unplus

الكود الأساسي لاستغلال الكتابة العشوائية في عنوان ذاكرة النواة CVE-2026-43499 (Futex PI UAF)، المستخدم لتجاوز SELinux والحصول على صلاحيات root.

يحتوي هذا المستودع فقط على الكود المصدري للمنطق الأساسي للاستغلال (src/) وحزمة الثنائي الواحد (wrapper/). src/target.h هو قالب، يجب ملء معاملات جهازك الخاصة لتشغيله (انظر "تكييف الجهاز" أدناه).

البناء

المنطق الأساسي (src/)

# 环境要求: Android NDK r29+ (API 35, aarch64)
export ANDROID_NDK_ROOT=/path/to/android-ndk

# 构建纯逻辑产物
make
# → build/unplus            (exploit 二进制)
# → build/unplus_preload.so (preload 库)

الناتج عبارة عن ملفي ELF، لا يتضمنان أي ثنائيات خارجية.

التغليف الكامل في ثنائي واحد (wrapper/)

لتغليف الاستغلال مع الحمولات الخارجية (magiskpolicy / ksud / kernelsu.ko) في ثنائي واحد يعمل بضغطة واحدة، يجب توفير هذه الحمولات الخارجية بنفسك ثم استخدام wrapper/ للتغليف:

# 1. 先构建 src/ 产物（见上）
# 2. 生成 payload 数据（payload_data.h 不在仓库，由用户自生成，含外部二进制字节流）
cd wrapper
python3 embed_payloads.py \
  --unplus ../build/unplus \
  --preload ../build/unplus_preload.so \
  --magiskpolicy <path> \
  --ksud <path> \
  --kernelsu <path> \
  --out payload/
# 3. 编译单二进制
make    # → wrapper/build/unplus

بنية المصدر

src/
├── target.h          设备参数模板（◆ FILL IN 标记处需填你的设备值）
├── offset.h          target.h 的路由胶水（经 -DTARGET_CONFIG_H 注入）
├── unplus.h          编排头 + 共享声明（含 P0 alias / data_addr 等派生宏）
├── main.c            入口编排
├── stage1.c          Write 1/2：SELinux 关闭 + cred 覆写
├── root.c            Android root 落地（SELinux golden 修复 + sepolicy + KSU allowlist）
├── slide.c           KASLR leak
├── fops.c            configfs/fops 路由 + 内核基址推导
├── route.c           PI futex 路由线程
├── direct_write.c    direct read 原语
├── pipe_direct.c     direct pselect write
├── pipe_physrw.c     pipe physrw 原语
├── util.c            工具函数
├── utils.h           通用工具（日志、procfs 路径）
├── kernelsnitch.h    架构层（ARM64/x86 identity-map）
├── futex_hash.h      内核 jhash 移植（通用）
└── timeutils.h       架构层计时（ARM/x86/AMD）

تكييف الجهاز

يحتوي src/target.h على نوعين من الثوابت:

• المميزة بـ ◆ FILL IN: خاصة بالجهاز/النواة، يجب ملء قيمك الخاصة. تستخدم القالب قيماً نائبة مثل 0xDEADBEEF...، يمكن تجميعها لكنها ستنهار عند التشغيل.
• غير المميزة: ثوابت GKI 6.6 (إزاحات حقول struct)، لا تحتاج عادةً إلى تعديل.

تغيير الجهاز = ملء جزء ◆ FILL IN. لمعرفة ماهية كل حقل وكيفية الحصول عليه، انظر 附录：字段说明.

الملحق: شرح الحقول

الحقول ذات ◆ FILL IN في target.h مقسمة حسب الغرض:

خبرة عامة: جميع الإزاحات من نوع *_OFF يمكن الحصول عليها من جهاز لديه صلاحيات root عبر kallsyms_lookup_name لجلب عنوان الرمز ثم طرح KIMAGE_TEXT_BASE. أما TARGET_PCPU_* وTARGET_SELINUX_GOLDEN فهما قيمتان وقت التشغيل/التفريغ ولا يمكن الحصول عليهما من الصورة الثابتة.

الترخيص

WTFPL — Do What The Fuck You Want To Public License.

الشكر والتقدير

• فريق CyberMeowfia — إطار رفع الصلاحيات pipe physrw
• مرجع تكييف الأجهزة من المجتمع