rebilibin/ghostlock-oppo-watch3proاستكمال بحث استغلال الثغرة CVE-2026-43499 (GhostLock) على ساعة OPPO Watch 3 Pro، بما في ذلك تحليل استخدام الذاكرة بعد التحرير (UAF) في النواة، وفك التجميع، وتطوير سلسلة الاستغلال مع تقارير مفصّلة.
بحث استغلال كامل لـ CVE-2026-43499 (GhostLock, rtmutex/futex-PI stack UAF) على OPPO Watch 3 Pro (OWW211, ColorOS Watch الإصدار الصيني, Android 11, ARM32).
الاستنتاج النهائي: آلية الكتابة عبر سلسلة الاستغلال (chain-write) تنهار فور تشغيلها على OPPO 00522 (نسخة rtmutex المعاد بناؤها من msm-5.4)، مما يجعل الاستغلال مستحيلاً. جميع طرق التشغيل (T2 requeue / sched_setattr) تم التحقق منها على الجهاز الحقيقي وتسببت في panic؛ كما أن عقد التشغيل
/proc/switch/{lcd,mt,tp}محجوبة بالكامل بواسطة SELinux. تم الاحتفاظ بدراسة الآلية كاملة كمرجع للأجهزة غير المبنية على msm / الأجهزة غير المُصلحة.
| الدليل/الملف | الوصف |
|---|---|
ghostlock_repo/ | كود الاستغلال الكامل + ثنائي ARM32 مُجمّع مسبقاً + README مفصّل |
ghostlock_oppo_report.md | التقرير الشامل لسلسلة الاستغلال |
ghostlock_deepcopy_report_v2.md | قياس عمق فك التجميع الفعلي لطابع المكدس العميق (تصحيح لاتجاه التقرير القديم الخاطئ) |
ghostlock_depth_report.md | تحليل عمق freed_waiter |
ghostlock_write_target_00522_report.md | تحليل هدف الكتابة عبر سلسلة الاستغلال (.data قابل للكتابة fops) |
_rev/ | تحليل ثغرات kgsl (CVE-2022-22057 UAF / map_user_mem TOCTOU, كلاهما مُصلح) |
symbols_00522.txt | جدول رموز kallsyms لنواة 00522 (فريد على مستوى الإنترنت) |
heota_query.py | محاكاة بروتوكول OPPO HeyOTA (AES-CTR, لاستخراج برنامج 00522 الثابت من الخادم) |
decode_kallsyms.py | سكربت فك ترميز kallsyms |
*_dis.txt / *_scan*.py | سجلات فك التجميع وسكربتات الفحص العميق |
freed_rt_waiter 0xE8 (نسبة إلى sp_svc لخيط W)prctl(PR_SET_NAME) strncpy للمكدس العميق D=0xD0 → طابع المرحلة 1 (تغطية +0x18..+0x27)fremovexattr strncpy للمكدس العميق D=0x12C → طابع المرحلة 2 (تغطية كاملة)recvmsg الفعلي D=0xC0 (التقرير القديم 0x108 كان خطأ في الاتجاه/العمق)FAKE_LOCK=0xC1ABA338 → كتابة خانة unlocked_ioctl عند 0xC1ABA33Crt_mutex_adjust_prio_chain (0xc0196c4c) المُعاد بناؤه من msm
unlock(task + orig_lock) → أي تشغيل حقيقي لسلسلة الاستغلال سيؤدي حتماً إلى panic| العنصر | القيمة |
|---|---|
| الطراز | OPPO Watch 3 Pro (OWW211) |
| النظام | ColorOS Watch الإصدار الصيني, Android 11 (RKQ1.211102.001) |
هذا المشروع مخصص لأغراض التعلم والبحث فقط. يمكن تشغيله فقط على الأجهزة التي تمتلكها، ويجب عمل نسخة احتياطية مسبقاً. قد يتعطل الجهاز أو يُعاد تشغيله أو تُفقد البيانات أثناء عملية الاستغلال. المؤلف غير مسؤول عن أي عواقب ناتجة عن إساءة الاستخدام.
لأغراض البحث. يرجى الالتزام بالقوانين المحلية وسياسات الشركة المصنعة للجهاز.
| المعالج | Snapdragon W5+ Gen 1 (SW5100/monaco), Adreno 702v2 |
| النواة | 5.4.134-perf-00522-gb29f81177a79 (ARM32, بدون KASLR) |
| مُحمّل الإقلاع | مقفل, تعطيل فتح OEM |