OPPO Find X6 Pro GhostLock 适配项目

概述

本项目针对 CVE-2026-43499 (GhostLock) 漏洞在 OPPO Find X6 Pro (PGEM10) 上进行适配研究。

基于 NebuSec CyberMeowfia 原始 exploit 架构，参考 oppo-ghostlock 适配思路。

设备信息

项目	值
设备	OPPO Find X6 Pro (PGEM10)
芯片	Snapdragon 8 Gen 2 (SM8550)
内核	Linux 5.15.149-android13 #1 SMP PREEMPT
编译日期	Thu Feb 13 2025
Android	15 (ColorOS 15.0)
ROM 版本	PGEM10_15.0.0.600(CN01)
PAC	CONFIG_ARM64_PTR_AUTH_KERNEL=y
BTI	CONFIG_ARM64_BTI_KERNEL=y
KASLR	CONFIG_RANDOMIZE_BASE=y
VA_BITS	39
VA 偏移	P0_PAGE_OFFSET = 0xffffff8000000000

项目成果摘要

✅ 已完成

模块	状态	说明
Perf KASLR bypass	✅	核心突破 — 通过 perf_event_open + callchain 采样，<1s 获取当前 KASLR slide
MM_STRUCT_SZ 修正	✅	从 0x500 修正为 0x400（1024B），KernelSnitch 立即成功
IDA 偏移全验证	✅	所有关键符号/结构体/函数已通过 IDA 交叉验证
FUTEX_CMP_REQUEUE_PI	✅	GhostLock UAF 触发成功
ashmem 验证	✅	C ashmem 可用，type confusion 路径理论可行
调用链分析	✅	确认内核中无调用链深度 ≥ 0x800
内核配置扫描	✅	完整攻击面评估

❌ 阻塞

模块	状态	根本原因
SLIDE 栈覆盖	❌	PAC 导致 futex 链栈帧膨胀至 0xA70，pselect 仅 0x620
fops 覆盖	❌	需要 SLIDE，PAC 阻断
type confusion	❌	依赖 fops 覆盖
Pipe physrw	❌	依赖 type confusion
Root	❌	依赖上述链路

项目结构

oppo-pgem10-ghostlock/
├── README.md                      # 本文件
├── 问题描述.md                     # 详细问题分析
├── docs/
│   ├── architecture.md            # 架构设计与调用链
│   └── adaptation-guide.md        # PAC 内核适配指南
├── reports/
│   ├── offsets.md                 # IDA 偏移验证报告
│   ├── kaslr.md                   # KASLR 分析报告
│   └── summary.md                 # 最终总结
├── src/
│   ├── kaslr_perf.h               # Perf KASLR 可复用模块
│   └── kaslr_perf.c               # Perf KASLR 实现
└── analysis/
    └── chains/                     # 调用链分析脚本

关键配置差异 (PGEM10 vs Pixel 10)

CONFIG_ARM64_PTR_AUTH_KERNEL=y    # ← 核心差异：PAC 直接导致帧膨胀
CONFIG_ARM64_BTI_KERNEL=y         # BTI 进一步增加开销
CONFIG_SHADOW_CALL_STACK=y        # SCS 增加栈帧
CONFIG_VMAP_STACK=y               # 栈可重映射
CONFIG_KASAN_HW_TAGS=y            # 编译启用
CONFIG_ARM64_VA_BITS=39           # 39位VA（非48位）

阻塞根因：PAC 栈帧膨胀

函数                   Pixel 10 (无PAC)    PGEM10 (有PAC)
__arm64_sys_futex         0x90              0x4C0
do_futex                  0x70              0x420
futex_wait_requeue_pi     0x1A0             0x1B0
─────────────────────────────────────────────────
futex 链总深              0x300             0xA70  ← 3.5倍
pselect 栈深              0x620             0x620
覆盖可能？                ✅ YES            ❌ NO (0xA70 > 0x620)

调用链分析确认：内核中 0 条 调用链深度 ≥ 0x800（2048B）。 最大单帧：0x1F0（496B）。

参考资源

• 原始项目: https://github.com/NebuSec/CyberMeowfia
• OPPO Find N2 适配: https://github.com/pubglite55/oppo-ghostlock
• NebuSec research: https://nebusec.ai/research/ionstack-part-2/
• 内核源码: https://github.com/oppo-source/android_kernel_oppo_sm8550
• 通用内核源码: https://github.com/oppo-source/android_kernel_common_oppo_sm8550