GhostLock 在 PD2229 (SM8475, 5.10.233 GKI) 的利用失败总结

一、漏洞与设备事实

1.1 CVE-2026-43499 (GhostLock) 基本信息

项目	值
漏洞类型	rt_mutex / futex PI 路径中的栈上 Use-After-Free
引入版本	Linux 2.6.39-rc1 (2011年5月，commit 8161239a8bcc)
修复版本	主线 7.1 (commit 3bfdc63936dd)，各稳定分支：6.1.175 / 6.6.140 / 6.12.86 / 6.18.27 / 7.0.4
前置条件	CONFIG_FUTEX_PI=y（主流内核默认开启）
CVSS	7.8 High
利用稳定性	NebuSec 原链 97%，约 5 秒获取 root
kernelCTF 奖金	$92,337 USD

受影响内核范围：

• 2.6.39 ≤ Linux < 6.1.175 ✅ 受影响
• 6.2 ≤ Linux < 6.6.140 ✅ 受影响
• 6.7 ≤ Linux < 6.12.86 ✅ 受影响
• 6.13 ≤ Linux < 6.18.27 ✅ 受影响
• 6.19 ≤ Linux < 7.0.4 ✅ 受影响
• Android GKI 5.10 未在任何修复分支中 → PD2229 的 5.10.233 理论上受影响

1.2 PD2229 设备实测

项目	值
SoC	Qualcomm SM8475 (Snapdragon 8 Gen 1 Plus)
内核版本	5.10.233-gki-g6e61de9f5b58 #1 SMP PREEMPT (Nov 24 2025)
Android 版本	15 (OriginOS 5)
编译时间	2025/11/25
安卓补丁	2025/11/01
CONFIG_FUTEX_PI	y ✅
CONFIG_UNMAP_KERNEL_AT_EL0	y (KPTI 开启)
kptr_restrict	enforced
CONFIG_IO_URING	y ✅（vmlinux 符号确认，且 seccomp 未拦截 io_uring_setup）

---

二、理想利用链 vs PD2229 实际进度

2.1 NebuSec 原链（x86_64 / Pixel 10 成功）

1. KASLR 绕过        → prefetch timing / PR_SET_MM_MAP auxv
2. UAF 触发          → 三线程 PI 依赖死锁 → FUTEX_CMP_REQUEUE_PI 返回 -EDEADLK
3. 栈回收            → PR_SET_MM_MAP 将 auxv 拷贝到 waiter 栈帧
4. rb_erase 受限写   → 覆写 inet6_protos[IPPROTO_UDP]
5. CEA + ROP         → 控制流劫持
6. core_pattern 翻转 → root shell (97% 成功率)

2.2 PD2229 各环节实际进度

阶段	状态	说明
1. KASLR 绕过	✅ 已实现	perf_event_open + callchain sampling 侧信道（与 OPPO Find X6 Pro 5.15.149 适配方法一致）
2. UAF 触发	✅ 已实现	三线程 PI 死锁成功，FUTEX_CMP_REQUEUE_PI 返回 -EDEADLK
3. 栈回收原语	❌ 架构性失败	所有已知 syscall 的栈帧与 waiter 不重叠（详见第三节）
4. rb_erase 受限写	❌ 阻塞中	前置条件未满足
5. inet6_protos 覆写	❌ 未开始	依赖阶段 4
6. ROP / 控制流劫持	❌ 未开始	依赖阶段 5
7. root shell	❌ 未开始	依赖阶段 6

---

三、栈回收原语穷举结果（PD2229 实测）

3.1 栈帧布局关键计算

futex 路径总深度:
  __arm64_sys_futex    0x90
  + do_futex           0xc0
  + futex_wait_requeue_pi  0x1b0
  = 0x300
waiter 位置 = SYS_SP - 0x300 + 0x20 = SYS_SP - 0x2e0

pselect 路径:
  core_sys_select 栈帧 0x1c0, stack_fds 在 sp+0x50
  覆盖区间: SYS_SP - 0x1c0 + 0x50 = SYS_SP - 0x170 起
  与 waiter (SYS_SP - 0x2e0) 差距 0x170 (368 字节) → 不重叠

3.2 已尝试的 17 种栈写入方法

#	方法	系统调用	PD2229 结果	核心失败原因
1	stamp_prctl	PR_SET_MM_MAP	❌ EPERM	Android 硬拦截
2	stamp_pselect	pselect6 (NFDS=320)	❌ 不重叠	waiter 在 fd_set 下方 120B
3	stamp_pselect	pselect6 (NFDS>336)	❌ 堆分配	kvmalloc 路径
4	stamp_socket	MCAST_JOIN_SOURCE_GROUP	❌ 覆盖不足	仅写 lock 字段
5	stamp_sendmsg	sendmsg	❌ 距 waiter 80B	栈帧 0x90 深度不足
6	stamp_sendmmsg	sendmmsg	❌ 距 waiter 112B	栈帧不足
7	stamp_recvmmsg	recvmmsg	❌ 清零 task/lock	0x1d0 栈帧破坏关键指针
8	stamp_process_vm	process_vm_writev	❌ 不重叠	子线程栈独立分配
9	stamp_keyctl	KEYCTL_INSTANTIATE_IOV	❌ EOPNOTSUPP	系统调用不支持 + 栈帧 0x40
10	stamp_tcp	TCP_ZEROCOPY_RECEIVE	❌ 栈帧不足	预估深度不够
11	stamp_futex	FUTEX_CMP_REQUEUE_PI 递归	❌ 逻辑不可行	破坏 UAF 窗口
12	binder ioctl	BINDER_WRITE_READ	❌ EACCES	shell 无 /dev/binder 权限
13	poll	poll	❌ 堆分配	pollfd 在堆上
14	epoll_wait	epoll_wait	❌ 帧太浅	栈帧 0xE0
15	sched_setattr	sched_setattr	❌ 深度不足	栈帧 0xb0
16	timerfd_settime	timerfd_settime	❌ 无栈复制	无大栈缓冲区
17	io_uring_register	IORING_REGISTER_*	❌ 双失败	①栈帧仅 0xF0，copy_from_user 目标固定 sp+0x8（与 waiter 的 sp+0x1D0 差 424 字节）；②虽然 io_uring_setup 未被 seccomp 拦截（返回 EFAULT 而非 ENOSYS），但栈布局不匹配

17/17 全部失败。

3.3 失败的根本原因

PD2229 的 SM8475 5.10 GKI 编译器（PGO + LTO + BOLT）输出的栈布局，导致 core_sys_select 的 stack_fds 与 futex_wait_requeue_pi 的 rt_mutex_waiter 架构性不重叠。这是编译器决定的客观事实，而非利用技巧问题。

JoinChang 仓库明确说明："The pselect stack overlay only works when the freed rt_mutex_waiter lands within the user-controllable region of the stack_fds buffer"——PD2229 不满足此条件。

---

四、公开参考仓库对比分析

NebuSec/CyberMeowfia — 原始利用框架

• 仓库：https://github.com/NebuSec/CyberMeowfia
• 目标：x86_64 Linux / Pixel 10 (6.x GKI)
• 栈回收：PR_SET_MM_MAP 将 auxv 拷贝到内核栈
• 成功率：97%，约 5 秒[root shell]
• PD2229 适用性：❌ PR_SET_MM_MAP 在 Android 上被 EPERM 拦截

JoinChang/ghostlock-oneplus — 一加锁 BL jailbreak

• 仓库：https://github.com/JoinChang/ghostlock-oneplus
• 已验证设备：
  • OnePlus Ace 6T (PLR110, SM8845) — 6.12.38 GKI ✅
  • OnePlus 15 (PLK110, SM8845) — 6.12.23 GKI ✅
• 技术要点：
  • 偏移自动提取：kallsyms (28) + BTF (57) + 派生 (9) + 常量 (12) = 103/103
  • pselect 栈覆盖，SP diff = -64
  • PSELECT_SHIFT = -2
  • 利用链：futex UAF → 伪造 waiter → pselect 控制栈 → rb_erase 受限写 → selinux_state.enforcing=0 → cred 覆写为 init_cred
• 明确声明不可行："Not Feasible (stack layout incompatible)" — 仅适用于 pselect stack_fds 与 waiter 重叠的内核
• PD2229 适用性：❌ 内核代次不符（6.12 vs 5.10），且栈布局不重叠

p2p3p/GhostLock-for-OnePlus — 一加 6.12 完整利用

• 仓库：https://github.com/p2p3p/GhostLock-for-OnePlus
• 已验证：OnePlus Ace 6T (SM8845, 6.12.38) ✅
• PD2229 适用性：❌ 同 JoinChang，内核代次不符

YuKongA/ghostlock-oplus — OPPO Find N5/X8

• 仓库：https://github.com/YuKongA/ghostlock-oplus
• 内核：6.6.118 GKI
• PD2229 适用性：❌ 内核代次不符

OPPO Find X6 Pro (PGEM10) 适配 — 5.15.149

• 设备：SM8550, 5.15.149-android13, Android 15
• 进展：✅ KASLR 绕过（perf_event_open + callchain sampling）；后续阶段未公开完整利用
• 意义：证明 5.15 GKI 上 KASLR 绕过可行，但栈回收阶段未公开验证

pubglite55/oppo-ghostlock — OPPO Find N2

• 仓库：https://github.com/pubglite55/oppo-ghostlock
• 设备：OPPO Find N2 (CPH2413, SM8475)
• 内核：5.10.236-android12-9-o-g74d132f4467a
• Android：16 (BP2A.250605.015)
• 已实现：
  • ✅ Firefox CVE-2026-10702 AAW（Stage 1）
  • ✅ KASLR bypass（直接计算 kaslr_base）
  • ✅ GhostLock FUTEX 触发（FUTEX_CMP_REQUEUE_PI ret=0）
  • ✅ KernelSnitch mm_struct 泄漏
  • ✅ sk_buff 堆喷射（4/4 send 成功）
  • ✅ IDA Pro 70+ 偏移验证
• 核心阻塞：

  "pselect 无法操纵 waiter 结构 — NFDS >336 时 fd_set 在堆上；configfs/ashmem 不支持（ashmem SET_NAME 被截断）；所有其他内核写入路径被阻塞（/proc/self/mem, /dev/mem, binder）"

• PD2229 关系：同平台同代次（SM8475, 5.10.236 vs 5.10.233），仅差 3 个小版本，面临完全相同的架构性限制

harry1080/oppo-ghostlock — OPPO Find N2

• 仓库：https://github.com/harry1080/oppo-ghostlock
• 设备：OPPO Find N2 (CPH2413, SM8475)
• 内核：5.10.236-android12-9-o-g74d132f4467a
• Android：16 (BP2A.250605.015)
• 社区公开声明：

  "pixel10 能利用的版本的 pselect stack_fds 正好和 rt_waiter 在内核栈上重合，这个部分实际上是最麻烦的地方，OPPO findN2 的内核这两个调用的栈部分完全不重合，或者重合也不可控，得找另外的控制栈的方法，要换其他可控内核栈的系统调用来构造栈，简单适配偏移是不可能成功的，oppo 的 rt_waiter 完全与 pselect stack_fds 不重合"

• PD2229 关系：与 PD2229 同为 SM8475 5.10 GKI，结论完全适用

4.3 参考仓库对比总表

仓库	设备	SoC	内核	栈回收方法	状态	PD2229 可复用性
NebuSec/CyberMeowfia	Pixel 10	-	6.x	PR_SET_MM_MAP	✅ 97%	❌ Android 拦截
JoinChang/ghostlock-oneplus	OnePlus Ace 6T	SM8845	6.12.38	pselect (SP diff=-64)	✅ 已验证	❌ 内核代次不符
p2p3p/GhostLock-for-OnePlus	OnePlus Ace 6T	SM8845	6.12.38	pselect	✅ 已验证	❌ 内核代次不符
YuKongA/ghostlock-oplus	Find N5/X8	-	6.6.118	pselect	✅	❌ 内核代次不符
OPPO Find X6 Pro 适配	Find X6 Pro	SM8550	5.15.149	perf KASLR + ?	🟡 KASLR ✅, 后续未公开	❌ 平台不同
pubglite55/oppo-ghostlock	Find N2	SM8475	5.10.236	穷举失败	❌ 核心阻塞	⚠️ 同平台同代次，命运一致
harry1080/oppo-ghostlock	Find N2	SM8475	5.10.236	穷举失败	❌ 架构性不可行	⚠️ 同平台同代次，命运一致
PD2229 (本报告)	PD2229	SM8475	5.10.233	17 种候选全失败	❌ 架构性不可行	—

---

五、关键内核符号与偏移（PD2229 vmlinux 实测）

静态基址 0xffffffc008000000，运行时需加 KASLR slide。