smt878u-ionstack-poc

纯C、主机辅助的重新root概念验证，针对 三星 Galaxy Tab S7 (SM-T878U / gts7l) 与 CVE-2026-43499（IonStack / GhostLock）。

运行时链仅使用原生 C/ELF 组件。不需要在 Android 目标上安装 Python、Java、DEX、app_process 或 JVM。ADB 用于部署和验证。

支持的配置文件

此 POC 在所有配置文件匹配之前故意关闭失败：

device:      gts7l
Android:     13 / SDK 33
fingerprint: samsung/gts7lsqwnc/gts7l:13/TP1A.220624.014/T878USQS8DXE1:user/release-keys
kernel:      4.19.113
build:       T878USQS8DXE1

不支持的运行或失败的运行可能导致设备死机或重启。请确保有可用的恢复路径。

此仓库严格限定于上述固件配置文件。它不是通用的 root 工具，未经独立验证不得在其他设备上重复使用偏移量或假设。

仅供安全研究

• 仅在你拥有或明确授权测试的硬件上使用。
• 成功利用可能导致设备死机、重启或变砖。
• 此 POC 产生的 root 是临时的，不会修改 AVB、启动镜像或系统分区；重启后 root 将消失。

快速开始

1. 在 macOS 或 Linux 主机上构建（参见 构建）。
2. 安装官方 Android SDK 平台工具，并连接已启用 USB 调试的受支持设备。
3. 确认 ADB 能识别设备：

adb devices -l

然后执行：

./build/smt878u-ionstack-reroot -s 序列号 --preflight-only
./build/smt878u-ionstack-reroot -s 序列号 --validate-only
./build/smt878u-ionstack-reroot -s 序列号

主机报告成功后，验证 root 并打开 shell：

adb -s 序列号 shell /data/local/tmp/su -c id
adb -s 序列号 shell /data/local/tmp/su

当只连接一台 ADB 设备时，-s 序列号 为可选参数。

构建

要求：

• macOS 或 Linux 主机，安装了 clang、make 和 adb
• Android NDK（API 35 是默认构建 API）
• 一个 arm64/compat32 目标，匹配上述配置文件

make -j4

需要时覆盖发现方式：

make NDK_ROOT=/path/to/android-ndk API=35 -j4

所有构建产物输出到 build/ 目录下。

主机平台

主机控制器支持 macOS arm64、Linux x86_64 和 Windows x86_64。Android 设备构建产物在所有主机平台上相同。

# 仅原生主机控制器
make host

# 使用 LLVM-MinGW 的 Windows x86_64 控制器
make host-windows \
  WINDOWS_CC=/path/to/llvm-mingw/bin/x86_64-w64-mingw32-clang

运行

从非利用的配置文件检查开始，然后是验证，最后是完整链：

./build/smt878u-ionstack-reroot -s 序列号 --preflight-only
./build/smt878u-ionstack-reroot -s 序列号 --validate-only
./build/smt878u-ionstack-reroot -s 序列号

日志默认写入 results/YYYY-MM-DD/ 目录下。

收集重启/崩溃产物

./tools/collect_reboot_artifacts.sh 序列号

成功运行后使用 su

受支持的用户端客户端安装在 /data/local/tmp/su。它通过 /data/local/tmp/temp_su.sock 连接到临时 root 守护进程。不要将其移动到 /system/bin，也不要依赖它在重启后仍然存在。

目录结构

来源

此代码树源自公共的 xpad2-ionstack-poc 打包布局和 IonStack CVE-2026-43499 源代码快照，然后重新移植到 SM-T878U（gts7l / T878USQS8DXE1）。

• 综合项目：GPL-3.0-or-later（LICENSE）
• 位于 src/exploit/ 和 tools/su_daemon.c 下基于 IonStack 的文件：保留 Apache-2.0 来源（NOTICE、licenses/Apache-2.0.txt）

安全报告

请不要在公开问题中包含设备标识符、私有固件镜像、崩溃转储或其他敏感数据。请参阅 SECURITY.md。

免责声明

按“原样”提供，不提供任何形式的担保。作者和贡献者不对因使用本材料而产生的滥用、损坏或法律后果负责。