findn2-ksu-chain

KernelSU late-load su un OPPO Find N2 bloccato — catena completa, LKM compilato autonomamente, nessun bootloader sbloccato.

futex-PI write primitive → cred overwrite → ADRP overflow fixed → kernelsu.ko live

✨ Cos'è questo

Una catena di ricerca completa e funzionante che carica un modulo kernel KernelSU compilato autonomamente in un OPPO Find N2 (PGU110 / SM8475) stock e bloccato dagli OTA — terminando con su -c id → uid=0 … context=u:r:ksu:s0 mentre SELinux rimane Enforcing.

Tutto ciò che si trova in lkm-build/ (il loader, lo shim symbol-wall, il sistema di build) è lavoro originale di questo repo; l'exploit userland è un port GPL-3.0 del framework matisse adattato a questo dispositivo (vedi NOTICE).

🏗️ Come funziona

 ① futex PI requeue race      →  kernel write primitive  (GhostLock, CVE-2026-43499)
 ② task->cred = &init_cred    →  CapEff 0000000000000000 → 000001ffffffffff
 ③ gate check                 →  capable() ✓ SELinux ✓ domain ✓  (the wall was never here)
 ④ finit_module               →  R_AARCH64_ADR_PREL_PG_HI21 overflow  ← the real wall
                                fixed by -mcmodel=large: reloc-275 1497 → 0
 ⑤ kernelsu.ko live           →  /system/bin/su · u:r:ksu:s0 · SELinux Enforcing

📊 Risultati


Primitiva di scrittura	`CapEff: 000001ffffffffff` osservato sul dispositivo (3/3 esecuzioni)
Correzione della rilocazione	conteggio type-275 1497 → 0 (istogramma `.rela` ELF verificato)
Muro dei simboli	TRIM_UNUSED_KSYMS ha ridotto 49 simboli → bootstrap kprobe + definizioni forward → 0 non definiti
Gate SCM	`scmversion` fissato a `g74d132f4467a`, byte-exact
Stabilità	gate di preflight + ricetta a pressione ridotta; uptime finale 27h+ senza crash

🚀 Avvio rapido

Compilazione ed esecuzione (clicca per espandere)

# 1) kernel modules are built by GitHub Actions (build-lkm.yml) — download artifacts,
#    or build locally:
KSRC=<vendor-tree> KSU=<KernelSU> CLANG=<clang12> CONFIG=config-5.10.236 \
    bash lkm-build/build-lkm.sh

# 2) stage-A write primitive (userland)
adb push exploit-v29/build/oppo-find_n2/bin/preload.so /data/local/tmp/preload29.so
adb shell "LD_PRELOAD=/data/local/tmp/preload29.so /system/bin/toybox id"   # uid=0

# 3) stage-B late-load
adb push lkm-build/out/ksu_min_load.ko lkm-build/out/kernelsu.ko /data/local/tmp/

# 4) verify
adb shell "su -c id"                     # uid=0 … context=u:r:ksu:s0
adb shell "grep kernelsu /proc/modules"  # kernelsu … Live

📁 Mappa del repository

exploit-v29/     userland exploit (matisse port, GPL-3.0) + Find-N2 offsets
lkm-build/       ★ original build system: loader · symbol shim · CI scripts
analysis-scripts/  ELF / symbol / offset tooling
test-programs/   standalone PoC probes (C sources only)
docs/            research notes · evidence logs · handoff snapshots
RESEARCH.md      ★ full technical write-up (§1–§10)

📜 La storia completa

Ogni vicolo cieco, riga di dmesg e correzione è documentato in RESEARCH.md — incluso perché il gate dei permessi non è mai stato il problema, come è stato trovato e neutralizzato l'overflow ADRP, e cosa è cambiato dopo l'OTA 5.10.246.

🙏 Crediti

NebuSec/CyberMeowfia — ricerca e framework di exploit GhostLock (CVE-2026-43499)
ihamn/matisse-public (GPL-3.0) — upstream di exploit-v29/
Dere3046/ElevateMe — meccanismo di sovrascrittura delle credenziali tramite rb_erase
JoinChang/ghostlock-oneplus — cross-validazione degli offset sullo stesso SoC
DirtyFrag / comunità DFRoot (CVE-2026-43284) — solo idee (pulizia della page-cache, stub DEFEX, bypass di STATIC_USERMODEHELPER); nessun codice è stato preso — lkm-build/minload/ è un'implementazione originale, confronto in RESEARCH.md §8
discussioni della comunità lspromise e kanxue

⚖️ Licenza e disclaimer

lkm-build/, documenti, script: GPL-2.0-only · exploit-v29/: GPL-3.0 (upstream)
Solo per ricerca/istruzione, sul proprio dispositivo, a proprio rischio. Bricking, perdita di dati e perdita della garanzia sono possibilità reali. Nessun firmware proprietario OPPO è incluso in questo repo.

Più Popolari

oppo-ghostlock