一加 Ace 6T 免深度测试秒解 Bootloader、伪回锁与永久 Root 实录

💡 方案特性总结#

• 免深度测试秒解 BL：不走官方排队审核，利用漏洞临时提权写入紫标 ABL 与 GBL efisp，透过 superfastboot 直接达成 unlocked: yes。
• 伪回锁绿标状态：系统底层回报 ro.boot.vbmeta.device_state=locked 与 ro.boot.verifiedbootstate=green，开机无 Orange State 解锁黄字警告，能无痛通过依赖 BL 状态的各类环境检测。
• 一气呵成永久 Root：在解锁清数据的同一趟引导流程中刷入修补好的 init_boot，开机即完成 SukiSU 永久 Root。

🧩 整体原理：四个关键环节#

整个方案由四个环节组成：

🔓 第一步：利用内核漏洞临时提权（越狱）#

未解锁状态下无法从 Fastboot 刷入未签名分区，因此第一步需在系统内临时取得 Root：

• ColorOS 16（16.0.10.500）： 安装 GhostLock_1.2.apk 与 KernelSU_v3.3.1.apk，导入 offsets-6.12.38-... 符号偏移配置，利用 CVE-2026-43499-S26 内核漏洞取得临时 Root 权限。
• ColorOS 17（待测）： 提权工具可改用 Shark-v2.0.apk。

提权后打开 KernelSU，在超级用户中将 Shell 勾选授权，确保 adb shell 具备 su 运行能力。

📦 第二步：提取备份与预先修补 init_boot#

解锁 BL 会强制清空 userdata，因此必须先将永久 Root 镜像修补好并拉回电脑：

1
adb shell "su -c '
2
  dd if=/dev/block/by-name/abl_a of=/data/local/tmp/orig_abl_a.img &&
3
  dd if=/dev/block/by-name/abl_b of=/data/local/tmp/orig_abl_b.img &&
4
  dd if=/dev/block/by-name/efisp of=/data/local/tmp/orig_efisp.img &&
5
  dd if=/dev/block/by-name/recovery_a of=/data/local/tmp/stock_recovery_a.img &&
6
  dd if=/dev/block/by-name/init_boot_a of=/sdcard/Download/init_boot.img &&
7
  chmod 644 /data/local/tmp/*.img
8
'"
9

10
adb pull /data/local/tmp/orig_abl_a.img ./
11
adb pull /data/local/tmp/orig_efisp.img ./
12
adb pull /data/local/tmp/stock_recovery_a.img ./
13
adb pull /sdcard/Download/init_boot.img ./init_boot_stock.img

1
adb pull /sdcard/Download/kernelsu_patched_*.img ./init_boot_sukisu_patched.img

🛠️ 第三步：刷入工程 abl.img 与 GBL efisp.img#

• 工程紫标 abl.img：带有高通 OPLUS SM8845 Attestation 合法硬件签名，可安全通过 Secure Boot，并支持引导 efisp 中的 GBL 模块。
• GBL 引导模块 efisp.img：基于 EDK2 / GBL 编译，开机拦截按键提供 superfastboot（序号 0000000000000000），并在引导系统时注入伪回锁参数（device_state=locked / verifiedbootstate=green）。

1
adb push abl.img /data/local/tmp/abl.img
2
adb push efisp.img /data/local/tmp/efisp.img
3

4
adb shell "su -c '
5
  dd if=/data/local/tmp/abl.img of=/dev/block/by-name/abl_a &&
6
  dd if=/data/local/tmp/abl.img of=/dev/block/by-name/abl_b &&
7
  dd if=/data/local/tmp/efisp.img of=/dev/block/by-name/efisp &&
8
  sync
9
'"

⚠️ 第四步：关键避坑——按「音量下」秒解 BL#

其实开机时屏幕上就清清楚楚写着这几行字（根本不用刻意去逆向字符串表）：

1
Press Volume Down key to enter Fastboot mode
2
Press Volume Up key to enter Normal mode
3
boot confirmation is blocked before unlocking

换句话说，引导模块的逻辑非常直白：

• 音量下（Volume Down）：进入 superfastboot。
• 音量上（Volume Up）：跳过并尝试一般开机。但在未完成解锁前按音量上会触发防护直接掉入 900E！很多人习惯性按音量上进 Fastboot，结果一按就黑屏掉进 900E。

📦 附加内容：一加 Ace 6T 专用魔改版 TWRP Recovery#

为方便维护与刷入模块，我们基于社区底包（鸣谢 @colorospro/1724 / color597）对闭源 TWRP 进行了二次客制化：

• 版本自订：界面与属性更新为 3.7.1_16-Macan_NkBe918-V1.3。
• 标识重构：将设备显示名重定义为标准 ro.product.model.display=OnePlus Ace 6T。
• 管理器注入：保留 Magisk-v30.7.zip，剔除旧版 Kitsune，全新注入 SukiSU-v4.3.0-r2.zip（内置自动适配插槽与自动运行 ksud boot-patch 修补 init_boot 的专用 update-binary）。

💾 资源集成包与网盘下载#

已将解锁所需的全套工程引导、GBL 模块、临时提权工具、SukiSU、专用魔改版 TWRP、原厂 16.0.10.500 恢复镜像及内置推荐工具（含最新正式版 Shizuku）打包集成。提供以下载点供按需取用：

1
OnePlus_Ace6T_BL_Unlock_Root_Pack/
2
├── 1_Privilege_Escalation/       # 臨時提權 (GhostLock 1.2, KernelSU, 6.12.38 內核偏移)
3
├── 2_Fastboot_Unlock_Files/       # 解鎖關鍵 (高通簽名 abl.img, superfastboot efisp.img)
4
├── 3_Root_Managers/               # Root 管理器 (SukiSU v4.3.0-r2)
5
├── 4_TWRP_Recovery/               # TWRP-16-OPAce6T-NkBe918-V1.3.img & stock_recovery_16.0.10.500.img
6
├── 5_Flash_Scripts/               # 刷入與還原輔助腳本
7
└── 7_Recommended_Tools/           # 內建推薦工具 (含 Shizuku v13.6.2 正式版)