TempRoot-Huawei

Временный root для укреплённого ядра Huawei через CVE-2019-2215

Этот код написан для P20 Pro (CLT-AL00), а смещение ядра взято из прошивки с build fingerprint: 'HUAWEI/CLT-AL00/HWCLT:8.1.0/HUAWEICLT-AL00/176(C00):user/release-keys'

Предыстория

Как и Samsung KNOX, Huawei добавила множество механизмов, чтобы предотвратить эксплойты хакеров и повысить 'безопасность'.

• включён DEBUG_SPINLOCK, который добавляет дополнительную проверку на spainlock
• указатель на стек ядра в task struct обфусцирован с помощью случайного смещения kti_offset (как KASLR)
• get_fs() возвращает либо KERNEL_DS, либо USER_DS, поэтому изменение current_thread_info()->addr_limit не сработает
• uid/gid/capabilities в cred struct защищены гипервизором (EL2); процесс будет немедленно убит во время проверки доступа, если он станет root без использования commit_creds()
• CONFIG_SECURITY_SELINUX_DEVELOP не установлен, SeLinux нельзя перевести в глобальное permissive-состояние
• многие критические переменные доступны только для чтения после инициализации или защищены гипервизором, включая ss_initialized policydb->permissive_map security_hook_heads

Эти механизмы затрудняют эксплуатацию старых устройств Huawei, даже если они уязвимы к CVE-2019-2215.

Использование

Сначала скомпилируйте и запустите patch_system.c: это обнулит selinux, нарушив selinux mapping и вызвав avc_ss_reset().

Затем скомпилируйте и запустите poc.c, чтобы получить root-оболочку.

(Необязательно) Скомпилируйте su-демон и запустите его с помощью poc, чтобы разрешить другим приложениям использовать root (см. scripts/termux-boot).

Примечания

Su-демон взят и модифицирован из https://github.com/corellium/sud