OPPO Find X6 Pro GhostLock 适配项目
概述
本项目针对 CVE-2026-43499 (GhostLock) 漏洞在 OPPO Find X6 Pro (PGEM10) 上进行适配研究。
基于 NebuSec CyberMeowfia 原始 exploit 架构，参考 oppo-ghostlock 适配思路。
设备信息
| 项目 | 值 |
|---|
| 设备 | OPPO Find X6 Pro (PGEM10) |
| 芯片 | Snapdragon 8 Gen 2 (SM8550) |
| 内核 | Linux 5.15.149-android13 #1 SMP PREEMPT |
| 编译日期 | Thu Feb 13 2025 |
| Android | 15 (ColorOS 15.0) |
| ROM 版本 | PGEM10_15.0.0.600(CN01) |
| PAC | CONFIG_ARM64_PTR_AUTH_KERNEL=y |
| BTI | CONFIG_ARM64_BTI_KERNEL=y |
| KASLR | CONFIG_RANDOMIZE_BASE=y |
| VA_BITS | 39 |
| VA 偏移 | P0_PAGE_OFFSET = 0xffffff8000000000 |
项目成果摘要
✅ 已完成
❌ 阻塞
项目结构
oppo-pgem10-ghostlock/
├── README.md # 本文件
├── 问题描述.md # 详细问题分析
├── docs/
│ ├── architecture.md # 架构设计与调用链
│ └── adaptation-guide.md # PAC 内核适配指南
├── reports/
│ ├── offsets.md # IDA 偏移验证报告
│ ├── kaslr.md # KASLR 分析报告
│ └── summary.md # 最终总结
├── src/
│ ├── kaslr_perf.h # Perf KASLR 可复用模块
│ └── kaslr_perf.c # Perf KASLR 实现
└── analysis/
└── chains/ # 调用链分析脚本
关键配置差异 (PGEM10 vs Pixel 10)
CONFIG_ARM64_PTR_AUTH_KERNEL=y # ← 核心差异：PAC 直接导致帧膨胀
CONFIG_ARM64_BTI_KERNEL=y # BTI 进一步增加开销
CONFIG_SHADOW_CALL_STACK=y # SCS 增加栈帧
CONFIG_VMAP_STACK=y # 栈可重映射
CONFIG_KASAN_HW_TAGS=y # 编译启用
CONFIG_ARM64_VA_BITS=39 # 39位VA（非48位）
阻塞根因：PAC 栈帧膨胀
函数 Pixel 10 (无PAC) PGEM10 (有PAC)
__arm64_sys_futex 0x90 0x4C0
do_futex 0x70 0x420
futex_wait_requeue_pi 0x1A0 0x1B0
─────────────────────────────────────────────────
futex 链总深 0x300 0xA70 ← 3.5倍
pselect 栈深 0x620 0x620
覆盖可能？ ✅ YES ❌ NO (0xA70 > 0x620)
调用链分析确认：内核中 0 条 调用链深度 ≥ 0x800（2048B）。
最大单帧：0x1F0（496B）。
参考资源
