POCO F8 Ultra / REDMI K90 Pro Max के लिए GhostLock — ग्लोबल और ताइवान वेरिएंट (myron, WPMTWXM)

POCO F8 Ultra / REDMI K90 Pro Max (कोडनेम myron, Snapdragon 8 Elite Gen 5 / SM8850) के ग्लोबल/ताइवान फर्मवेयर के लिए GhostLock (CVE-2026-43499) कर्नेल एक्सप्लॉइट का पोर्ट।

लक्ष्य: HyperOS OS3.0.6.0.WPMTWXM — कर्नेल 6.12.23-android16-5-g5a0e85dd9db0-ab14499855-4k

नीचे अंग्रेज़ी सारांश / 下方有英文摘要।

इस पोर्ट की आवश्यकता क्यों है

同一支手機、同一個 codename,國際/臺灣版(WPMTWXM,即 POCO F8 Ultra)和大陸版(WPMCNXM)的核心不是同一個 binary:

ROM	kernel release	कंपाइल समय
ताइवान संस्करण 3.0.1.0.WPMTWXM	`...-ga5f232d1ead0-ab14083253-4k`	2025-09-11
ताइवान संस्करण 3.0.6.0.WPMTWXM	`...-g5a0e85dd9db0-ab14499855-4k`	2025-11-26
चीन संस्करण 3.0.306/308.WPMCNXM	`...-g16e473de48a3-abogki462654244-4k`	2025-11-19

मुख्य भूमि संस्करण Google के आधिकारिक GKI ब्रांच (abogki*) को ट्रैक करता है, जबकि ताइवान संस्करण Xiaomi की अपनी एकीकृत ब्रांच है
दोनों पक्षों के git commit अलग हैं, config में 7 विकल्पों का अंतर है, और सभी +pgo +bolt +lto के साथ कंपाइल किए गए हैं—— कोड में कोई भी अंतर सिंबल लेआउट को पूरी तरह बिगाड़ देगा
वास्तविक परीक्षण: init_task/init_cred में 0x10000 का अंतर है, selinux_state में 0x120c8 का अंतर है (गैर-निश्चित ऑफ़सेट)

GhostLock जैसे data-only exploit को उस विशिष्ट कंपाइल के सटीक पते चाहिए, इसलिए चीन संस्करण के लिए गणना किए गए सभी payload अंतरराष्ट्रीय संस्करण पर पूरी तरह अमान्य हैं। यह repo अंतरराष्ट्रीय संस्करण में अनुपलब्ध उस ऑफ़सेट तालिका को पूरा करता है।

सामग्री

offsets/myron_tw/offsets.h — 臺版 3.0.6.0 的完整 target(給 JoinChang/ghostlock-oneplus 用)
scripts/device_step1.sh — root 後的 ABL 備份 + unlock EFI 刷入腳本
Releases 裡有編好的 ghostlock binary(arm64)

सत्यापित विश्लेषण परिणाम

kallsyms 靜態提取正確性:用 _text 為基準回讀 binary 交叉驗證—— init_task.comm="swapper"、init_cred.usage=4、init_uts_ns.release 與 uname 逐字元一致。不需要實機 root 就能取得可靠偏移。
Struct 布局與陸版完全相同(BTF 驗證):task_struct 5184 bytes、 cred@0x900、pi_blocked_on@0xA18 等,與上游 STRUCT_OFFSETS_6_12 一致。
棧配置可行性:futex_wait_requeue_pi(frame 0x1c0,waiter@sp+0x80)和 core_sys_select(frame 0x1b0,stack_fds@sp+0x18)與已驗證可行的 Xiaomi 17 (pudding) 完全相同 → PSELECT_SHIFT=0。
selinux_state.enforcing 在 +0、policycap 在 +2,單 byte 寫入不會弄壞 policycap。
Rust ashmem → 只有 Path B(直接 PI write)可用,Path A (UMH) 不可用。

कंपाइल

git clone https://github.com/JoinChang/ghostlock-oneplus.git
cd ghostlock-oneplus
cp /path/to/this-repo/offsets/myron_tw/offsets.h src/devices/myron_tw/offsets.h
# 在 src/devices/offsets.h 的 #include 清單加一行:
#   #include "myron_tw/offsets.h"
make NDK_CC=<你的 NDK>/toolchains/llvm/prebuilt/*/bin/aarch64-linux-android35-clang

उपयोग

adb shell uname -r
# 必須是 6.12.23-android16-5-g5a0e85dd9db0-ab14499855-4k,否則程式會拒絕執行

adb push ghostlock /data/local/tmp/e
adb shell chmod 755 /data/local/tmp/e
adb shell /data/local/tmp/e

सफल → root shell + SELinux permissive (सॉफ्ट root, रीबूट पर अमान्य)
विफल रीबूट = टाइमिंग नहीं मिली, दोबारा चलाएँ; लगातार panic होने पर PSELECT_SHIFT=-1 आदि सूक्ष्म समायोजन आज़माएँ
डिवाइस को OTA न करने दें——अपडेट के बाद कर्नेल बदल जाता है, ऑफ़सेट अमान्य हो जाता है, और नए संस्करण में संभवतः भेद्यता पहले ही ठीक कर दी गई हो

आगे की प्रक्रिया (BL अनलॉक)

अंतर्राष्ट्रीय संस्करण के डिवाइस root होने के बाद ABL प्रतिस्थापन विधि से अनलॉक किए जा सकते हैं (आधिकारिक कोटा की आवश्यकता नहीं): abl_a/b का बैकअप लें → unlock EFI फ़्लैश करें → fastboot से फ़ैक्टरी ABL + spoof फ़्लैश करें → पुनर्स्थापित करें। फ़ैक्टरी ABL अपने पास मौजूद ताइवान संस्करण 3.0.1.0 ROM के abl.img से प्राप्त करें (यह repo Xiaomi के स्वामित्व वाली फ़र्मवेयर फ़ाइलें शामिल नहीं करता)। scripts/device_step1.sh इस प्रक्रिया का डिवाइस-पक्ष भाग है। इस प्रक्रिया में उपयोगकर्ता डेटा साफ़ नहीं होता।

अन्य क्षेत्रीय संस्करणों (MIXM / EUXM / INXM…) में पोर्ट करना

यह repo केवल WPMTWXM को कवर करता है। Xiaomi की प्रत्येक क्षेत्रीय शाखा अपना कर्नेल अलग से कंपाइल करती है, इसलिए ऑफ़सेट साझा नहीं किए जा सकते—— लेकिन तरीका साझा किया जा सकता है। tools/ में वे तीन टूल हैं जिन्हें हम वास्तव में ताइवान संस्करण target बनाने के लिए उपयोग करते हैं:

# 1. 從你的 OTA 包解出 boot.img(payload.bin 用 payload-dumper),然後:
python3 tools/extract_offsets.py boot.img          # 產生 OFFSETS_ENTRY + 交叉驗證
python3 tools/check_btf.py boot.img                # 驗證 struct 布局(決定 STRUCT_OFFSETS 能否沿用)
python3 tools/check_feasibility.py boot.img        # 驗證 pselect 棧配置(決定 SHIFT)

extract_offsets.py: kallsyms निकालें, सभी ऑफ़सेट की गणना करें, और क्रॉस-वेरिफ़िकेशन के लिए init_task.comm / init_cred.usage / init_uts_ns.release को वापस पढ़ें——यदि यह पास न हो तो इसका उपयोग न करें
check_btf.py: कर्नेल में एम्बेडेड BTF से task_struct/cred/selinux_state फ़ील्ड ऑफ़सेट पढ़ें, और STRUCT_OFFSETS_6_12 के साथ एक-एक करके तुलना करें
check_feasibility.py: futex_wait_requeue_pi और core_sys_select के फ़्रेम कॉन्फ़िगरेशन को डिसअसेंबल करें, और ज्ञात व्यवहार्य कर्नेल के साथ तुलना करें (pip install capstone आवश्यक है)

तीनों पास हो गए, आपका संस्करण संभवतः चल जाएगा। नए क्षेत्र संस्करण का target PR के ज़रिए जोड़ने के लिए आपका स्वागत है।

आभार

Nebula Security — GhostLock 原始研究與 PoC
JoinChang/ghostlock-oneplus — 本 port 的基底
酷安社群的各種移植經驗

अंग्रेज़ी सारांश

POCO F8 Ultra (REDMI K90 Pro Max) 的全球版固件搭载的内核构建与中国版固件不同（分支、配置以及 PGO/BOLT 布局均不同），因此所有社区发布的 GhostLock 偏移量——均基于中国版 ogki 内核计算——在全球版设备上都会失效。本仓库提供了 OS3.0.6.0.WPMTWXM （6.12.23-android16-5-g5a0e85dd9db0-ab14499855-4k）缺失的目标偏移量，这些偏移量从官方 OTA 包中静态提取并经过交叉验证（kallsyms + BTF + 镜像内读取），此外还在 Releases 中提供了预编译二进制文件。结构体布局与中国版构建相同；仅符号地址不同。栈帧布局与已验证可用的 Xiaomi 17 (pudding) 一致。

仅限在您自己的设备上使用。 该漏洞已公开（依据 kernelCTF 强制披露要求）；此移植版本的存在是为了让全球版机型的机主能够为自己的手机获取 root 权限。

ghostlock-myron-tw

सबसे लोकप्रिय