫入紫標 ABL 與 GBL efisp，透過 superfastboot 直接達成 unlocked: yes。
• 偽回鎖綠標狀態：系統底層回報 ro.boot.vbmeta.device_state=locked 與 ro.boot.verifiedbootstate=green，開機無 Orange State 解鎖黃字警告，能無痛通過依賴 BL 狀態的各類環境檢測。
• 一氣呵成永久 Root：在解鎖清數據的同一趟引導流程中刷入修補好的 init_boot，開機即完成 SukiSU 永久 Root。

🧩 整體原理：四個關鍵環節#

整個方案由四個環節組成：

🔓 第一步：利用內核漏洞臨時提權（越獄）#

未解鎖狀態下無法從 Fastboot 刷入未簽名分區，因此第一步需在系統內臨時取得 Root：

• ColorOS 16（16.0.10.500）： 安裝 GhostLock_1.2.apk 與 KernelSU_v3.3.1.apk，匯入 offsets-6.12.38-... 符號偏移配置，利用 CVE-2026-43499-S26 內核漏洞取得臨時 Root 權限。
• ColorOS 17（待測）： 提權工具可改用 Shark-v2.0.apk。

提權後開啟 KernelSU，在超級用戶中將 Shell 勾選授權，確保 adb shell 具備 su 執行能力。

📦 第二步：提取備份與預先修補 init_boot#

解鎖 BL 會強制清空 userdata，因此必須先將永久 Root 鏡像修補好並拉回電腦：

1
adb shell "su -c '
2
  dd if=/dev/block/by-name/abl_a of=/data/local/tmp/orig_abl_a.img &&
3
  dd if=/dev/block/by-name/abl_b of=/data/local/tmp/orig_abl_b.img &&
4
  dd if=/dev/block/by-name/efisp of=/data/local/tmp/orig_efisp.img &&
5
  dd if=/dev/block/by-name/recovery_a of=/data/local/tmp/stock_recovery_a.img &&
6
  dd if=/dev/block/by-name/init_boot_a of=/sdcard/Download/init_boot.img &&
7
  chmod 644 /data/local/tmp/*.img
8
'"
9

10
adb pull /data/local/tmp/orig_abl_a.img ./
11
adb pull /data/local/tmp/orig_efisp.img ./
12
adb pull /data/local/tmp/stock_recovery_a.img ./
13
adb pull /sdcard/Download/init_boot.img ./init_boot_stock.img

1
adb pull /sdcard/Download/kernelsu_patched_*.img ./init_boot_sukisu_patched.img

🛠️ 第三步：刷入工程 abl.img 與 GBL efisp.img#

• 工程紫標 abl.img：帶有高通 OPLUS SM8845 Attestation 合法硬體簽名，可安全通過 Secure Boot，並支援引導 efisp 中的 GBL 模組。
• GBL 引導模組 efisp.img：基於 EDK2 / GBL 編譯，開機攔截按鍵提供 superfastboot（序號 0000000000000000），並在引導系統時注入偽回鎖參數（device_state=locked / verifiedbootstate=green）。

1
adb push abl.img /data/local/tmp/abl.img
2
adb push efisp.img /data/local/tmp/efisp.img
3

4
adb shell "su -c '
5
  dd if=/data/local/tmp/abl.img of=/dev/block/by-name/abl_a &&
6
  dd if=/data/local/tmp/abl.img of=/dev/block/by-name/abl_b &&
7
  dd if=/data/local/tmp/efisp.img of=/dev/block/by-name/efisp &&
8
  sync
9
'"

⚠️ 第四步：關鍵避坑——按「音量下」秒解 BL#

其實開機時螢幕上就清清楚楚寫著這幾行字（根本不用刻意去逆向字串表）：

1
Press Volume Down key to enter Fastboot mode
2
Press Volume Up key to enter Normal mode
3
boot confirmation is blocked before unlocking

換句話說，引導模組的邏輯非常直白：

• 音量下（Volume Down）：進入 superfastboot。
• 音量上（Volume Up）：跳過並嘗試一般開機。但在未完成解鎖前按音量上會觸發防護直接掉入 900E！很多人習慣性按音量上進 Fastboot，結果一按就黑屏掉進 900E。

📦 附加內容：一加 Ace 6T 專用魔改版 TWRP Recovery#

為方便維護與刷入模組，我們基於社群底包（鳴謝 @colorospro/1724 / color597）對閉源 TWRP 進行了二次客製化：

• 版本自訂：界面與屬性更新為 3.7.1_16-Macan_NkBe918-V1.3。
• 標識重構：將設備顯示名重定義為標準 ro.product.model.display=OnePlus Ace 6T。
• 管理器注入：保留 Magisk-v30.7.zip，剔除舊版 Kitsune，全新注入 SukiSU-v4.3.0-r2.zip（內建自動適配插槽與自動執行 ksud boot-patch 修補 init_boot 的專用 update-binary）。

💾 資源整合包與網盤下載#

已將解鎖所需的全套工程引導、GBL 模組、臨時提權工具、SukiSU、專用魔改版 TWRP、原廠 16.0.10.500 恢復鏡像及內建推薦工具（含最新正式版 Shizuku）打包整合。提供以下載點供按需取用：

1
OnePlus_Ace6T_BL_Unlock_Root_Pack/
2
├── 1_Privilege_Escalation/       # 臨時提權 (GhostLock 1.2, KernelSU, 6.12.38 內核偏移)
3
├── 2_Fastboot_Unlock_Files/       # 解鎖關鍵 (高通簽名 abl.img, superfastboot efisp.img)
4
├── 3_Root_Managers/               # Root 管理器 (SukiSU v4.3.0-r2)
5
├── 4_TWRP_Recovery/               # TWRP-16-OPAce6T-NkBe918-V1.3.img & stock_recovery_16.0.10.500.img
6
├── 5_Flash_Scripts/               # 刷入與還原輔助腳本
7
└── 7_Recommended_Tools/           # 內建推薦工具 (含 Shizuku v13.6.2 正式版)