Samsung Tizen 9 TV Root — अनुसंधान टूलकिट

2024 Samsung Neo QLED पर Tizen 9 चलाने वाले डिवाइस पर अनौपचारिक सुरक्षा अनुसंधान। कोई sdb नहीं, कोई डेवलपर मोड नहीं, कोई फर्मवेयर फ्लैशिंग नहीं: TV को उसके ही ब्राउज़र से रूट किया जाता है, और रूट को एक स्टॉक ऑन-बूट सर्विस ऐप के माध्यम से स्थायी बनाया जाता है।

परीक्षण इकाई	2024 Neo QLED, QNX1D श्रृंखला (QTV T09 प्लेटफ़ॉर्म)
फर्मवेयर	T-PTMxxxx (01400)
कर्नेल	Linux 5.4.249, ARM32 (VMSPLIT_3G + HIGHMEM, कोई LPAE नहीं), PAGE_OFFSET 0xC0000000, PHYS_OFFSET 0x20000000
ब्राउज़र	Chromium 120.0.6099.5 (SamsungBrowser/7.0)
रूट	uid=0, CapEff=0x3fffffffff
स्थायी पेलोड	रेपो v41 (AGENTS.md स्टेट रो में वर्तमान md5/आकार — आर्टिफ़ैक्ट से पुनर्जनित); परीक्षण इकाई वही बिल्ड चलाती है (2026-10-27 को तैनात, बीकन में tok= होता है); payload_backup.dll पिछला बिल्ड रखता है
रूट चैनल	TV पर TCP 31337, लाइन प्रोटोकॉल, उत्तर __END__ के साथ समाप्त होते हैं

त्वरित शुरुआत

pwsh -File .\root.ps1 -TvIp <tv-ip>        # root the TV
pwsh -File .\uninstall.ps1 -TvIp <tv-ip>   # restore stock

root.ps1 PC पर चलता है और सब कुछ संचालित करता है: यह पोर्ट-80 सर्वर शुरू करता है, ब्राउज़र स्टब को रूट करता है, बूट पेलोड इंस्टॉल करता है, और रीबूट के बाद रूट चैनल की प्रतीक्षा करता है। दो चरण TV रिमोट पर ही रहते हैं, और यह दोनों के लिए प्रॉम्प्ट करता है:

1. प्रिंट किए गए http://<pc-ip>/index.html को खोलें और RUNNING की प्रतीक्षा करें;
2. डिप्लॉय सत्यापित होने के बाद TV को एक बार पावर-साइकल करें।

फिर:

python tools\root_shell.py "id" <tv-ip>   # talk to the TV's root channel

हर विकल्प, सटीक प्रॉम्प्ट, अपेक्षित आउटपुट, होस्ट-IP संबंधी चेतावनी और मैनुअल फ़ॉलबैक: docs/USAGE.md।

यह कैसे काम करता है

1. ब्राउज़र RCE — Chromium 120 में CVE-2024-2887 (WasmGC type confusion) रेंडरर के भीतर मनमाना read/write और ARM शेलकोड निष्पादन प्रदान करता है।
2. Physmap — V4L2 कोडेक नोड्स (/dev/video40/30/60) mmap() में हमलावर द्वारा चुने गए vm_pgoff को स्वीकार करते हैं और उसे बिना सत्यापन के remap_pfn_range() को पास कर देते हैं: एक अनप्रिविलेज्ड प्रोसेस (uid 5001, समूह video) से मनमाना भौतिक मेमोरी read/write।
3. Root — भौतिक मेमोरी में कर्नेल Image और init_task खोजें, किसी फ़ोर्क किए गए चाइल्ड के real_parent के माध्यम से अपना स्वयं का टास्क ढूँढें, और क्रेडेंशियल्स को शून्य करें।
4. Persistence — एक स्टॉक app_onboot सेवा की IL असेंबली को एक .NET पेलोड से बदलें जो हर बूट पर physmap/cred पैच को दोहराता है, अपना नोड बंद करता है और TCP 31337 पर एक root कमांड चैनल प्रदान करता है।

कोई GPU CVE नहीं, कोई कर्नेल एक्सप्लॉइट नहीं, कोई साइन्ड मॉड्यूल नहीं। physmap ही दिलचस्प हिस्सा है; मापे गए कॉन्स्टेंट्स के साथ चरण-दर-चरण राइटअप docs/EXPLOIT.md में है।

दस्तावेज़ीकरण

दस्तावेज़	विषय-वस्तु
docs/USAGE.md	इसे चलाना: विकल्प, प्रॉम्प्ट, अपेक्षित आउटपुट, अनइंस्टॉल विवरण, रिकवरी
docs/EXPLOIT.md	चरण-दर-चरण चेन, फ़र्मवेयर-विशिष्ट कॉन्स्टेंट्स के साथ
docs/ROOT-METHODS.md	मूल्यांकित प्रत्येक root/persistence विधि और जो विजयी रही
docs/FAILED.md	क्या काम नहीं आया और क्यों — डेड एंड्स की सूची जैसा लगता है, हफ़्ते बचाता है
docs/BOOT-REGRESSION-SMACK.md	परियोजना का सबसे सूक्ष्म बग: एक गलत SMACK लेबल ने ऐप को Main से पहले ही मरवा दिया
docs/PORTABILITY.md	एक अन्य Tizen 9 TV: चार गेट, क्या दोबारा मापना है, चरण-दर-चरण पोर्ट
docs/SERVER-HOSTING.md	PC-पक्ष सर्वर: इसे कैसे चलना चाहिए, साइलेंट-डेथ ट्रैप, फ़ायरवॉल, लॉग्स
docs/SCRIPT-REVIEW.md	स्क्रिप्ट्स का प्रोडक्शन-रेडीनेस ऑडिट
docs/TESTING.md	टेस्ट परतें, ऑफ़लाइन और TV पर, और प्रत्येक क्या पकड़ती है
docs/LOGGUIDE.md	प्रत्येक बीकन और टूल त्रुटि का डिकोड, अगले कदमों के साथ
docs/REFERENCE-MATERIALS.md	अपने स्वयं के मॉडल के लिए फ़र्मवेयर / GPL स्रोत / सिम टूलिंग कहाँ से डाउनलोड करें
docs/REVIEW-HISTORY.md	बंद किए गए समीक्षा निष्कर्ष और उनके प्रमाण (संग्रह)
docs/OPEN-ISSUES.md	वर्तमान स्थिति, लंबित कार्य, और बंद समीक्षा/पास इतिहास
AGENTS.md	हैंड-ऑफ़: टूल, प्रक्रिया, सत्यापन, ट्रैप, रिकवरी
CHANGELOG.md	क्या बदला और क्यों, इसका तिथि-वार इतिहास
SECURITY.md	अनऑथेंटिकेटेड 31337 बैकडोर, दायरा, रिपोर्टिंग, कानूनी पहलू
NOTICE.md	तृतीय-पक्ष श्रेय; कौन-सी फ़ाइलें पुनः-लाइसेंस प्राप्त नहीं हैं
LICENSE	मूल कार्य के लिए MIT (तृतीय-पक्ष फ़ाइलें अपवर्जित)

रिपॉज़िटरी लेआउट

root.ps1, uninstall.ps1     PC entry points (PowerShell)
payload/                    boot payload source (.NET 6, Program.cs)
server/                     port-80 server, exploit page, TV-side deploy scripts
tools/                      physmap client, kernel helpers, build scripts
docs/                       the documents above
AGENTS.md                   hand-off notes
LICENSE, NOTICE.md          license + third-party attribution
SECURITY.md                 backdoor/scope/reporting

पूरा टूलकिट कमिट किया गया है, इसलिए एक क्लोन बिना किसी अन्य वर्किंग ट्री के चलता है। server/payload.dll जानबूझकर शामिल किया गया है (बिल्ड आउटपुट के साथ बाइट-समान) ताकि टूलकिट बिना .NET SDK के काम करे। रनटाइम लॉग, बिल्ड आउटपुट और प्रति-होस्ट जनरेट किया गया डिप्लॉय स्क्रिप्ट git-ignored हैं और कभी भी HTTP पर सर्व नहीं किए जाते।

आवश्यकताएँ