MEIZU 21 GhostLock Root

针对已锁定 bootloader 的 MEIZU 21 的运行时 root，基于 GhostLock / CVE-2026-43499。

本仓库仅包含设备特定的偏移量、预编译的 ARM64 payload，以及复现该设置所需的脚本。它不包含 Flyme OTA 包、boot.img、厂商 APK 或专有固件。

支持的目标

偏移量和 payload 与此确切配置绑定：

Device:        MEIZU 21 (meizu21 / M2461)
System:        Flyme 12.6.0.0A
Android:       16
Fingerprint:   meizu/meizu_21_CN/meizu21:16/BQ2A.251016.001-BP2A.250605.031.A3/1763702019:user/release-keys
Kernel:        6.1.25-android14-11-maybe-dirty
Security:      2025-12-05
Bootloader:    locked
SELinux:       Enforcing

请勿在其他内核或 Flyme 版本上使用这些偏移量。

此方法的作用

1. 使用 GhostLock 通过 CVE-2026-43499 获取临时 root。
2. 启动一个分离的 root 命令 worker。
3. 安装 KernelSU 管理器并运行 ksud late-load --kmi android14-6.1。
4. 保持 KernelSU 处于活动状态，直到重启。

它不会解锁 bootloader、刷写分区或清除用户数据。

要求

• 已启用 USB 调试，并且 adb 可用。
• 可访问互联网以下载固定版本的 KernelSU 发行版。
• MEIZU 21 已连接并授权。

快速开始

./bootstrap.sh

该脚本会检查内核版本，并拒绝在不同构建上运行。

Root 命令通道

引导完成后，使用 KernelSU 的标准 su 或回退命令 队列：

./scripts/rootctl.sh 'id'
./scripts/rootctl.sh 'cat /sys/fs/selinux/enforce'

直接访问 KernelSU：

adb shell su -c id

重启行为

这是针对已锁定 bootloader 的运行时 root。完全重启会移除 KernelSU 并将 SELinux 恢复到正常的 enforcing 状态。/data/adb/modules 下的模块 仍保留在数据分区上，但必须先使用 ./bootstrap.sh 再次 late-load KernelSU，它们才会生效。

ksud soft-reboot 可以在不卸载已加载的 KernelSU 模块的情况下重启 Android 用户空间。

文件

• bootstrap.sh：端到端的主机侧自动化。
• device/offsets.json：从匹配的官方固件中提取的偏移量。
• payloads/ghostlock-arm64：预编译的 ARM64 GhostLock payload。
• scripts/root-hook.sh：以临时 root 身份执行的引导钩子。
• scripts/root-worker.sh：分离的命令 worker。
• scripts/rootctl.sh：向分离的 root worker 发送命令。
• docs/technical-notes.md：提取和验证细节。

构建来源

预编译的 payload 由 GhostLock 提交 9ee07a8276220cdb4c3948b5feed8b1a3bfbf7f8 构建，并应用了 patches/ghostlock-dry-run.patch 中的小型 dry-run 补丁。

b613923561fe37f7523b253c70dc120a22cbb9a14ee85c01f78047285fc90c25  payloads/ghostlock-arm64
f098dbfbfe6493b6f9dba6656f0147499d471283deb688a0b07d34816913d665  device/offsets.json

警告

这是一个内核漏洞利用项目。竞态失败可能会导致设备重启或 造成暂时不稳定。请仅在您拥有或获授权 测试的设备上运行。在尝试 KernelSU 模块或系统 更改之前，请保留备份。