GhostLock — OnePlus 15T

Эксплойт ядра для устройств OnePlus 15T с заблокированным загрузчиком. Использует CVE-2026-43499 для получения рут-доступа без разблокировки загрузчика или модификации boot.img.

Только для авторизованных исследований безопасности и образовательных целей.

Модифицировано из оригинального репозитория GhostLock-for-OnePlus, адаптировано для OnePlus 15T (PLZ110 / SM8850 / Snapdragon 8 Elite) с учётом физической памяти и таймингов CPU.

Обзор уязвимости

Пункт	Детали
CVE	CVE-2026-43499
Тип	Use-After-Free в Futex PI (Priority Inheritance)
Область действия	Ядро Linux 2.6.39 ~ 7.1
Исправлено в	Mainline 7.1 (коммит `3bfdc63936dd`)
Статус Android	GKI 6.12.x всё ещё уязвим

Основная причина

Системный вызов pselect6 копирует fd_set в стек ядра. При совместном использовании с механизмом ожидания futex PI освобождённый стековый фрейм может быть переиспользован как структура rt_mutex_waiter. При обходе цепочки PI перебалансировка rb-дерева записывает контролируемые данные в произвольные адреса ядра.

Цепочка

futex PI UAF (CVE-2026-43499)
  ├─ Подделка объекта rt_mutex_waiter
  ├─ Управление стеком ядра через разметку fd_set в pselect/select
  ├─ Запуск операции rt_mutex PI для произвольной записи
  ├─ Запись 1: selinux_state.enforcing = 0
  └─ Запись 2: cred → init_cred (uid=0, полные возможности)

Поддерживаемые устройства

Устройство	Кодовое имя	SoC	Ядро	Прошивка	Статус
OnePlus 15T	PLZ110	SM8850 (Snapdragon 8 Elite)	`6.12.38-android16-5-g844001fb8721-ab14552068-4k`	ColorOS 16.0.9.400	✅ Подтверждено

Для Ace 6T и OnePlus 15 смотрите оригинальный репозиторий.

Предварительные требования

ksud (требуется для KernelSU)

GhostLock обрабатывает повышение привилегий. Установка KernelSU требует ksud (входит в состав KMI-специфичного kernelsu.ko):

Источник	Примечания
ReSukiSU APK (рекомендуется)	Установите ReSukiSU; APK включает `libksud.so`
CI Релиз	Скачайте из ReSukiSU CI (`ksud-aarch64-linux-android.zip`)

Без ksud эксплойт всё равно получит оболочку root с uid=0, но KernelSU не будет установлен, и su не сохранится.

Сборка

Предварительные требования

Android NDK (r25+)
Установите ANDROID_NDK_HOME или ANDROID_NDK_ROOT

Сборка

# По умолчанию (API 35)
make

# Указать уровень API
make API=34

# Указать путь к NDK
NDK=/path/to/android-ndk make

Артефакт

ghostlock — статически слинкованный ARM64 ELF-исполняемый файл.

Использование

Одноразовая настройка

# 1. Включить ADB в TCP-режиме
adb tcpip 5555

# 2. Отправить ADB-ключ (требуется для режима bootstrap)
adb push ~/.android/adbkey /data/local/tmp/a/adbkey

# 3. Отправить эксплойт
adb push ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e

После первого успешного запуска resetprop автоматически установит persist.adb.tcp.port=5555, что позволит полностью автоматические запуски при последующих перезагрузках.

Режимы запуска

Полный эксплойт (контекст ADB shell)

/data/local/tmp/a/e

доступен perf, точное обнаружение дочернего task_struct
Двухэтапный: W1 отключение SELinux → W2 повышение привилегий → загрузка KernelSU

Режим Bootstrap (контекст приложения, seccomp ограничен)

/data/local/tmp/a/e --bootstrap

Запись 1 → отключение SELinux
Использование освобождённых прав для setprop включения ADB TCP 5555
Встроенный мини-ADB клиент подключается к 127.0.0.1:5555
RSA-аутентификация с предварительно отправленным ключом
Полное выполнение эксплойта через ADB shell (без seccomp)

Только запись 1

/data/local/tmp/a/e --write1

До 20 попыток
Полезно для отладки или временного отключения SELinux

Технические детали

1. Сопоставление ядра во время выполнения

Смещения хранятся в таблице поиска src/devices/offsets.h, ключ — uname -r. Программа автоматически сопоставляет при запуске; неизвестные ядра отклоняются.

static const struct kernel_offsets known_offsets[] = {
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14275539-4k", ...),
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14552068-4k", ...),
  OFFSETS_ENTRY("6.12.23-android16-5-...-ab14541642-4k", ...),
  { .uname_r = NULL }  /* sentinel */
};

Источники смещений

Тип	Количество	Извлечение
Глобальные символы kallsyms	28	`tools/extract_target.py`
Поля структур BTF	57	`tools/extract_btf.py`
Производные значения	9	Автоматически вычислены
Фиксированные константы	12	Жёстко заданы

Структуры, проверенные через BTF

Структура	Поля	Назначение
`task_struct`	17	Дескриптор процесса, cred, seccomp
`rt_mutex_waiter`	6	Цель подделки UAF
`cred`	4	Учётные данные, возможности
`seccomp`	3	Состояние фильтра seccomp
`pipe_inode_info`	11	Операции с буфером канала
`file_operations`	13	Таблица поддельных fops
`mm_struct`	1	Владелец дескриптора памяти

2. Обход KASLR

Режим SLIDE — утечка boot_id

Когда указатели ядра ограничены (kptr_restrict), утечка базового адреса через boot_id, перезаписанного адресом ядра:

Чтение /proc/sys/kernel/random/boot_id
  └─ UUID содержит адрес nfulnl_logger
      └─ Сдвиг KASLR = утёкший адрес - смещение образа
          └─ kaslr_base

Режим FOPS/CFI — утечка таблицы fops

Если устройство ashmem доступно, используйте примитивы чтения/записи configfs для чтения указателей функций из таблицы fops ashmem и вычисления смещения KASLR.

3. Распыление кучи ядра

Подделка объектов ядра на страницах order-3 (32 КБ):

Поддельный file_operations — перехват указателя fops miscdevice ashmem
Поддельный rt_mutex_waiter — имитация узла ожидания в цепочке PI
Поддельный task_struct — ссылка на задачу при обходе PI
Поддельный rt_mutex (блокировка) — корректная информация о waiter/owner

Реализовано через SKB (сокетный буфер) + KernelSnitch:

KernelSnitch — коллизия хеша futex для утечки адресов mm_struct
Распыление SKB — sendmsg для заполнения кучи ядра

4. Физическое чтение/запись через канал (Pipe)

После получения базы KASLR используйте буферы канала для доступа к памяти на физическом уровне:

1. Найти буфер канала в physmap
2. Подделать таблицу операций pipe_buffer, указывающую на известные pipe_buf_ops
3. Перехватить pipe_buffer.page для указания на целевой физический адрес
4. Произвольное физическое чтение/запись через обычные операции с каналом

Поддерживается: pipe_read64, pipe_write64, pipe_phys_read_data, pipe_phys_write_data

5. Двухэтапная запись

Запись 1 — отключение SELinux

Цель: selinux_state.enforcing (смещение 0x00)
Метод: запись PI дочернего узла → подделка __rb_parent_color waiter,
       указывающего на selinux_enforcing - 8
       перебалансировка rb-дерева записывает 0x00

GhostLock-for-OnePlus15T

Популярное

GhostLock — OnePlus 15T

Содержание

Обзор уязвимости

Основная причина

Цепочка

Поддерживаемые устройства

Предварительные требования

ksud (требуется для KernelSU)

Сборка

Предварительные требования

Сборка

Артефакт

Использование

Одноразовая настройка

Режимы запуска

Полный эксплойт (контекст ADB shell)

Режим Bootstrap (контекст приложения, seccomp ограничен)

Только запись 1

Технические детали

1. Сопоставление ядра во время выполнения

Источники смещений

Структуры, проверенные через BTF

2. Обход KASLR

Режим SLIDE — утечка boot_id

Режим FOPS/CFI — утечка таблицы fops

3. Распыление кучи ядра

4. Физическое чтение/запись через канал (Pipe)

5. Двухэтапная запись

Запись 1 — отключение SELinux

Запись 2 — повышение до root