GhostLock — 锁定引导加载程序越狱

针对锁定引导加载程序的 Android 设备内核漏洞利用。无需解锁引导加载程序或修改引导镜像即可实现临时 root + KernelSU 安装。运行时自动检测内核版本，并配备多设备偏移表。

漏洞

CVE-2026-43499 — Futex PI（优先级继承）释放后使用

影响 Linux 内核 5.7 ~ 7.1。已在稳定版 6.1.175、6.6.140、6.12.86 中修复。截至 2026 年 9 月，大多数 Android 设备仍未打补丁。

pselect6 系统调用将 fd_set 数据复制到内核栈上。当与 futex PI 等待者机制结合时，被释放的栈帧可被重新利用为 rt_mutex_waiter 结构。在 PI 链遍历期间的红黑树重平衡随后会将受控值写入任意内核地址。

支持的设备

已验证可用

已提取偏移（待设备测试）

不可行

pselect 栈覆盖要求被释放的 rt_mutex_waiter 落在用户可控的 stack_fds 区域（字 0–14）内。其落点由编译器 PGO/LTO 配置决定，而非内核版本。参见 栈布局。

关于 6.1 可行性的说明： OPLUS 6.1 内核因 PGO 内联 do_futex 而始终不可行。然而，部分非 OPLUS 6.1 内核（vivo）保留了标准调用链，因此可行（vivo T4、X Fold3 Pro）。可行性必须逐设备检查。

漏洞利用流程

两条 root 路径，根据设备能力自动选择：

路径 A：UMH Root（首选，C ashmem 设备）

要求 off_ashmem_misc_fops != 0（C ashmem，BSS 中具有静态 miscdevice）。

PI 写入 (mode=4)  →  将 miscdevice fops 重定向到伪造 fops
                   →  configfs 读/写 → pipe physrw（1 字节精确内核读/写）
                   →  SELinux enforcing = 0（单字节，无 policycap 破坏）
                   →  UMH：将 work_struct 注入 system_unbound_wq
                   →  root 脚本 → ksud 延迟加载 → KSU 已安装

适用于：OnePlus 13、OPPO Pad 4 Pro、5.10/6.1 C ashmem 设备。 不适用于 Rust ashmem（6.12 GKI）——堆分配的 miscdevice。

路径 B：直接 PI 写入（回退）

写入 1 (mode=1)  →  SELinux enforcing = 0（8 字节写入，破坏相邻字节）
写入 2 (mode=2)  →  task->cred = init_cred（uid=0，全部能力）
Root shell         →  ksud 延迟加载 → KSU → SELinux 策略修复

在 W1+W2 之后，漏洞利用会修补 SELinux 策略二进制的 config 字段（对 ANDROID_NETLINK_ROUTE + GETNEIGH 执行 |= 0xC0000000），并通过 /sys/fs/selinux/load 重新加载以恢复网络连接。

引导模式（手机独立运行）

应用 (seccomp)  →  写入 1 → mini-adb TCP → adb shell：完整漏洞利用 → root

自动启动

启动时启动器由独立的 GhostLock Anchor 应用 提供。

栈布局可行性

当 NFDS=320 时，core_sys_select 在内核栈上分配一个 256 字节的 stack_fds 缓冲区：

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── USER CONTROLLED ──►│◄── KERNEL ZEROED ──►

漏洞利用将伪造的等待者字段（task、lock）放置在 fd_set 输入位图中。对于 6.12 嵌套等待者（14 字）：最大可行 waiter word = 3。对于 5.10/6.1 紧凑等待者（10 字）：最大可行 waiter word = 7。

等待者位置取决于调用链深度：

kernel_phys_load

所有内核写入均使用线性映射别名。引导加载程序选择 kernel_phys_load，该值因 SoC 而异：

错误的值会静默失败。在已 root 的设备上读取：

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

运行时覆盖：KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # 默认 (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

5.10 内核使用 0xffffffc008000000（VA_BITS=39，不同于 6.x 默认值 0xffffffc080000000）。这通过设备偏移条目中的 kimage_text_base 字段自动处理。

构建

make NDK_ROOT=/path/to/android-ndk

或直接：

NDK=/path/to/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

前置条件

ksud（KSU 安装所需）

GhostLock 提供临时 root。KernelSU 安装需要 ksud，它针对每个 KMI 版本捆绑了 kernelsu.ko。

设置

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

在启动完成且 ADB 就绪后运行。

添加新设备

仅需 boot.img — 无需 root，无需设备访问权限。

1. 提取内核和 kallsyms

完整工作流程参见 kallsyms 工具指南，或：

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. 确定可行性

通过在内核二进制中搜索所有以 futex_wait_requeue_pi 为目标的分支指令，检查 do_futex 是否被 PGO 内联。如果 __arm64_sys_futex 直接调用它（绕过 do_futex），则该设备很可能不可行。

3. 创建设备条目

使用提取的偏移添加 src/devices/<name>/offsets.h，并将其包含在 src/devices/offsets.h 中。使用相应的结构体偏移宏：

对于 5.10/6.1 紧凑等待者设备，还需设置 .kimage_text_base=0xffffffc008000000ULL。

文件

许可证

仅限授权的安全研究和教育用途。