GhostLock Kit — vivo iQOO Neo9S Pro (V2339FA / MT6989)

vivo iQOO Neo9S Pro（V2339FA、MediaTek MT6989） 向けの GhostLock ワンクリック root キット。 本リポジトリには以下が含まれます：MCAST transport 移植パッチ、ワンクリックスクリプト、完全な解析ドキュメント。完全な実行可能キット（バイナリと KernelSU を含む）は Releases を参照してください。

Device: vivo iQOO Neo9S Pro (V2339FA / PD2339, MT6989) Firmware: PD2339_A_16.2.12.1.W10.V000L1 (Android 16) Kernel: 6.1.145-android14-11-maybe-dirty Vulnerability: CVE-2026-43499 (futex PI requeue UAF) For device owners / security research only. Use on your own device.

ハイライト（TL;DR）

• オリジナル GhostLock の TCP/pselect transport は本機種（ベンダー +pgo,+bolt カーネル）ではスタックフレームがずれ、必ずクラッシュします。 本移植では setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) の 0x108 バイトのスタックコピー をポイズニングプリミティブとして発見・採用し、stale な rt_mutex_waiter を完全に上書きして全チェーン（W1→W2→W3→KernelSU）を貫通させました。
• 実測による成功率のコツ：デバイスを再起動後、ロック画面のままにして解除しないこと。このときシステムのユーザー空間サービスが最小となり、ほぼ一発で成功します。
• 公式 KernelSU v3.3.0 のペアバージョン（マネージャー 32601 + ドライバ 32601）を採用しており、バージョン不一致の警告はありません。 （実測では ReSukiSU 4.2.0-rc1 マネージャーは本機で開いた瞬間にカーネルがハングするため、採用を見送りました。）

クイックスタート

1. Releases から ghostlock-kit-20260913.zip をダウンロードして解凍します。
2. スマートフォンを USB で PC に接続します（adb 認証済み）。
3. 実行：

cd <解凍ディレクトリ>\ghostlock-kit
powershell -ExecutionPolicy Bypass -File .\scripts\run-at-lockscreen.ps1 -Reboot

4. [+] Root 成功！ が表示されれば完了です（実行中はスマートフォンのロックを解除しないでください）。確認：

adb shell su -c id
# uid=0(root) gid=0(root) groups=0(root) context=u:r:ksu:s0

失敗するとカーネル panic により自動再起動が発生し、スクリプトは自動的に待機して再試行します（成功率は約 25–30%/回。ロック画面のタイミングではほぼ一発で成功）。 root は一時的（KernelSU late-load）であり、スマートフォンの再起動後はスクリプトを再実行する必要があります。

リポジトリ構成

.
├── scripts/
│   ├── run-at-lockscreen.ps1   # ワンクリック：再起動→ロック画面待機→プッシュ検証→実行→自動再試行（推奨）
│   └── retry-if-needed.ps1     # 汎用再試行（強制再起動なし）
├── src/
│   └── ghostlock-mcast.patch   # ソースコード変更（ベースライン ghostlock-app @ 50d2b72）
├── docs/                       # 解析ドキュメント（エクスプロイトレポート/transport 解析/waiter と PI walk/デバイスマニュアル/トラブルシューティング記録）
└── LICENSE                     # Apache-2.0（上流を継承）

バイナリと完全なキット（files/ghostlock、files/ksud、files/offsets.json、KernelSU APK）は git リポジトリには含まれていません。 Releases から ghostlock-kit-20260913.zip をダウンロードしてください。

Release アセットと検証

キット内の主要ファイル（MD5）：

原理の概要

• 脆弱性：CVE-2026-43499——waiter スレッドが FUTEX_WAIT_REQUEUE_PI から戻った後も、task->pi_blocked_on がそのスタック上の rt_mutex_waiter を指したまま宙に浮いた状態になります。
• ポイズニング（本移植の核心）：setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) により do_ip_setsockopt が memset(0x108) + copy_from_user(0x108) を実行し、コピー範囲 [S'−0x338, S'−0x230) が該当 waiter（waiter はバッファオフセット 0x60 に位置）を完全に上書きします。 buf[8]=0 を設定するとファミリ検証が失敗し、syscall はコピー後にクリーンに戻ります。
• トリガー：consumer スレッドの sched_setattr → rt_mutex_adjust_prio_chain が偽造 waiter を読み取り → rb_erase の left-only relink により *(target) := value 書き込みプリミティブを形成します。

詳細は docs/ を参照してください（証拠チェーン、逆アセンブリ解析、クラッシュ現場を含む）。

よくある質問

ビルド（ソースからの再構築）

# ベースライン：ghostlock-app @ 50d2b72（PR#127 を含む）
git clone https://github.com/YuKongA/ghostlock-app.git
cd ghostlock-app && git checkout 50d2b72
git apply /path/to/src/ghostlock-mcast.patch
make NDK_ROOT=<your-ndk> ghostlock

パッチ内容：MCAST transport（do_mcast_fake_lock_route）、ルート選択、observe/事前構築ロジック、 GHOSTLOCK_WALK_LOG（consumer 側の walk 特定）、root スクリプトの pstore バックアップ、GHOSTLOCK_SKIP_VR。

謝辞とライセンス

• 上流プロジェクト：YuKongA/ghostlock-app（Apache-2.0）
• KernelSU（GPLv3）——本キット内の ksud と APK は公式 v3.3.0 リリースからのもので、著作権はその作者に帰属します
• ReSukiSU（GPLv3）——初期適配の参考
• 本リポジトリの変更は Apache-2.0 で公開されています（LICENSE を参照）

免責事項

本ツールは、デバイス所有者が自身のデバイスに対してローカルなセキュリティ研究および自己使用の root を行うためのものです。未承認のデバイスや違法な用途には使用しないでください。 本ツールの使用によりデバイスが不安定になったりデータリスクが生じたりする可能性があります。各自でバックアップを行い、相応の結果を負担してください。