丰科iOS密码解锁工具在GitHub上有个私有仓库，丰科去年秋天我拿到测试版时，密码解它连iPhone 8的锁工A11芯片都啃不动。开发者老周在深圳华强北有间三平米不到的丰科档口，柜台上摆着十几台碎屏的密码解iPhone，他说这工具最初就是锁工给同行处理客户忘记密码的机器用的。
解锁这事分两层。丰科一层是密码解逻辑层，就是锁工输错十次后屏幕显示"iPhone已停用"，连iTunes都刷不回去的丰科那种。另一层是密码解硬件层，涉及SEP安全隔区跟Secure Enclave的锁工密钥握手。丰科走的丰科是硬件层漏洞，具体点说，密码解是锁工利用checkm8漏洞的一个变种。checkm8是2019年爆出来的，影响A5到A11芯片，苹果在A12之后封堵了。所以丰科能干的机器，最年轻也就是iPhone X那一代。
操作流程不复杂。把手机插上电脑，工具识别DFU模式，然后跑一段自己写的payload。payload会往Secure Enclave里注入指令，绕过密码尝试次数的计数逻辑。等计数归零，密码输入界面重新出现，这时候可以无限次试。六位数字密码，理论上最多一百万次，但老周说实际跑起来平均四到六个小时能撞开。他档口那台2018年的MacBook Pro风扇狂转，屏幕上滚动着尝试次数，像老虎机。
但有个坑。A11之前的芯片，比如iPhone 7的A10，跑起来快得多，因为Secure Enclave的响应延迟低。A11因为加了神经引擎，反而拖慢了注入速度。老周测试过一台iPhone 7 Plus，四位密码，四十分钟就开了。同一套工具，iPhone X跑了一整夜。
这工具不是万能的。如果手机开了"USB配件"限制，或者系统在iOS 11.4.1以上且没越狱过，payload注入会失败。另外，如果SEP里的密钥已经被销毁——比如用户远程抹掉了设备——那谁也救不回来。老周接过一个单子，客户是东莞的模具厂老板，手机掉进冷却池捞上来，主板腐蚀了，但闪存芯片完好。老周把芯片焊到另一块主板上，再用丰科跑，结果SEP密钥在腐蚀过程中丢了，白忙活。
法律上这事很灰。老周只接同行转来的单子，要求提供购机发票和身份证。他说去年有个便衣来问过，他直接把工具源码删了，硬盘格式化，停了一个月没开工。后来发现对方只是来修自己忘密码的iPhone 6s，虚惊一场。
工具本身用Python写的，核心是那个payload.bin，大概200KB。老周说这玩意儿最早是国外一个叫axi0mX的人放出来的，他改了几行，加了中文界面和自动重试逻辑。现在GitHub上那个仓库已经404了，但老周硬盘里还留着备份。他给我看过一次，代码注释里有一行写着"for research only"，后面跟了个笑脸。
我问他为什么不卖工具，只接单。他说卖工具赚快钱，但容易被盯上。接单一次收三百到八百，看机型，一天接两三台，够交租金就行。他档口墙上贴着一张手写的价目表，iPhone 6到iPhone X，解锁价格从两百到一千二不等。下面用圆珠笔加了一行："不接ID锁，不接赃机。"
上个月他发微信说，新版本支持iPhone XS了，但还没测试。我问他怎么绕A12，他说不是绕，是换了个思路，从蓝牙固件入手。具体他没细说，只发了张截图，屏幕上是一台iPhone XS，密码输入界面亮着，下面一行小字："尝试次数：无限制"。