SamTimer

一键为三星 Galaxy 设备获取 Android root 权限，基于 CVE-2026-98260 定时器漏洞（posix-cpu-timers UAF）以及一个兼容三星 KDP/RKP/DEFEX 的 KernelSU-Next 延迟加载模块构建。

基于 CVE-2026-98260-aurora 仓库——其定时器 LPE 移植（real-cred 零写入 / fake-cred ksud 延迟加载链）正是 app/src/main/cpp/timer.c 的演化来源。

[!WARNING] 仅适用于你拥有或获得明确授权测试的设备。该漏洞利用属于概率性内核 UAF——运行失败可能导致系统在下一次重启前处于不稳定状态。重启始终会将手机恢复到干净、未 root 的状态。

概述


漏洞利用	CVE-2026-98260（timer.c 载荷，由 Gradle 构建）
Root 模块	KernelSU-Next 3.4.2（`ksud-next-generic-kdp`，android14-6.1 no-patch-text）
执行上下文	Shizuku shell（uid 2000）
su 授权	KernelSU-Next 管理器（`com.rifsxd.ksunext`），域 `u:r:ksu:s0`
Root 生命周期	每次启动（临时——重启后清除）

已在 SM-S921N（e1s，Exynos 2400）、内核 6.1.162-android14-11、OneUI 9 上测试。

Material 3 Compose UI（英语 / 韩语，跟随系统语言环境）
实时 root 徽章——每隔几秒检测已加载的 KernelSU 模块
每次运行前弹出确认对话框；已 root 时 re-root 按钮仍然可用
重启后自动 root——启动接收器 → WorkManager 链，等待 Shizuku 就绪，然后以无界面方式运行该链并显示进度通知；运行失败会自动禁用该选项（防止启动循环）
漏洞利用载荷由 Gradle 自动编译——assembleDebug 始终附带最新的二进制文件

./gradlew assembleDebug
# APK: app/build/outputs/apk/debug/app-debug.apk

app/src/main/cpp/timer.c 由 buildPayload 任务编译为 app/src/main/jniLibs/arm64-v8a/libtimer.so （NDK 自动检测：ANDROID_NDK_HOME → local.properties → SDK → ~/android-ndk-r27c）
libksud.so 是预构建的 KernelSU-Next 延迟加载守护进程
./gradlew clean 会删除所有输出，包括生成的 payload （预构建的 libksud.so 会保留）

timer.c 通过 kmem trace 泄露子进程 cred，清除 DEFEX creds_hash 槽位，安装伪造的 uid-0 cred（selinux_state 写入落在 -7 处，因此 initialized 得以保留——在偏移 0 处写入 8 字节零会破坏 policy-loaded 标志，并导致所有属性写入失败）
root worker 采用 u:r:init:s0，在私有挂载命名空间内将 ksud 绑定覆盖到 /system/bin/logcat（KDP 安全的 exec），并运行 late-load --package-name com.rifsxd.ksunext
KernelSU-Next 加载（no-patch-text 构建——实时文本补丁在 Exynos 2400 上会触发 panic），SELinux 由 ksud 恢复为 enforcing
通过 KSU 驱动的 reboot() 后门 ioctl 验证成功
植入失败的僵尸进程由驻留的持有进程保持不回收，直到重启（回收它们会破坏活跃的内核内存——请保持其存活）

CVE-2026-98260-aurora — 本应用基于 aurora 仓库的 timer LPE 移植：timer.c payload（真实 cred 零写入和伪造 cred / ksud 延迟加载链）起源于此，并以 app/src/main/cpp/timer.c 的形式存在于本项目
BuSung-dev/Root-My-Galaxy — 本应用所仿效的、经过验证的三星 KSU 延迟加载流程（su_daemon.c 结构、.ksud-stage 暂存、管理器配对）
BuSung-dev/Root-My-Galaxy-Payloads — 按目标区分的 ksud/kernelsu.ko 配对，以及三星 KDP/RKP/DEFEX 移植方法论（精确版本 vermagic、Exynos 的 no-patch-text）
rushiranpise/Root-My-Galaxy-Payloads — 适用于 KernelSU 3.2.5–3.4.2、KernelSU-Next 和 ReSukiSU 的三星增量补丁；此处使用 ksud-next-generic-kdp（KernelSU-Next 3.4.2）
tiann/KernelSU · KernelSU-Next/KernelSU-Next — root 模块谱系
DirtyFrag（CVE-2026-43284，DFRoot 谱系）— autorun / failed-run-interlock 模式
Shizuku — 无需 PC 的 shell-uid 执行