English | 中文

إثبات مفهوم تصعيد الامتيازات لجهاز Honor 80 GT: GhostLock (CVE-2026-43499)

استغلال محلي لتصعيد الامتيازات لجهاز Honor 80 GT (AGT-AN00)، CVE-2026-43499 — ثغرة use-after-free في مسار remove_waiter الخاص بـ rtmutex في النواة — بالإضافة إلى حل مرافق لتحميل وحدات نواة KernelSU.

من حيث المبدأ، تنطبق الثغرة والتقنيات الواردة هنا على كل إصدارات MagicOS حتى 9.0.0.230. النسخ المعدّلة:

MagicOS	Kernel	Status
8.0.0.128	5.10.168	✅ verified
8.0.0.160	5.10.209	✅ verified
9.0.0.157	5.10.209	✅ verified
9.0.0.200SP1	5.10.236	✅ verified
9.0.0.220SP2 / SP4	5.10.236	✅ verified (SP4 ships the same boot image as SP2)
9.0.0.230	5.10.236	✅ verified
8.0.0.131	5.10.198	⚠️ not verified on a real device
8.0.0.135 / 143 / 150	5.10.198	⚠️ not verified on a real device
8.0.0.161	5.10.209	⚠️ not verified on a real device
9.0.0.102 / 103 / 120 / 130 / 165	5.10.209	⚠️ not verified on a real device (103 ships the same boot image as 102)
9.0.0.175SP1 / 187	5.10.226	⚠️ not verified on a real device
9.0.0.210	5.10.236	⚠️ not verified on a real device

⚠️ تحذير

لأغراض البحث الأمني على جهازك الخاص فقط.

استخدمه على مسؤوليتك الخاصة. يأتي هذا البرنامج دون أي ضمان من أي نوع (انظر LICENSE). من المفترض نظريًا أن مجرد تشغيله لن يُعطّل جهازك أو يتسبب في فقدان البيانات، لكن احتفظ بنسخة احتياطية أولًا على أي حال؛ فأي شيء يحدث — سواء من تشغيل هذا الكود أو من أي شيء تفعله باستخدام صلاحيات root التي يمنحها — هو مسؤوليتك أنت، وليس مسؤولية المؤلفين.

يستغل الاستغلال ذاكرة النواة عبر ثغرة UAF. تؤدي المحاولة الفاشلة إلى إعادة تشغيل الجهاز؛ وإعادة التشغيل تعيد كل شيء إلى حالته. النجاح ليس مضمونًا بنسبة 100% في كل محاولة — شغّله مرة أخرى.

صلاحيات root تعني التحكم الكامل بالجهاز — استخدمها بحذر. هذا المشروع يمنحك صلاحيات root فقط؛ أما تثبيت الصور، أو الكتابة على الأقسام، أو تعطيل الحمايات، أو تثبيت وحدات غير مختبرة بعد ذلك فقد تُعطّل الجهاز بشكل دائم، وهذا يقع على مسؤوليتك.

هيكل المستودع

exploit/     GhostLock PoC source (Android arm64) + build system
  src/         exploit core: futex UAF, KASLR slide, sysctl boot_id hijack,
               arbitrary R/W, cred/SELinux/sig_enforce writes, KSU load
  src/targets/ per-firmware offset tables (target.h)
ksu/         custom kernelsu.ko build (MagicOS kernel + device config) and the
             PC-side adb load driver
  tools/       on-device load helpers: load_ko.c / kmsg_dumper.c (built from
               source), policy rules, loader template (+ where to get the
               binaries)

الاستخدام

المتطلبات: Docker، وأدوات منصة Android.

حزمة واحدة مبنية مسبقًا تغطي كل البرامج الثابتة المدعومة: نزّلها من الإصدارات، وفك ضغطها على المضيف، ثم شغّل

./setup.sh            # PC, with adb: identifies the kernel, picks the
                      # matching exploit, runs the chain, retries when an
                      # attempt fails

دون الحاجة إلى حاسوب، فك ضغط الحزمة على الهاتف وشغّل نفس السكربت من صدفة Shizuku (rish) — فهو يكتشف موقعه ويقوم بالباقي محليًا:

sh /sdcard/ghostlock/setup.sh

يقوم السكربت بمطابقة النواة قيد التشغيل مع البيان المرفق: تعمل البرامج الثابتة المُتحقَّق منها مباشرةً، أما المعروفة غير المُختبَرة فتطلب تأكيدًا، ويُرفض أي شيء آخر.

بدلًا من ذلك، ابنِ من المصدر:

# 1. Build the exploit binary
cd exploit && ./docker-build.sh bin             # exploit_static (8.0.0.128)
#    8.0.0.160: ./docker-build.sh PROJECT=annap-AGT-AN00_8.0.0.160 bin
#    (the static binary bakes in the default env config; any knob can still
#     be overridden by environment variables at launch; first run pulls the NDK, ~1.2GB)

# 2. The KSU-side binaries live in ksu/tools/ (see ksu/tools/README.md):
#    kernelsu.ko — build per ksu/README.md;
#    ksud, magiskpolicy, ksu_rules — shipped in the repo;
#    load_ko, kmsg_dumper — ./docker-build.sh tools

# 3. Enable ADB debugging on the phone, then
bash ../ksu/ksu_load_ko.sh
#    8.0.0.160: PROJECT=annap-AGT-AN00_8.0.0.160 bash ../ksu/ksu_load_ko.sh

يقود السكربت السلسلة كاملة عبر adb: GhostLock (وصول root، SELinux permissive، تعطيل sig_enforce)، حقن سياسة SELinux عبر magiskpolicy، ثم bind-mount لـ kallsyms مزيف، ثم load_ko (init_module)، ثم مراحل إقلاع ksud، مع إعادة SELinux إلى وضع enforcing كخطوة أخيرة مطلقة. عند اكتمال عملية الـ jailbreak، يفتح السكربت مدير KernelSU لك (يظهر "Working <LKM> [Jailbreak mode]").

لماذا نحتاج إلى .ko ومُحمِّل مخصصين

CONFIG_MODULE_SIG_FORCE=y — تحجب راية sig_enforce وقت التشغيل تحميل الوحدات غير الموقّعة؛ فيقلبها الاستغلال مؤقتًا إلى 0 (يعيدها سكربت التحميل إلى 1 بمجرد تحميل الوحدة).
إزالة أسماء kallsyms: تحذف Honor الرموز commit_creds وأمثالها من /proc/kallsyms، لذا لا يستطيع مُحمِّل النواة حل الرموز غير المعرّفة الخاصة بـ .ko. يقوم التدفق بعمل bind-mount لـ kallsyms مزيف مع إضافة الرموز المحذوفة في مقدمته عند عناوينها الحقيقية وقت التشغيل (عنوان الربط + إزاحة KASLR).
تختلف أيضًا تخطيطات بنى GKI عن تلك الخاصة بـ Honor، لذا لا يمكن استخدام android12-5.10_kernelsu.ko القياسي من GKI مباشرةً. تعيد ksu/ بناء KernelSU مقابل مصدر نواة MagicOS المطابق للمستوى الفرعي للبرنامج الثابت وإعدادات نواة الجهاز نفسه. راجع ksu/README.md.

حالة التحقق

تم التحقق من السلسلة الكاملة (UAF → KASLR → قراءة/كتابة عشوائية → cred → SELinux permissive → sig_enforce → KernelSU يعمل، مع استعادة enforcing وboot_id) على جهاز حقيقي للإصدارات المعلَّمة بـ ✅ أعلاه؛ الإصدارات المعلَّمة بـ ⚠️ مُكيَّفة لكن لم يتم التحقق منها على جهاز حقيقي. قد تفشل إحدى المحاولات وتعيد تشغيل الهاتف؛ يعيد سكربت الإعداد المحاولة تلقائيًا، أو شغّله مرة أخرى.

شكر وتقدير

الترخيص

الاستغلال والأدوات في هذا المستودع (exploit/، والمستندات في المستوى الأعلى) تخضع لـ Apache License 2.0 (راجع LICENSE)، مثل PoC الأصلي IonStack الذي يُشتق منه هذا المنفذ.
الملفات تحت ksu/ تخضع لـ GPL-2.0 (راجع ksu/LICENSE): إذ إن init-bootid.patch ومجموعة سياسات ksu_rules.annotated مشتقة من دليل kernel/ في KernelSU، وهو مرخَّص بموجب GPL-2.0.

GhostLock-H80GT

الأكثر شعبية