GhostLock Kit — vivo iQOO Neo9S Pro (V2339FA / MT6989)

مجموعة root بنقرة واحدة GhostLock المخصصة لـ vivo iQOO Neo9S Pro (V2339FA، MediaTek MT6989). يحتوي هذا المستودع على: تصحيح نقل MCAST، سكربت بنقرة واحدة، وثائق تحليل كاملة؛ المجموعة الكاملة القابلة للتشغيل (مع الملفات الثنائية و KernelSU) متوفرة في Releases.

Device: vivo iQOO Neo9S Pro (V2339FA / PD2339, MT6989) Firmware: PD2339_A_16.2.12.1.W10.V000L1 (Android 16) Kernel: 6.1.145-android14-11-maybe-dirty Vulnerability: CVE-2026-43499 (futex PI requeue UAF) For device owners / security research only. Use on your own device.

أبرز النقاط (TL;DR)

• نقل TCP/pselect transport الأصلي في GhostLock يتسبب في اختلال إطار المكدس على هذا الطراز (نواة الشركة المصنعة +pgo,+bolt)، وينهار حتمًا؛ اكتشف هذا النقل واستخدم بدلًا منه نسخ 0x108 بايت على المكدس عبر setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) كأساس للتسميم، ما يغطي بالكامل rt_mutex_waiter القديم، ويكمل السلسلة كاملة (W1→W2→W3→KernelSU).
• حيلة معدل النجاح المُجرَّبة: أبقِ الجهاز على شاشة القفل بعد إعادة التشغيل، ولا تفتح القفل، ففي هذه الحالة تكون خدمات وضع المستخدم في النظام في أدنى حد، وينجح تقريبًا من المحاولة الأولى.
• استخدام إصدار KernelSU v3.3.0 الرسمي المتطابق (المدير 32601 + المشغّل 32601)، دون تحذير عدم تطابق الإصدارات. (تبيّن أن مدير ReSukiSU 4.2.0-rc1 يتسبب في تجمّد النواة فور فتحه على هذا الجهاز، وتم التخلي عنه.)

البدء السريع

1. نزّل ghostlock-kit-20260913.zip من Releases وفك ضغطه.
2. وصّل الهاتف بالحاسوب عبر USB (مع تفويض adb).
3. شغّل:

cd <解压目录>\ghostlock-kit
powershell -ExecutionPolicy Bypass -File .\scripts\run-at-lockscreen.ps1 -Reboot

4. عند ظهور [+] Root 成功！ تكون العملية قد اكتملت (لا تفتح قفل الهاتف أثناء التشغيل). للتحقق:

adb shell su -c id
# uid=0(root) gid=0(root) groups=0(root) context=u:r:ksu:s0

الفشل يؤدي إلى kernel panic وإعادة تشغيل تلقائية، وينتظر السكربت ويعيد المحاولة تلقائيًا (معدل النجاح حوالي 25–30% لكل محاولة؛ وفي توقيت شاشة القفل ينجح تقريبًا من المحاولة الأولى). صلاحية root مؤقتة (KernelSU late-load)، ويلزم إعادة تشغيل السكربت بعد إعادة تشغيل الهاتف.

بنية المستودع

.
├── scripts/
│   ├── run-at-lockscreen.ps1   # 一键：重启→锁屏等待→推送校验→运行→自动重试（推荐）
│   └── retry-if-needed.ps1     # 通用重试（不强制重启）
├── src/
│   └── ghostlock-mcast.patch   # 源码改动（基线 ghostlock-app @ 50d2b72）
├── docs/                       # 分析文档（利用报告/transport 分析/waiter 与 PI walk/设备手册/排查记录）
└── LICENSE                     # Apache-2.0（继承上游）

الملفات الثنائية والمجموعة الكاملة (files/ghostlock، files/ksud، files/offsets.json، KernelSU APK) غير مضمّنة في مستودع git، يرجى تنزيل ghostlock-kit-20260913.zip من Releases.

أصول الإصدار والتحقق

الملفات الأساسية داخل المجموعة (MD5):

شرح المبدأ

• الثغرة: CVE-2026-43499——بعد عودة خيط waiter من FUTEX_WAIT_REQUEUE_PI، يبقى task->pi_blocked_on معلّقًا مشيرًا إلى rt_mutex_waiter على مكدسه.
• التسميم (جوهر هذا النقل): يجعل setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) الدالة do_ip_setsockopt تنفّذ memset(0x108) + copy_from_user(0x108)، ويغطي نطاق النسخ [S'−0x338, S'−0x230) هذا الـ waiter بالكامل (يقع waiter عند إزاحة المخزن 0x60)؛ وضبط buf[8]=0 يجعل التحقق من العائلة يفشل، فيعود syscall نظيفًا بعد النسخ.
• الإطلاق: خيط consumer ينفّذ sched_setattr → rt_mutex_adjust_prio_chain يقرأ waiter المزوّر → rb_erase بإعادة ربط left-only يشكّل أساس الكتابة .

راجع docs/ للتفاصيل (تشمل سلسلة الأدلة، تحليل التفكيك، ومشاهد الانهيار).

الأسئلة الشائعة

البناء (إعادة البناء من المصدر)

# 基线：ghostlock-app @ 50d2b72（含 PR#127）
git clone https://github.com/YuKongA/ghostlock-app.git
cd ghostlock-app && git checkout 50d2b72
git apply /path/to/src/ghostlock-mcast.patch
make NDK_ROOT=<your-ndk> ghostlock

محتوى التصحيح: MCAST transport (do_mcast_fake_lock_route)، اختيار المسار، منطق observe/البناء المسبق، GHOSTLOCK_WALK_LOG (تحديد walk من جهة consumer)، نسخ pstore الاحتياطي في سكربت root، GHOSTLOCK_SKIP_VR.

الشكر والترخيص

• المشروع الأصلي: YuKongA/ghostlock-app (Apache-2.0)
• KernelSU (GPLv3)——ksud و APK في هذه المجموعة مأخوذان من إصدار v3.3.0 الرسمي، والحقوق محفوظة لمؤلفيه
• ReSukiSU (GPLv3)——مرجع التكيّف المبكر
• تغييرات هذا المستودع منشورة تحت Apache-2.0 (انظر LICENSE)

إخلاء المسؤولية

مخصص فقط لمالك الجهاز لإجراء بحث أمني محلي على جهازه الخاص واستخدام root شخصي؛ يُمنع استخدامه على أي جهاز غير مصرّح به أو لأي غرض غير قانوني. قد يؤدي استخدام هذه الأداة إلى عدم استقرار الجهاز أو مخاطر على البيانات، لذا احتفظ بنسخة احتياطية وتحمل العواقب المترتبة.