Samsung Galaxy S25 Ultra (SM-S938B) 向けの Android root ツール。DirtyFrag CVE-2026-43284 と CVE-2026-43499 を連鎖させ、KernelSU 経由で起動時に自動的に root を取得します。
diabl0w/DFRoot の fork で、 Samsung Galaxy S25 Ultra（SM-S938B / pa3q） 専用に適応。 インターフェースと実行出力はすべて中国語。
2つの経路、1つのインターフェース：
方式 脆弱性 特徴 高速チャネル DirtyFrag（CVE-2026-43284） 上流 DFRoot のもの、数秒から数十秒 手動 CVE-2026-43499 確率型、3段階ラダー、最長十数分 デフォルトは「自動」：まず高速チャネルを実行し、失敗したら自動的に手動方式へ。
一言で言えば：起動時に自動で root を取得。毎回の起動でまず数秒の高速チャネルを試し、 失敗したら自動的に手動経路へ切り替え、「高速 → 安定 → 根気」の3段階でリトライする。
root 取得後はさらに2つの cmd connectivity（Samsung「パッケージインストーラー」の広告を除去）を
自動実行し、コマンド・出力・終了コードはすべてインターフェースのログに表示される ——
第5節「インストーラー広告設定」を参照。
v1.8 以降、これら2つのコマンドは KernelSU の起動スクリプトとして書き込まれ、
以後の起動時には KernelSU 自身が root で実行するため、アプリを開く必要も認証ダイアログも不要。
Cannot run program "su": error=2, No such file or directory を修正：
v1.8 では余分な再起動を避けるため ksud への --soft-reboot を削除したが、
KernelSU の su はまさにカーネルモジュールが post-fs-data 段階で
/system/bin/su にマウントするものであり、ksud の late-load は
late-load / post-mount / service / boot-completed の各段階しか実行しない（KernelSU ソース
userspace/ksud/src/late_load.rs）—— フレームワークを再起動しなければ、
その起動サイクルではこのマウントポイントが永遠に現れず、アプリ内の su -c … は
必ず error=2 になる。この2つの問題は同じ根本原因；KsudChannel）—— APK に ksud を
もう1つ同梱（libksud.so、jniLibs/arm64-v8a/ に配置、nativeLibraryDir にインストールされ、
App が直接 execve 可能）。libksud.so debug su で root シェルを開き、コマンドをその stdin に書き込む。
権限昇格はカーネルの ioctl(KSU_IOCTL_GRANT_ROOT) を経由し、
/system/bin/su に依存せず、認証ダイアログも不要、システムフレームワークの再起動も不要；* root 通道：helper=…，ksud=可用，su=… が出力され、どこで詰まっているか一目でわかる；su を実行する前に /data/adb/ksu/bin、/debug_ramdisk、/data/adb/magisk、/data/adb/ap/bin
を PATH に追加し、SU_PATHS も8件に拡張（一部の KernelSU 派生版はこれらのディレクトリにしか
su を置かない）。--soft-reboot を渡さなくなった。以前このパラメータは
ksud のインストール後にシステムフレームワークを再起動させていた —— ユーザーから見ると
「起動後にまた勝手に再起動した」という状態；さらに悪いことに、この再起動はアプリプロセスと
それが実行中の「インストーラー広告設定」を一緒に中断してしまう；su で
実行する方式に依存しなくなった（その時点では KernelSU がまだ準備できておらず、実機では
毎回の起動で失敗し、手動で KernelSU を開いてからアプリを開く必要があった）。
現在は同じ2つのコマンドを /data/adb/service.d/dfroot-ads.sh に書き込み、KernelSU が
毎回の起動時に root で実行する —— アプリを経由せず、su を経由せず、認証ダイアログも不要；cmd connectivity を自動実行し、
コマンド・出力・終了コードをすべてインターフェースのログに表示（実行成功なら必ず出力がある）；上流 DFRoot に同梱されているもので、コードはすべて app/src/main/jni/（exp.c + 2つの shellcode +
dirtyfrag-lkm/ 内のカーネルモジュール）にあり、libexp.so にコンパイルされて App から直接呼び出される：
splice() で読み取り専用ファイルの page cache を改ざん；/vendor/lib64/libstagefrighthw.so に書き込んでから finit_module でロードし、
SELinux を permissive に設定；libc.so / libc++.so をフックし、modprobe のドメインを借りて同梱の ksud を起動し、
KernelSU を late-load。高速（数秒）だが、代償として /dev/df に「今回すでに布陣済み」の痕跡を残し、
さらにその ksud のインストールパスは手動経路とは異なる（第7節参照）。
3つのバイナリはすべてプリコンパイル済み（バイト単位で未変更）：
| ファイル | 場所 | 役割 |
|---|---|---|
libcve43499root.so | jniLibs/arm64-v8a/ | helper、実行可能 ELF、App が直接 execve、Shizuku 不要 |
cve-2026-43499-app.so | assets/payloads/ | payload、helper が dlopen してから脆弱性を実行 |
ksud-s25u-kdp | assets/payloads/ | KernelSU 本体（ksud + 内蔵 kernelsu.ko） |
1. helper --run-payload <payload> <helper> <log> root を取得（確率型）
2. helper -c "cp ksud …" ksud を /data/local/tmp に配置
3. helper --late-load /system/bin/logcat を bind mount し、
次に exec "logcat late-load …" で KernelSU をインストール
成功判定：ログに exploit completed と done=1 root=1 が同時に出現すること。
インターフェースの「手動」方式が実行するのはこれ（「自動」方式は高速チャネルが失敗した場合に 続けてこれを実行する）。
手動でボタンをタップ（インターフェース上）
└─ 現在のプロセスで実行：方式「自動」= 高速チャネル → 手動；方式「手動」= 直接手動
起動時自動（BootReceiver、2つのブロードキャストでそれぞれ実行）
│
├─ 今回すでに root を取得済み（資格情報インストール済み、または他の root がまだ有効）？
│ ├─ インストーラー広告設定がまだ → 一度補完して終了
│ └─ すでに実行済み → スキップ
├─ フォアグラウンドサービスが実行中 / 前回がまだ終了していない？ → スキップ
│
├─ 第1ステップ · 高速チャネル DirtyFrag（数秒から数十秒、ブロードキャスト内で直接実行）
│ ├─ 成功 → 第3ステップ
│ ├─ 失敗だが痕跡なし（/dev/df が存在しない）→ 第2ステップへ
│ └─ 失敗だがすでに布陣済み（/dev/df が存在）→ 停止、スマホの再起動を促す
│
├─ 第2ステップ · 手動方式 CVE-2026-43499（3段階ラダー、フォアグラウンドサービスに委譲）
│ ├─ 成功 → 第3ステップ
│ └─ 3段階すべて失敗 → 今回はこれ以上試行せず、次回の起動を待つ
│
└─ 第3ステップ · インストーラー広告設定（2つの cmd connectivity、第5節参照）
├─ 成功 → そのまま KernelSU の起動スクリプトとして書き込み（/data/adb/service.d/）、以後の起動時に自動実行
└─ 失敗（まだロック解除していない / KernelSU がまだ準備できていない）→ フォアグラウンドサービスが30秒ごとにリトライ、最大5分
「起動（ロック解除前）」のブロードキャストでは高速チャネルのみ実行：手動経路は ksud を
/data/local/tmpに配置する必要があるが、そこは資格情報暗号化ストレージであり、 ロック解除前は書き込めず、実行しても無駄になる。 そのため手動経路は「起動完了」（ユーザーのロック解除後）のブロードキャストを待ってから実行する。
v1.5 の起動時自動は「ブロードキャスト受信 → フォアグラウンドサービスを起動し、サービスが経路を実行」だったが、
実機では機能しなかった：Android 12+ はバックグラウンドアプリのフォアグラウンドサービス起動を制限し、
LOCKED_BOOT_COMPLETED の瞬間に startForegroundService() はシステムに直接拒否され、
ブロードキャストは静かに終了する —— スイッチはオンだが、何も起こらない。
v1.6 では上流 DFRoot の方式に戻した（実機で検証済み）：ブロードキャスト内で高速チャネルを直接実行し、 さらに安定性を高めた：
goAsync() でプロセスを保持：ブロードキャストが終了していなければ、システムはこのプロセスを
キャッシュプロセスとして回収しない；BootLog（デバイス暗号化ストレージ）に記録し、インターフェースの
「前回の起動時自動：…」行に最後の結果を直接表示 —— 「まだ記録なし」と表示されれば、
起動ブロードキャストがそもそも届いていない。布陣後に手動方式を続けて実行しない理由：両方の経路がカーネル内で動作する ——
高速チャネルは page cache を改ざんし、カーネルモジュールをロードして SELinux を permissive にする；
この状態でさらに確率型の脆弱性を重ねることは、すでに「汚れた」カーネルに不確実性を上乗せすることになる。
そのため /dev/df が出現した時点で停止し、ユーザーに再起動を促すのであって、強行しない。
| ラウンド | 試行回数 | 初回検出上限 | 単回上限 | ハング判定 | ラウンド上限 |
|---|---|---|---|---|---|
| 第1ラウンド · 高速 | 6 | 20 s | 60 s | 40 s 新規ログなし | 3分 |
| 第2ラウンド · 安定 | 12 | 35 s | 100 s | 70 s 新規ログなし | 8分 |
| 第3ラウンド · 根気 | 24 | 60 s | 180 s | 110 s 新規ログなし | 15分 |
slide-kaslr-ok … slide=…）ことで、重複検出を省略 —— このアイデアは
polygraphene/DFReroot から；app/src/main/java/df/root/RmgChain.java の LADDER テーブルにあり、
調整したい場合は直接変更可能。| 機種 | ファームウェア | カーネル | 状態 |
|---|---|---|---|
| SM-S938B（Galaxy S25 Ultra、pa3q） | BP4A.251205.006.S938BXXS9CZE1 | 6.6.98-android15-8-pe17667d-abogkiS938BXXS9CZE1-4k | 両経路とも適応済み |
両経路ともカーネルバージョンでマッチングする（高速チャネルは android15-6.6 のカーネルモジュール、
手動は 6.6.98 のペイロードに依存）。ファームウェア / カーネルを変更する場合は、
対応するカーネルモジュールとペイロードを変更する必要がある。
App 起動時に、機種・ファームウェア・カーネル・KMI、および高速チャネルに必要な6つのパスを すべて出力する。
必要なもの：JDK 17+、Android SDK（platform 36 / build-tools 36.0.0）。
NDK は不要：libexp.so はコンパイル済み（リポジトリに同梱）、手動方式の3つのバイナリも
プリコンパイル済みで、app/build.gradle.kts に externalNativeBuild はない。
export JAVA_HOME=/path/to/jdk-21
export PATH="$JAVA_HOME/bin:$PATH"
export ANDROID_HOME=/path/to/android-sdk
./create-keystore.sh # app/keystore.jks を生成（.gitignore で除外済み）
echo "sdk.dir=$ANDROID_HOME" > local.properties
./gradlew :app:assembleRelease
# → app/build/outputs/apk/release/dfroot.apk
または直接 ./build.sh を実行すると、ビルドしてルートディレクトリの dfroot.apk にコピーする。