简介这是一款面向LG机型维修与调试场景的TestMode改串工具主要解决开端口与改写参数的需求适用于有一定手机维修基础、熟悉端口操作的进阶用户而非零基础学习者。资源包共10个文件压缩后约2.2MB内部包含可执行主程序、OCX控件及其注册批处理另有txt说明文档、cfg配置文件、doc/xls参考文档和htm结果页面基本覆盖工具运行、参数配置、结果查看等环节。由于描述中明确未附带教程使用者需自行掌握LG机型改串原理和操作流程更适合维修技术人员直接调用。目前已有267人学习下载包体小巧、结构紧凑便于在维修场景中快速部署和查阅。1. 为什么LG 机型改串工具 TestMode绕不开工程模式搜索「LG 机型改串工具 TestMode」的人手里多半是一台无法注册网络的老旗舰比如 G2、G5、V20。改串在维修圈流传了多年而所有 LG 改串教程的第一步都指向同一个入口TestMode。但真正进到 TestMode 之后你会发现它本身没有任何改串按钮——它只是一道能访问高通 DIAG 端口的工程门禁。老平台上改串成立靠的是 IMEI 明文存在 NV/EFS 分区而 TestMode 恰好放开了这条调试通道新平台把身份标识移进签名保护的安全存储后同一个入口推不动任何写入指令。下面顺着这条线索把 TestMode 的进入方式、端口协议、写入链路和防御机制拆开讲最后落在维修台上真正能用到的指令上。2. 进入 LG TestMode拨号码、DM 端口与 AT 指令门禁2.1 Hidden Menu 与工厂测试模式的两种入口LG 没有把 TestMode 做成一个开机阶段就能用物理按键稳定拉起的独立系统它挂在隐藏工程菜单Hidden Menu后面。老一代 G2/G3/G5 系列在拨号盘输入3845#*[四位机型码]#会进入以3845#*开头的工程菜单G6 之后的部分机型把入口迁到了*#546368#*[四位机型码]#。机型码和型号名不是同一个数字比如 G2(D802) 用 802G6(H870) 用 870。号码输错或者少一位拨号盘不会有任何反应这是 LG 通过 USSD 掩码做的一道很基础的门禁。进入菜单后TestMode 相关子项通常藏在 SVC Menu 或 Port Setting/Device Test 这类目录下。不同固件版本的目录名不完全一致有的叫 Service Menu有的叫 Factory Test在个别欧版固件里它还被挪到设置里的 Engineer Mode 入口后面。常规操作顺序是先通过拨号码进入 Hidden Menu再在 SVC 菜单里确认 DM Port 开关打开最后把设备插到电脑上等待枚举出串口。2.2 把 LG 手机切到 DM/DIAG 状态TestMode 的 PC 侧工作流依赖高通平台的 DMDiagnostic Monitor端口。默认情况下LG 手机的 USB 枚举只暴露 MTP 与 ADB不暴露调制解调器调试口需要到 Hidden Menu 的 Port Setting 里手动打开。操作顺序固定为四步拨号盘输入入口码进入 Hidden Menu找到 Port Setting打开 DM Port旧固件叫 DM MODEM关掉 Security Check 相关开关打开 USB 调试插线在设备管理器里观察新出现的 COM 口出现 LGE Mobile USB Serial Port 说明 DM 口已就绪出现 Qualcomm HSUSB QDLoader 9008 则是掉进了紧急下载口。第 4 步是最常见的误判点9008 是 EDLEmergency Download模式用来恢复底层固件既不处理 AT 指令也读不到 NV 项TestMode 需要的是串口形式的 DM 口。大量进不去 TestMode的排查最后都卡在把 9008 当成 DM 口去连。注意DM 口和 9008 是两个完全不同的枚举状态。连上后先在设备管理器确认设备名再决定下一步用什么工具。2.2.1 用设备管理器确认端口对应关系在 Windows 上插线后可以用 PowerShell 快速列出所有 COM 端口与硬件 ID确认哪个口来自 LG 调制解调器Get-PnpDevice -Class Ports | Select-Object FriendlyName, InstanceId, Status输出里会看到LGE Mobile USB Serial Port (COM5)这类条目同一台机器上出现两个 COM 口时靠枚举路径区分不要看端口号大小。这一步能省掉后面 QPST 连错 COM 口的返工。2.3 TestMode 下的 AT 指令回显与语义DM 口就绪后串口终端里最基础的验证是一组 AT 指令。LG 基带对话使用标准 3GPP 命令集加少量厂商扩展下面是一段模拟回显AT OK ATCGMR MPSS.DI.2.3.c2-00156 OK ATCGSN 353260051234567 OKATCGSN返回一长串十进制 IMEIATCGMR返回基带固件版本。这两条都是只读指令能读出 IMEI但没有任何参数形式可以写入 IMEI。改串指令从来不走 AT 层它走的是 QCDM 私有协议也就是 QPST 那套工具真正操作的通道。AT 层在 TestMode 里的价值是快速确认调制解调器活着、版本号对不对、读出来的身份码和机身标签是否一致。常用 AT 指令见下表指令作用备注AT握手返回 OK 即通道可用ATCGSN读取 IMEI只读不含写入能力ATCGMR基带固件版本判断平台与固件代次ATCGDCONTAPN 配置数据业务排障ATCOPS运营商选择检查驻网状态2.4 从 AT 端口到 QCDMTestMode 的真正协议层AT 通道之外TestMode 的核心能力在 QCDM 层。QPST 的 Service Programming、NV Browser、Software Download 几个模块都通过 DM 口向基带发送 QCDM 数据包。LG 没有对 QCDM 做私有加密沿用高通默认鉴权流程这也是当年大量维护工具能在这台机上跑通的前提。QCDM 数据包的结构是包头 长度 命令行 数据命令号决定操作类型NV 读取与 NV 写入各自有独立命令号。QPST 的 NV Browser 打开后可以直接按十进制 NV 号浏览基带参数。老高通平台的公开资料里最常被引用的是 NV 550/551 两条它们在高通 baseband 里以两段形式存放 IMEI。知道这个编号和知道怎么写入是两回事后者上面还压着 EFS 同步与鉴权这一层在下一章展开。3. IMEI 写入链路TestMode 放开的 DM 口与四道安全拦截3.1 老平台为什么能写NV 与 EFS 的明文时代Snapdragon 800/801 时代的 LG 机型基带参数几乎全部落在一个文件系统化的 EFS 分区里NV 项作为文件存在其中。改串在那个年代的实现路径是通过 DM 口进 QPST 的 Service Programming 或 NV 编辑器修改 NV 550/551 的数值然后触发 EFS 同步与基带重启。能写成的前提有两个一是 EFS 分区没有完整性校验二是调制解调器信任来自 DM 口的写入请求。这两个前提在当年都成立所以才有一大堆流传的改串教程也直接解释了 TestMode 为什么被误认成一个改串工具——它只是放开了 DM 口真正的写入动作发生在 QCDM 层。这里要特意强调一点即使是在老平台上write NV 也不是无条件的。QCDM 的写入命令需要基带侧接受会话鉴权且部分 NV 项受写保护位控制。维修圈里常说的密码本质是厂商预置在调试固件里的鉴权值正规固件一旦带上新版本就换掉了。所以老方法的时间窗口是固定的跟固件版本严格绑定。3.2 新平台的四层拦截签名 firehose、Secure EFS 与 TrustZone2016 年之后的 LG 旗舰比如 G6、V30、G7把身份标识的存储链整个改掉了。第一层EFS 换成带 HMAC 完整性校验的 Secure EFS任何绕过 QCDM 直接改分区的操作都会在下次启动时校验失败。第二层EDL 模式只执行带 LG 私钥签名的 firehose 镜像公共固件包里不包含能绕过校验的写入镜像。第三层IMEI 与型号、序列号被打包进 TrustZone 管理的安全存储区调制解调器在启动时通过 QSEE trustlet 解析普通权限连原始存储位置都读不到。第四层也是容易被忽略的一层NV 写入命令本身被基带固件加上了版本绑定旧版工具发过来的命令格式在新固件里直接返回 unknown command。这四层拦截的结果是老方法在新机型上会卡在不同的失败点。DM 口写 NV 返回操作拒绝在 EDL 里喂 firehose 报签名校验错误想挖 trustlet 又涉及完整的漏洞利用链路。安全领域的公开研究里新平台上披露过两三条可复现路径随后厂商通过安全补丁逐一封堵如今没有一条仍然适用于在售固件。工程上只需要记住判断标准区分一台机器能不能走 NV 直写看发布年份和基带版本就够不用去背漏洞细节。3.3 写入失败会留下哪些现场改串不成功不是没反应这么简单。在 G5 这类半旧机型的固件上写入 NV 失败后调制解调器会进入降级状态现象是 ATCGSN 返回空串、系统设置里状态信息显示 IMEI 未知、驻网完全失败。更麻烦的是 Secure EFS 的 HMAC 校验拉高——如果写入过程中 EFS 同步被打断手机可能连基带都拉不起来开机停在工厂测试界面或反复重启。判断一台机器是不是被折腾过维修台上一般看三个痕迹adb shell getprop | grep -i imei adb shell getprop | grep -i persist.radio adb shell dumpsys telephony.registry | grep -i mState第一行看属性层是否有 IMEI 残留第二行看调制解调器持久化参数是否被改动第三行看注册状态机。三条命令组合起来能快速区分固件级失败和参数级失败比直接刷全量包省时间。常见失败现场如下表失败阶段典型现象优先排查方向DM 口写入命令返回拒绝固件代次与工具版本EFS 同步中断启动停在工厂测试界面EFS 分区完整性基带加载ATCGSN 空串Secure EFS 校验驻网阶段状态机停在 IDLE运营商侧登记3.4 厂商与运营商侧的设备保护机制即使写入动作在技术上成功身份码还要过两道外部关卡。运营商设备注册系统会比对 IMEI 与 SIM 卡开通资料不一致时数据业务会被直接限速或拒绝厂商侧安全框架会在 OTA 检查里核对型号、序列号与 IMEI 的对应关系任何一组不匹配都会让系统升级中断。换句话说即便把 TestMode 的入口完整打开这条链路也并不是写入即生效。多数的所谓改完没信号问题都出在这两道外部关卡而不是写入动作本身。4. TestMode 在维修与射频校准里的实际用法4.1 用 EFS 镜像备份守住 NV 数据TestMode 放开的 DM 口对维修最有价值的能力是备份。LG 的 EFS 分区保存着射频校准、蓝牙地址、MAC 等参数这些数据一旦损坏换基带芯片和刷全量固件都救不回来。所以真正进 TestMode 的第一件事往往是先做 EFS 镜像备份而不是读 NV。对能解锁 BL 的机器备份可以直接在 adb shell 里做adb root adb shell ls -l /dev/block/platform/*/by-name/ adb shell dd if/dev/block/mmcblk0p21 of/sdcard/efs_backup.img bs4096 adb pull /sdcard/efs_backup.img ./第一条命令确认分区表第二条里的mmcblk0p21是部分 G 系列机型上 EFS 落位的常见编号实际操作必须以第一条命令输出的 by-name 链接为准不同机型绝对不要套用同一个分区号。备份文件保存两份一份留在手机 /sdcard 下方便基带异常时在 Recovery 里直接 dd 回去。对不解锁的机器备份通道走 QPST 的 NV Browser 导出功能但它导出的只是 NV 项不含 EFS 里的完整文件系统。这个区别要写清楚NV 导出只能恢复参数不能恢复损坏的 EFS 元数据。维修单上写已备份 EFS时要标注用的是镜像备份还是 NV 导出。4.2 用 QDART 校验功放状态与射频校准TestMode 的第二个实用场景是射频诊断。基带进入 FTM 状态后可以用 QDART 的 RF 模块发指定频段的测试信号判断功放是否在正常功率区间。这个过程常用于排除信号弱、通话断续的硬件嫌疑。流程是DM 口连接 → QDART 里选择对应平台比如 MSM8996→ RF 测试界面填频段与信道 → 读回 TX Power 与 RSSI。测试值明显低于带内公称值且所有频段一致偏低时问题多半在 PA 供电只在一个频段偏低优先怀疑声表滤波器和天线匹配网络。这些判断不依赖改串但充分利用了 TestMode 放开的底层射频通道是同样入口下真正的工程价值。4.3 用系统属性核对网络注册状态拿到一台可能被折腾过的机器先用系统属性快速体检adb shell getprop | grep -iE gsm|imei|nv|telephony adb shell dumpsys telephony.registry | grep -iE mState|mImei第一行里的gsm.version.baseband能看到基带版本persist.radio.*能看到调制解调器持久化参数第二行看注册状态机mState停在 IDLE 而不是 IN_SERVICE 时说明网络侧没有接受这台设备。两条命令组合能在不拆机的情况下判断问题属于调制解调器固件、射频链路还是身份信息比盲目刷机省时间得多。5. 用 ATCGSN 与属性对比验证 TestMode 操作结果5.1 三层验证法操作完任何涉及 NV 的测试后验证比操作本身更重要。验证分三层第一层拨号盘*#06#与ATCGSN返回一致第二层系统属性里的 IMEI 相关字段与dumpsys telephony.registry的注册状态一致第三层备份镜像的哈希与操作前一致。adb shell cat /dev/block/mmcblk0p21 | md5sum md5sum efs_backup.img跑这条命令前先确认设备当前分区与备份来源相同得到的两个哈希逐位比对。哈希一致说明 TestMode 会话期间没有任何物理分区变化哈希不一致说明 EFS 发生过写入就需要优先排查基带固件而不是继续纠结参数。对不解锁的机器可以用 QPST 的 NV 导出功能在操作前后各导出一份 CSV再对两份文件做 diff效果相同。5.2 验证路径里最容易被跳过的两步多数人验证时只看*#06#这个习惯在老平台上够用但在带 Secure EFS 的机型上不够。*#06#显示的值来自上层 HAL 的缓存基带侧可能已经丢数据界面上仍然能显示旧值。所以必须补上ATCGSN直连基带这条路径并且用插拔 SIM 卡后重新注册来确认网络侧接受度。另一个容易被跳过的动作是记录基带版本号写入失败和固件版本强相关维修记录里没有版本号后续排查等于重新开始。把*#06#、ATCGSN、getprop、备份哈希四路结果并排贴进维修记录是判断一台 LG 是否被碰过身份信息的最快方式也是下次接手这台机器的人唯一能依赖的起点。本文还有配套的精品资源点击获取 LG机型改串工具TestMode：从工程模式到NV写入链路的技术解析
简介这是一款面向LG机型维修与调试场景的TestMode改串工具主要解决开端口与改写参数的需求适用于有一定手机维修基础、熟悉端口操作的进阶用户而非零基础学习者。资源包共10个文件压缩后约2.2MB内部包含可执行主程序、OCX控件及其注册批处理另有txt说明文档、cfg配置文件、doc/xls参考文档和htm结果页面基本覆盖工具运行、参数配置、结果查看等环节。由于描述中明确未附带教程使用者需自行掌握LG机型改串原理和操作流程更适合维修技术人员直接调用。目前已有267人学习下载包体小巧、结构紧凑便于在维修场景中快速部署和查阅。1. 为什么LG 机型改串工具 TestMode绕不开工程模式搜索「LG 机型改串工具 TestMode」的人手里多半是一台无法注册网络的老旗舰比如 G2、G5、V20。改串在维修圈流传了多年而所有 LG 改串教程的第一步都指向同一个入口TestMode。但真正进到 TestMode 之后你会发现它本身没有任何改串按钮——它只是一道能访问高通 DIAG 端口的工程门禁。老平台上改串成立靠的是 IMEI 明文存在 NV/EFS 分区而 TestMode 恰好放开了这条调试通道新平台把身份标识移进签名保护的安全存储后同一个入口推不动任何写入指令。下面顺着这条线索把 TestMode 的进入方式、端口协议、写入链路和防御机制拆开讲最后落在维修台上真正能用到的指令上。2. 进入 LG TestMode拨号码、DM 端口与 AT 指令门禁2.1 Hidden Menu 与工厂测试模式的两种入口LG 没有把 TestMode 做成一个开机阶段就能用物理按键稳定拉起的独立系统它挂在隐藏工程菜单Hidden Menu后面。老一代 G2/G3/G5 系列在拨号盘输入3845#*[四位机型码]#会进入以3845#*开头的工程菜单G6 之后的部分机型把入口迁到了*#546368#*[四位机型码]#。机型码和型号名不是同一个数字比如 G2(D802) 用 802G6(H870) 用 870。号码输错或者少一位拨号盘不会有任何反应这是 LG 通过 USSD 掩码做的一道很基础的门禁。进入菜单后TestMode 相关子项通常藏在 SVC Menu 或 Port Setting/Device Test 这类目录下。不同固件版本的目录名不完全一致有的叫 Service Menu有的叫 Factory Test在个别欧版固件里它还被挪到设置里的 Engineer Mode 入口后面。常规操作顺序是先通过拨号码进入 Hidden Menu再在 SVC 菜单里确认 DM Port 开关打开最后把设备插到电脑上等待枚举出串口。2.2 把 LG 手机切到 DM/DIAG 状态TestMode 的 PC 侧工作流依赖高通平台的 DMDiagnostic Monitor端口。默认情况下LG 手机的 USB 枚举只暴露 MTP 与 ADB不暴露调制解调器调试口需要到 Hidden Menu 的 Port Setting 里手动打开。操作顺序固定为四步拨号盘输入入口码进入 Hidden Menu找到 Port Setting打开 DM Port旧固件叫 DM MODEM关掉 Security Check 相关开关打开 USB 调试插线在设备管理器里观察新出现的 COM 口出现 LGE Mobile USB Serial Port 说明 DM 口已就绪出现 Qualcomm HSUSB QDLoader 9008 则是掉进了紧急下载口。第 4 步是最常见的误判点9008 是 EDLEmergency Download模式用来恢复底层固件既不处理 AT 指令也读不到 NV 项TestMode 需要的是串口形式的 DM 口。大量进不去 TestMode的排查最后都卡在把 9008 当成 DM 口去连。注意DM 口和 9008 是两个完全不同的枚举状态。连上后先在设备管理器确认设备名再决定下一步用什么工具。2.2.1 用设备管理器确认端口对应关系在 Windows 上插线后可以用 PowerShell 快速列出所有 COM 端口与硬件 ID确认哪个口来自 LG 调制解调器Get-PnpDevice -Class Ports | Select-Object FriendlyName, InstanceId, Status输出里会看到LGE Mobile USB Serial Port (COM5)这类条目同一台机器上出现两个 COM 口时靠枚举路径区分不要看端口号大小。这一步能省掉后面 QPST 连错 COM 口的返工。2.3 TestMode 下的 AT 指令回显与语义DM 口就绪后串口终端里最基础的验证是一组 AT 指令。LG 基带对话使用标准 3GPP 命令集加少量厂商扩展下面是一段模拟回显AT OK ATCGMR MPSS.DI.2.3.c2-00156 OK ATCGSN 353260051234567 OKATCGSN返回一长串十进制 IMEIATCGMR返回基带固件版本。这两条都是只读指令能读出 IMEI但没有任何参数形式可以写入 IMEI。改串指令从来不走 AT 层它走的是 QCDM 私有协议也就是 QPST 那套工具真正操作的通道。AT 层在 TestMode 里的价值是快速确认调制解调器活着、版本号对不对、读出来的身份码和机身标签是否一致。常用 AT 指令见下表指令作用备注AT握手返回 OK 即通道可用ATCGSN读取 IMEI只读不含写入能力ATCGMR基带固件版本判断平台与固件代次ATCGDCONTAPN 配置数据业务排障ATCOPS运营商选择检查驻网状态2.4 从 AT 端口到 QCDMTestMode 的真正协议层AT 通道之外TestMode 的核心能力在 QCDM 层。QPST 的 Service Programming、NV Browser、Software Download 几个模块都通过 DM 口向基带发送 QCDM 数据包。LG 没有对 QCDM 做私有加密沿用高通默认鉴权流程这也是当年大量维护工具能在这台机上跑通的前提。QCDM 数据包的结构是包头 长度 命令行 数据命令号决定操作类型NV 读取与 NV 写入各自有独立命令号。QPST 的 NV Browser 打开后可以直接按十进制 NV 号浏览基带参数。老高通平台的公开资料里最常被引用的是 NV 550/551 两条它们在高通 baseband 里以两段形式存放 IMEI。知道这个编号和知道怎么写入是两回事后者上面还压着 EFS 同步与鉴权这一层在下一章展开。3. IMEI 写入链路TestMode 放开的 DM 口与四道安全拦截3.1 老平台为什么能写NV 与 EFS 的明文时代Snapdragon 800/801 时代的 LG 机型基带参数几乎全部落在一个文件系统化的 EFS 分区里NV 项作为文件存在其中。改串在那个年代的实现路径是通过 DM 口进 QPST 的 Service Programming 或 NV 编辑器修改 NV 550/551 的数值然后触发 EFS 同步与基带重启。能写成的前提有两个一是 EFS 分区没有完整性校验二是调制解调器信任来自 DM 口的写入请求。这两个前提在当年都成立所以才有一大堆流传的改串教程也直接解释了 TestMode 为什么被误认成一个改串工具——它只是放开了 DM 口真正的写入动作发生在 QCDM 层。这里要特意强调一点即使是在老平台上write NV 也不是无条件的。QCDM 的写入命令需要基带侧接受会话鉴权且部分 NV 项受写保护位控制。维修圈里常说的密码本质是厂商预置在调试固件里的鉴权值正规固件一旦带上新版本就换掉了。所以老方法的时间窗口是固定的跟固件版本严格绑定。3.2 新平台的四层拦截签名 firehose、Secure EFS 与 TrustZone2016 年之后的 LG 旗舰比如 G6、V30、G7把身份标识的存储链整个改掉了。第一层EFS 换成带 HMAC 完整性校验的 Secure EFS任何绕过 QCDM 直接改分区的操作都会在下次启动时校验失败。第二层EDL 模式只执行带 LG 私钥签名的 firehose 镜像公共固件包里不包含能绕过校验的写入镜像。第三层IMEI 与型号、序列号被打包进 TrustZone 管理的安全存储区调制解调器在启动时通过 QSEE trustlet 解析普通权限连原始存储位置都读不到。第四层也是容易被忽略的一层NV 写入命令本身被基带固件加上了版本绑定旧版工具发过来的命令格式在新固件里直接返回 unknown command。这四层拦截的结果是老方法在新机型上会卡在不同的失败点。DM 口写 NV 返回操作拒绝在 EDL 里喂 firehose 报签名校验错误想挖 trustlet 又涉及完整的漏洞利用链路。安全领域的公开研究里新平台上披露过两三条可复现路径随后厂商通过安全补丁逐一封堵如今没有一条仍然适用于在售固件。工程上只需要记住判断标准区分一台机器能不能走 NV 直写看发布年份和基带版本就够不用去背漏洞细节。3.3 写入失败会留下哪些现场改串不成功不是没反应这么简单。在 G5 这类半旧机型的固件上写入 NV 失败后调制解调器会进入降级状态现象是 ATCGSN 返回空串、系统设置里状态信息显示 IMEI 未知、驻网完全失败。更麻烦的是 Secure EFS 的 HMAC 校验拉高——如果写入过程中 EFS 同步被打断手机可能连基带都拉不起来开机停在工厂测试界面或反复重启。判断一台机器是不是被折腾过维修台上一般看三个痕迹adb shell getprop | grep -i imei adb shell getprop | grep -i persist.radio adb shell dumpsys telephony.registry | grep -i mState第一行看属性层是否有 IMEI 残留第二行看调制解调器持久化参数是否被改动第三行看注册状态机。三条命令组合起来能快速区分固件级失败和参数级失败比直接刷全量包省时间。常见失败现场如下表失败阶段典型现象优先排查方向DM 口写入命令返回拒绝固件代次与工具版本EFS 同步中断启动停在工厂测试界面EFS 分区完整性基带加载ATCGSN 空串Secure EFS 校验驻网阶段状态机停在 IDLE运营商侧登记3.4 厂商与运营商侧的设备保护机制即使写入动作在技术上成功身份码还要过两道外部关卡。运营商设备注册系统会比对 IMEI 与 SIM 卡开通资料不一致时数据业务会被直接限速或拒绝厂商侧安全框架会在 OTA 检查里核对型号、序列号与 IMEI 的对应关系任何一组不匹配都会让系统升级中断。换句话说即便把 TestMode 的入口完整打开这条链路也并不是写入即生效。多数的所谓改完没信号问题都出在这两道外部关卡而不是写入动作本身。4. TestMode 在维修与射频校准里的实际用法4.1 用 EFS 镜像备份守住 NV 数据TestMode 放开的 DM 口对维修最有价值的能力是备份。LG 的 EFS 分区保存着射频校准、蓝牙地址、MAC 等参数这些数据一旦损坏换基带芯片和刷全量固件都救不回来。所以真正进 TestMode 的第一件事往往是先做 EFS 镜像备份而不是读 NV。对能解锁 BL 的机器备份可以直接在 adb shell 里做adb root adb shell ls -l /dev/block/platform/*/by-name/ adb shell dd if/dev/block/mmcblk0p21 of/sdcard/efs_backup.img bs4096 adb pull /sdcard/efs_backup.img ./第一条命令确认分区表第二条里的mmcblk0p21是部分 G 系列机型上 EFS 落位的常见编号实际操作必须以第一条命令输出的 by-name 链接为准不同机型绝对不要套用同一个分区号。备份文件保存两份一份留在手机 /sdcard 下方便基带异常时在 Recovery 里直接 dd 回去。对不解锁的机器备份通道走 QPST 的 NV Browser 导出功能但它导出的只是 NV 项不含 EFS 里的完整文件系统。这个区别要写清楚NV 导出只能恢复参数不能恢复损坏的 EFS 元数据。维修单上写已备份 EFS时要标注用的是镜像备份还是 NV 导出。4.2 用 QDART 校验功放状态与射频校准TestMode 的第二个实用场景是射频诊断。基带进入 FTM 状态后可以用 QDART 的 RF 模块发指定频段的测试信号判断功放是否在正常功率区间。这个过程常用于排除信号弱、通话断续的硬件嫌疑。流程是DM 口连接 → QDART 里选择对应平台比如 MSM8996→ RF 测试界面填频段与信道 → 读回 TX Power 与 RSSI。测试值明显低于带内公称值且所有频段一致偏低时问题多半在 PA 供电只在一个频段偏低优先怀疑声表滤波器和天线匹配网络。这些判断不依赖改串但充分利用了 TestMode 放开的底层射频通道是同样入口下真正的工程价值。4.3 用系统属性核对网络注册状态拿到一台可能被折腾过的机器先用系统属性快速体检adb shell getprop | grep -iE gsm|imei|nv|telephony adb shell dumpsys telephony.registry | grep -iE mState|mImei第一行里的gsm.version.baseband能看到基带版本persist.radio.*能看到调制解调器持久化参数第二行看注册状态机mState停在 IDLE 而不是 IN_SERVICE 时说明网络侧没有接受这台设备。两条命令组合能在不拆机的情况下判断问题属于调制解调器固件、射频链路还是身份信息比盲目刷机省时间得多。5. 用 ATCGSN 与属性对比验证 TestMode 操作结果5.1 三层验证法操作完任何涉及 NV 的测试后验证比操作本身更重要。验证分三层第一层拨号盘*#06#与ATCGSN返回一致第二层系统属性里的 IMEI 相关字段与dumpsys telephony.registry的注册状态一致第三层备份镜像的哈希与操作前一致。adb shell cat /dev/block/mmcblk0p21 | md5sum md5sum efs_backup.img跑这条命令前先确认设备当前分区与备份来源相同得到的两个哈希逐位比对。哈希一致说明 TestMode 会话期间没有任何物理分区变化哈希不一致说明 EFS 发生过写入就需要优先排查基带固件而不是继续纠结参数。对不解锁的机器可以用 QPST 的 NV 导出功能在操作前后各导出一份 CSV再对两份文件做 diff效果相同。5.2 验证路径里最容易被跳过的两步多数人验证时只看*#06#这个习惯在老平台上够用但在带 Secure EFS 的机型上不够。*#06#显示的值来自上层 HAL 的缓存基带侧可能已经丢数据界面上仍然能显示旧值。所以必须补上ATCGSN直连基带这条路径并且用插拔 SIM 卡后重新注册来确认网络侧接受度。另一个容易被跳过的动作是记录基带版本号写入失败和固件版本强相关维修记录里没有版本号后续排查等于重新开始。把*#06#、ATCGSN、getprop、备份哈希四路结果并排贴进维修记录是判断一台 LG 是否被碰过身份信息的最快方式也是下次接手这台机器的人唯一能依赖的起点。本文还有配套的精品资源点击获取