一款适用于 iQOO Z9 5G 和 vivo T3 5G 的越狱/Root Android 应用及 payload。这两款设备均使用 MediaTek Dimensity 7200（MT6886）平台。
支持两种运行方式：通过 Shizuku 运行 Android APK，或直接从 adb shell 运行原生辅助程序。两种方式均使用相同的设备专属 payload 和 KernelSU 守护进程。
此移植使用 CVE-2026-43499 Ghostlock 内核漏洞利用链来获取临时引导 root，然后延迟加载匹配的 KernelSU 守护进程。这是面向 iQOO Z9 5G（型号 I2302）和 vivo T3 5G（型号 V2334）的设备专属越狱/Root 研究构建，使用内核 5.15.178-android13-8-g0ebe6a5da65d。它不是通用的 Android Root 工具，只能用于你拥有或获授权测试的硬件。
在此移植中，iQOO Z9 5G I2302 和 vivo T3 5G V2334 被视为同一目标。它们的 SoC、固件行为、内核版本、ABI、漏洞利用偏移和 KernelSU 配对均相同；构建指纹是预期的身份差异。因此它们使用相同的 payload 和支持配置。应用仍然要求上面列出的确切内核版本：5.15.178-android13-8-g0ebe6a5da65d。
有关将此项目适配到其他设备的说明，请参阅移植到其他设备指南。
这个项目花费了大量精力和资金才完成。如果它对你有所帮助，你可以请作者喝杯咖啡来支持这项工作：
感谢 Codex 在开发过程中提供的帮助。
app/ Android/Compose application source and UI resources
payload/ iQOO exploit source, target profile, build script, and release inputs
运行时流程如下：
I2302 或 V2334、运行的内核为 5.15.178-android13-8-g0ebe6a5da65d，且设备为 arm64 架构。payload/src/su_daemon.c 编译的原生辅助程序，这正是此移植所需的执行上下文。应用调用辅助程序的 --run-payload 监督器——与经过验证的 adb 运行手册使用的子进程/会话交接相同——并跟踪其持久的漏洞利用日志。ksud，执行受保护的 KernelSU 延迟加载，并验证控制通道。重要恢复说明： 如果手机卡死或无法启动，请同时按住音量下键 + 电源键，直到它强制重启。
从 GitHub Releases 页面下载最新的 APK。
从 KernelSU 发布页面下载官方的 KernelSU Manager APK。
普通 Android 应用运行在 untrusted_app SELinux 域中。在这台设备上，该域无法读取 tracefs，因此直接从 APK 启动辅助程序会使 payload 回退到物理 oracle，并且通常在管道关卡处失败。因此，要获得可正常工作的 APK 安装，必须使用 Shizuku。应用通过 Shizuku shell 服务（UID 2000）启动辅助程序的 --run-payload 监督器，这为 tracefs 路径提供了与经过验证的 adb shell 运行相同的执行上下文和进程交接。
设置页面仍提供不使用 Shizuku开关，用于诊断和后续开发。它被明确标记为不受支持；关闭它会导致安装在漏洞利用开始之前停止。
先重启手机；此移植每次启动只允许一次漏洞利用尝试。启动 Shizuku，确认越狱/Root 应用仍具有权限且使用 Shizuku（必需）已启用，然后点按安装 KernelSU。实时日志应在 payload 启动前包含 Shizuku permission granted。在漏洞利用运行期间，请保持手机唤醒并连接到电源。
如果 Shizuku 被停止、权限被撤销，或设备在运行过程中被重启，请先停止并重启，然后再试。不要在同一次启动中反复重试漏洞利用。Shizuku 模式只改变辅助程序的启动方式；它不会让这个设备专属 payload 可移植到其他型号或内核。
APK 是可选的。adb shell 本身就以 Android 的 shell UID 运行，因此它提供了 APK 通过 Shizuku 才能获得的 tracefs 访问权限。这是原始的诊断/运行手册路径，不需要 Shizuku。
每次尝试都请使用一次全新的启动。栈写入器每次启动只能运行一次；在出现 stack writer ran; refusing retry on this boot 之后不要再重新运行漏洞利用。
在仓库根目录下，暂存匹配的 iQOO 二进制文件：
adb reboot
# Wait for Android to finish booting, then push the payload and helper.
adb push payload/build/cve-2026-43499-app.so \
/data/local/tmp/iqoo-app.so
adb push payload/build/cve-2026-43499-root \
/data/local/tmp/cve-2026-43499-root
adb push payload/artifacts/ksud-iqoo-z9-5g \
/data/local/tmp/ksud-iqoo-z9-5g
adb shell chmod 755 \
/data/local/tmp/cve-2026-43499-root \
/data/local/tmp/ksud-iqoo-z9-5g
adb shell rm -f /data/local/tmp/iqoo-app-run.log
启动辅助程序的监督器。保持此终端连接并等待其完成；正常运行可能需要几分钟：
adb shell 'SLIDE_SOURCE=tracefs EXPLOIT_ATTEMPTS=1 \
P0_ATTEMPT_TIMEOUT_SEC=115 EXPLOIT_ATTEMPT_TIMEOUT_SEC=600 \
/data/local/tmp/cve-2026-43499-root --run-payload \
/data/local/tmp/iqoo-app.so /data/local/tmp/cve-2026-43499-root \
/data/local/tmp/iqoo-app-run.log'
只有当日志同时包含 exploit completed 和 root=1 时，漏洞利用阶段才算完成。如果引导 root 成功，请使用辅助程序精确的单参数操作延迟加载匹配的 KernelSU 守护进程：
adb shell '/data/local/tmp/cve-2026-43499-root --late-load'
不要向 --late-load 追加 KMI 或管理器参数；此目标的辅助程序已将 iQOO KMI、加载器路径和 KernelSU 选项编译在内。成功的延迟加载会打印一条 KernelSU 控制验证消息。
要求：Android SDK 37、NDK 28.2.13676358 和 CMake 3.22.1。
设置一次 NDK 路径，然后构建独立的 payload 构建产物：
export ANDROID_NDK_HOME="/path/to/android-sdk/ndk/28.2.13676358"
make -C payload all
make apk-release
发布目标会在需要时重新构建本地独立的 payload 构建产物；APK 仍会从最新的 GitHub 发布版下载其运行时 payload。
签名后的 APK 写入 app/build/outputs/apk/release/app-release.apk。
内核源码、模块对象和 init 配套文件不在此干净检出目录中。
这是一个高度设备专属的移植。漏洞利用偏移、PAC/KASLR 逻辑、栈布局、内核 ABI、模块元数据和 KernelSU 守护进程均与使用上述内核的、经过测试的 iQOO Z9 5G（I2302）和 vivo T3 5G（V2334）设备匹配。不应指望这些二进制文件能在其他型号、固件、内核版本或实质不同的构建上工作；它们可能导致不兼容的设备中止、死机或内核崩溃。不同的设备需要自己的目标配置、源码审计和硬件验证。
KernelSU 在每次启动时延迟加载一次，不是对启动映像的持久修改。测试设备时，请遵循原始移植文档中的运行手册，并始终保留可用的恢复模式访问途径。
只能在你拥有或明确获授权测试的硬件上使用。
此源码目前支持所列内核系列的 iQOO Z9 5G（I2302）和 vivo T3 5G（V2334）。对于同一内核系列中的其他设备，可以将其作为起点，在该设备上验证后替换设备专属的值。对于不同的内核系列（如 5.10 或 6.x），请先在 GitHub 上找到匹配的公开源码、漏洞利用移植或参考资料，并为该内核调整配置。
你需要设备的精确 boot.img 和匹配的内核源码树。AI 编码代理可以帮助检查这些文件、准备构建并更新移植。我推荐使用搭载 Luna 模型的 Codex。请先使用直接 adb 方法（而非 APK）进行构建和测试。运行代理的构建，在你自己的设备上执行，然后将完整输出和任何 panic 日志返回给代理。重复该构建/测试/日志循环，直到移植成功。