GhostLock — 잠긴 부트로더 탈옥

잠긴 부트로더가 있는 Android 기기를 위한 커널 익스플로잇. 부트로더 잠금 해제나 부팅 이미지 수정 없이 임시 루트 + KernelSU 설치를 달성합니다. 런타임 시 커널 버전을 자동 감지하며 다중 기기 오프셋 테이블을 포함합니다.

취약점

CVE-2026-43499 — Futex PI(우선순위 상속) Use-After-Free

Linux 커널 5.7 ~ 7.1에 영향. 안정 버전 6.1.175, 6.6.140, 6.12.86에서 수정됨. 2026년 9월 기준 대부분의 Android 기기는 패치되지 않은 상태입니다.

pselect6 syscall은 fd_set 데이터를 커널 스택에 복사합니다. futex PI 대기자(waiter) 메커니즘과 결합되면, 해제된 스택 프레임이 rt_mutex_waiter 구조체로 재사용될 수 있습니다. PI 체인 탐색 중 rb-tree 리밸런싱이 임의의 커널 주소에 제어된 값을 기록합니다.

지원 기기

검증 완료

오프셋 추출됨 (기기 테스트 대기 중)

실행 불가

pselect 스택 오버레이가 해제된 rt_mutex_waiter가 사용자 제어 가능한 stack_fds 영역(word 0–14) 내에 위치해야 합니다. 위치는 커널 버전이 아닌 컴파일러 PGO/LTO 프로파일에 의해 결정됩니다. 스택 레이아웃 참조.

6.1 실행 가능성 참고: OPLUS 6.1 커널은 PGO가 do_futex를 인라인화하여 일관되게 실행 불가능합니다. 그러나 일부 비-OPLUS 6.1 커널(vivo)은 표준 호출 체인을 유지하여 실행 가능합니다(vivo T4, X Fold3 Pro). 실행 가능성은 기기별로 확인해야 합니다.

익스플로잇 흐름

기기 기능에 따라 자동으로 선택되는 두 가지 루트 경로:

경로 A: UMH 루트 (권장, C ashmem 기기)

off_ashmem_misc_fops != 0 필요 (BSS에 정적 miscdevice가 있는 C ashmem).

PI 쓰기 (mode=4)  →  miscdevice fops를 가짜 fops로 리다이렉트
                   →  configfs r/w → pipe physrw (1바이트 정밀 커널 r/w)
                   →  SELinux enforcing = 0 (단일 바이트, policycap 손상 없음)
                   →  UMH: system_unbound_wq에 work_struct 주입
                   →  루트 스크립트 → ksud late-load → KSU 설치

사용 가능: OnePlus 13, OPPO Pad 4 Pro, 5.10/6.1 C ashmem 기기. Rust ashmem(6.12 GKI)에서는 사용 불가 — 힙 할당 miscdevice.

경로 B: 직접 PI 쓰기 (폴백)

쓰기 1 (mode=1)  →  SELinux enforcing = 0 (8바이트 쓰기, 인접 바이트 손상)
쓰기 2 (mode=2)  →  task->cred = init_cred (uid=0, 모든 capabilities)
루트 셸         →  ksud late-load → KSU → SELinux 정책 수정

W1+W2 이후, 익스플로잇은 SELinux 정책 바이너리의 config 필드를 패치하고(ANDROID_NETLINK_ROUTE + GETNEIGH에 대해 |= 0xC0000000), /sys/fs/selinux/load를 통해 재로드하여 네트워크 연결을 복원합니다.

부트스트랩 모드 (폰 단독)

앱 (seccomp)  →  쓰기 1 → mini-adb TCP → adb shell: 전체 익스플로잇 → 루트

자동 부팅

부팅 시 실행 런처는 별도의 GhostLock Anchor 앱에서 제공됩니다.

스택 레이아웃 실행 가능성

NFDS=320에서 core_sys_select는 커널 스택에 256바이트 stack_fds 버퍼를 할당합니다:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── USER CONTROLLED ──►│◄── KERNEL ZEROED ──►

익스플로잇은 fd_set 입력 비트맵에 가짜 대기자 필드(task, lock)를 배치합니다. 6.12 중첩 대기자(14 words)의 경우: 최대 실행 가능 대기자 word = 3. 5.10/6.1 컴팩트 대기자(10 words)의 경우: 최대 실행 가능 대기자 word = 7.

대기자 위치는 호출 체인 깊이에 따라 달라집니다:

kernel_phys_load

모든 커널 쓰기는 선형 맵 별칭을 사용합니다. 부트로더가 kernel_phys_load를 선택하며, 이는 SoC별로 다릅니다:

잘못된 값은 조용히 실패합니다. 루팅된 기기에서 읽으세요:

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

런타임 시 재정의: KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # 기본값 (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

5.10 커널은 0xffffffc008000000을 사용합니다(VA_BITS=39, 6.x 기본값 0xffffffc080000000과 다름). 이는 기기 오프셋 항목의 kimage_text_base 필드를 통해 자동으로 처리됩니다.

빌드

make NDK_ROOT=/path/to/android-ndk

또는 직접:

NDK=/path/to/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

전제 조건

ksud (KSU 설치에 필요)

GhostLock은 임시 루트를 제공합니다. KernelSU 설치에는 각 KMI 버전에 대한 kernelsu.ko를 번들하는 ksud가 필요합니다.

설정

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

부팅 완료 및 ADB 준비 후 실행하세요.

새 기기 추가

boot.img만 필요 — 루트나 기기 접근 권한이 필요 없습니다.

1. 커널 및 kallsyms 추출

전체 워크플로는 kallsyms 도구 가이드를 참조하거나:

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. 실행 가능성 확인

커널 바이너리에서 futex_wait_requeue_pi를 대상으로 하는 모든 분기 명령을 검색하여 do_futex가 PGO 인라인화되었는지 확인하세요. __arm64_sys_futex가 이를 직접 호출하면(do_futex 우회), 해당 기기는 실행 불가능할 가능성이 높습니다.

3. 기기 항목 생성

추출된 오프셋으로 src/devices/<name>/offsets.h를 추가하고 src/devices/offsets.h에 포함시키세요. 적절한 구조체 오프셋 매크로를 사용하세요:

5.10/6.1 컴팩트 대기자 기기의 경우 .kimage_text_base=0xffffffc008000000ULL도 설정하세요.

파일

라이선스

승인된 보안 연구 및 교육 목적으로만 사용하세요.