unplus

Kernlogikcode für den Kernel-Exploit zum Schreiben an beliebige Adressen (CVE-2026-43499 (Futex PI UAF)), um SELinux zu umgehen und Root zu erlangen.

Dieses Repository enthält nur den Quellcode der Kern-Exploit-Logik (src/) und den Single-Binary-Packer (wrapper/). src/target.h ist eine Vorlage, die mit den Parametern deines Geräts ausgefüllt werden muss, um ausgeführt zu werden (siehe unten »Geräteanpassung«).

Build

Kernlogik (src/)

# 环境要求: Android NDK r29+ (API 35, aarch64)
export ANDROID_NDK_ROOT=/path/to/android-ndk

# 构建纯逻辑产物
make
# → build/unplus            (exploit 二进制)
# → build/unplus_preload.so (preload 库)

Das Ergebnis sind zwei ELF-Dateien, die keine externen Binärdateien einbetten.

Vollständiges Single-Binary-Paket (wrapper/)

Um den Exploit und die externen Payloads (magiskpolicy / ksud / kernelsu.ko) zu einem einzigen ausführbaren Binary zu packen, musst du diese externen Payloads selbst bereitstellen und dann mit wrapper/ packen:

# 1. 先构建 src/ 产物（见上）
# 2. 生成 payload 数据（payload_data.h 不在仓库，由用户自生成，含外部二进制字节流）
cd wrapper
python3 embed_payloads.py \
  --unplus ../build/unplus \
  --preload ../build/unplus_preload.so \
  --magiskpolicy <path> \
  --ksud <path> \
  --kernelsu <path> \
  --out payload/
# 3. 编译单二进制
make    # → wrapper/build/unplus

Quellstruktur

src/
├── target.h          设备参数模板（◆ FILL IN 标记处需填你的设备值）
├── offset.h          target.h 的路由胶水（经 -DTARGET_CONFIG_H 注入）
├── unplus.h          编排头 + 共享声明（含 P0 alias / data_addr 等派生宏）
├── main.c            入口编排
├── stage1.c          Write 1/2：SELinux 关闭 + cred 覆写
├── root.c            Android root 落地（SELinux golden 修复 + sepolicy + KSU allowlist）
├── slide.c           KASLR leak
├── fops.c            configfs/fops 路由 + 内核基址推导
├── route.c           PI futex 路由线程
├── direct_write.c    direct read 原语
├── pipe_direct.c     direct pselect write
├── pipe_physrw.c     pipe physrw 原语
├── util.c            工具函数
├── utils.h           通用工具（日志、procfs 路径）
├── kernelsnitch.h    架构层（ARM64/x86 identity-map）
├── futex_hash.h      内核 jhash 移植（通用）
└── timeutils.h       架构层计时（ARM/x86/AMD）

Geräteanpassung

src/target.h unterteilt sich in zwei Arten von Konstanten:

• Mit ◆ FILL IN markierte: Geräte-/Kernel-bezogen, müssen mit deinen eigenen Werten gefüllt werden. In der Vorlage stehen Platzhalter wie 0xDEADBEEF..., sie kompilieren, aber das Programm stürzt ab.
• Nicht markierte: GKI 6.6-Invarianten (Struct-Feld-Offsets), müssen normalerweise nicht geändert werden.

Gerätewechsel = Fülle den ◆ FILL IN-Teil aus. Was jedes Feld bedeutet und wie man es erhält, siehe unten 附录：字段说明.

Anhang: Feldbeschreibungen

target.h里◆ FILL IN的字段按用途分组：

Allgemeiner Hinweis: Alle *_OFF-Offsets können auf einem gerooteten Gerät mit kallsyms_lookup_name ermittelt werden, indem man die Symboladresse nimmt und KIMAGE_TEXT_BASE abzieht. TARGET_PCPU_* und TARGET_SELINUX_GOLDEN sind Laufzeit-/Dump-Werte und können nicht aus einem statischen Image gewonnen werden.

Lizenz

WTFPL — Do What The Fuck You Want To Public License.

Danksagungen

• CyberMeowfia Team — Pipe-physrw-Privilegieneskalations-Framework
• Community-Geräteanpassungsreferenz