T807D 最终产物—源码一一对应恢复包

生成日期：2026-08-08

结论

本目录已经整理出当前项目中能够找回的完整 popsicle 源码树、必要头文件、嵌入式 su 载荷、生产二进制和运行脚本。

必须区分：

1. r562 SO 和 r557 helper 的生产二进制已完整保留，哈希可复核。
2. 项目没有保存这两个生产二进制编译前的旧源码快照、目标文件或带 DWARF 的完整构建产物。因此，当前源码不能被诚实地标记为“逐字节就是当时编译生产二进制的源码”。
3. 当前保存的源码是 Kit 中唯一完整的 popsicle 源码树，也是 2026-08-05 审查后的维护基线。

目录结构

source-final-correspondence-20260808/
├─ source/
│  ├─ exploit/
│  │  ├─ popsicle/
│  │  │  ├─ main.c
│  │  │  ├─ util.c
│  │  │  ├─ slide.c
│  │  │  ├─ fops.c
│  │  │  ├─ pipe.c
│  │  │  ├─ preload.c
│  │  │  ├─ root_bridge_helper.c
│  │  │  ├─ su_blob.S
│  │  │  ├─ su_daemon.c
│  │  │  ├─ common.h / offset.h / target.h
│  │  │  ├─ kernelsnitch/
│  │  │  └─ build/embed/su_daemon_aarch64_pie
│  │  └─ ghostlock-oneplus/kernelsnitch/
│  └─ target-files/popsicle-target.h
├─ embed/su_daemon_aarch64_pie
├─ artifacts/production/
├─ runtime/
├─ review-build/
├─ rebuild-current-source.ps1
├─ source-files.sha256
├─ binary-function-size-diff.md
├─ binary-function-size-diff.csv
└─ manifest.json

一一对应关系

r562 preload SO

生产文件：

artifacts/production/t807d-popsicle-r562-show-callback-canonical-20260804.so

SHA-256：

B6DED21F90096A2FA2567807F79E7E8CCFDF9802DAF4628277A333DD8FE7DB71

主要源码输入：

r557 root bridge helper

生产文件：

artifacts/production/t807d-root-bridge-helper-r557-show-verify-callback-20260804

SHA-256：

F7FF4C293902993183F98A8D314FA2ECD012A72A36F287A361C4503844EAAB91

主要源码输入：

运行脚本

• r562-show-stream.sh：加载 r562 SO 的生产参数。
• r571-current-helper-cred-stream.sh：r571/r572 临时 root 链路。
• r572-current-helper-cred-no-ksu.sh：不接入 KSU 的临时 root 阶段。
• r572-wrapper.sh：helper 环境包装。
• r575-selinux-rmw-safe.sh：SELinux RMW 阶段。
• r575-selinux-rmw-wrapper.sh：r575 包装器。
• artifacts/production 中的 r573、r575、ksu-* 文件：最终目录中实际使用的脚本副本。

已做的对应性验证

源码树完整性

已补齐两个容易被漏掉的相对路径依赖。

第一，target.h 引用：

#include "../../target-files/popsicle-target.h"

因此源码必须保持：

source/exploit/popsicle/target.h
source/target-files/popsicle-target.h

第二，popsicle/kernelsnitch/utils.h 和 kernelsnitch.h 继续引用：

../../ghostlock-oneplus/kernelsnitch/...

因此 source/exploit/ghostlock-oneplus/kernelsnitch/ 也必须保留。

只复制 source/popsicle 会得到“看起来齐全、实际无法编译”的不完整快照。本恢复包已经按原始相对路径布局整理。

当前源码重编译

工具链：

NDK: D:Android

dk 29android-ndk-r29 API: 35 ABI: AArch64

执行：

powershell.exe -NoLogo -NoProfile -ExecutionPolicy Bypass -File .

ebuild-current-source.ps1

当前源码重编译结果：

这证明源码树可编译，但不能替换 artifacts/production 中的已验证生产二进制。

为什么当前源码不能与 r562/r557 逐字节重现

时间线证据：

至少 common.h、pipe.c、preload.c、root_bridge_helper.c、util.c 的当前内容是在两份生产二进制生成之后才落盘或修改的。

项目中也没有找到：

• r562/r557 对应的旧 source 目录；
• 对应的 .o、.bc、.ll、.d 构建中间文件；
• 带源码行号的 DWARF 调试信息；
• 可复现生产构建的完整命令、编译器开关和源文件哈希清单。

所以从现有材料出发，能做到的是恢复全部可用源码并定位差异，不能把生产 ELF 反向变成当时逐字节的 C 源码。

二进制函数级差异

binary-function-size-diff.md 给出了生产文件与当前源码重编译文件的函数尺寸差异。

r562 SO 的关键差异：

• cleanup_page_prepare_state
• prepare_good_kernel_page
• direct_pselect_write_once_internal
• write_embedded_su_file

r557 helper 的关键差异：

• install_su_daemon
• pselect_install_task_creds
• pselect_marker_only
• pselect_direct_cred_worker
• 当前源码新增的 copy_env_path

这些差异与 Round592 源码审查记录的修复方向一致：环境变量路径复制、独立 linker symbol 地址差、分配失败处理、reclaim 清理等。

最终使用建议

• 要复现已经验证过的设备链路：使用 artifacts/production 中的生产二进制。
• 要继续改源码：以 source/ 为当前维护基线。
• 要审计来源和哈希：查看 manifest.json、source-files.sha256 和 binary-function-size-diff.md。
• 不要把 review-build 结果重新命名成 r562/r557；那会混淆生产回滚点和源码来源。

完整源码哈希在 source-files.sha256。生产产物、脚本、嵌入文件和审查构建结果的哈希在 manifest.json。

本次重编译测试

本次测试入口：

run_t807_jailbreak.cmd

对应 PowerShell：

run_t807_jailbreak.ps1

它固定引用：

test-payload-current-source/

其中 SO 和 helper 是刚刚由 source/ 重编译得到的产物，不是 production/ 中的 r562/r557 回滚文件。脚本设置 ForceCurrentSourceTest=true，因此即使设备之前已经处于 KernelSU root 状态，也会继续推送并测试本次新产物。

本次编译的三个完整输出：

日志输出到 logs-current-source/。