findn2-ksu-chain

KernelSU late-load em um OPPO Find N2 bloqueado — cadeia completa, LKM compilado por conta própria, sem bootloader desbloqueado.

futex-PI write primitive → cred overwrite → ADRP overflow fixed → kernelsu.ko live

✨ O que é isto

Uma cadeia de pesquisa completa e funcional que carrega um módulo de kernel KernelSU compilado por conta própria em um OPPO Find N2 (PGU110 / SM8475) de fábrica, bloqueado por OTA — terminando com su -c id → uid=0 … context=u:r:ksu:s0 enquanto o SELinux permanece Enforcing.

Tudo em lkm-build/ (o loader, o shim de symbol-wall, o sistema de build) é trabalho original deste repositório; o exploit de userland é um porte GPL-3.0 do framework matisse adaptado para este dispositivo (ver NOTICE).

🏗️ Como funciona

 ① futex PI requeue race      →  kernel write primitive  (GhostLock, CVE-2026-43499)
 ② task->cred = &init_cred    →  CapEff 0000000000000000 → 000001ffffffffff
 ③ gate check                 →  capable() ✓ SELinux ✓ domain ✓  (the wall was never here)
 ④ finit_module               →  R_AARCH64_ADR_PREL_PG_HI21 overflow  ← the real wall
                                fixed by -mcmodel=large: reloc-275 1497 → 0
 ⑤ kernelsu.ko live           →  /system/bin/su · u:r:ksu:s0 · SELinux Enforcing

📊 Resultados


Primitiva de escrita	`CapEff: 000001ffffffffff` observado no dispositivo (3/3 execuções)
Correção de relocação	contagem de tipo-275 1497 → 0 (histograma de `.rela` do ELF verificado)
Barreira de símbolos	TRIM_UNUSED_KSYMS cortou 49 símbolos → bootstrap de kprobe + definições antecipadas → 0 indefinidos
Gate SCM	`scmversion` fixado em `g74d132f4467a`, byte a byte exato
Estabilidade	gate de pré-verificação + receita de pressão reduzida; uptime final 27h+ sem travamentos

🚀 Início rápido

Compilar e executar (clique para expandir)

# 1) kernel modules are built by GitHub Actions (build-lkm.yml) — download artifacts,
#    or build locally:
KSRC=<vendor-tree> KSU=<KernelSU> CLANG=<clang12> CONFIG=config-5.10.236 \
    bash lkm-build/build-lkm.sh

# 2) stage-A write primitive (userland)
adb push exploit-v29/build/oppo-find_n2/bin/preload.so /data/local/tmp/preload29.so
adb shell "LD_PRELOAD=/data/local/tmp/preload29.so /system/bin/toybox id"   # uid=0

# 3) stage-B late-load
adb push lkm-build/out/ksu_min_load.ko lkm-build/out/kernelsu.ko /data/local/tmp/

# 4) verify
adb shell "su -c id"                     # uid=0 … context=u:r:ksu:s0
adb shell "grep kernelsu /proc/modules"  # kernelsu … Live

📁 Mapa do repositório

exploit-v29/     userland exploit (matisse port, GPL-3.0) + Find-N2 offsets
lkm-build/       ★ original build system: loader · symbol shim · CI scripts
analysis-scripts/  ELF / symbol / offset tooling
test-programs/   standalone PoC probes (C sources only)
docs/            research notes · evidence logs · handoff snapshots
RESEARCH.md      ★ full technical write-up (§1–§10)

📜 A história completa

Cada beco sem saída, linha de dmesg e correção está documentado em RESEARCH.md — incluindo por que o bloqueio de permissões nunca foi o problema, como o overflow do ADRP foi encontrado e eliminado, e o que mudou após a OTA 5.10.246.

🙏 Créditos

NebuSec/CyberMeowfia — pesquisa e framework de exploit do GhostLock (CVE-2026-43499)
ihamn/matisse-public (GPL-3.0) — upstream do exploit-v29/
Dere3046/ElevateMe — mecanismo de sobrescrita de credenciais via rb_erase
JoinChang/ghostlock-oneplus — validação cruzada de offsets do mesmo SoC
Comunidade DirtyFrag / DFRoot (CVE-2026-43284) — apenas ideias (limpeza de page-cache, stubs DEFEX, bypass de STATIC_USERMODEHELPER); nenhum código foi utilizado — lkm-build/minload/ é uma implementação original, comparação em RESEARCH.md §8
Discussões das comunidades lspromise e kanxue

⚖️ Licença e aviso legal

lkm-build/, docs, scripts: GPL-2.0-only · exploit-v29/: GPL-3.0 (upstream)
Apenas para pesquisa/educação, no seu próprio dispositivo, por sua conta e risco. Brick, perda de dados e perda de garantia são possibilidades reais. Nenhum firmware proprietário da OPPO está incluído neste repositório.

Mais Populares

oppo-ghostlock