Shark

OnePlus 16（PYB110）一键越狱工具。

在 OnePlus 16（PYB110，SM8950，Android 17 / ColorOS，内核 6.18.21-android17-5-gf957accaf563-ab15926176-4k） 上，通过 CVE-2026-98260-6.18 / CVE-2026-98260-6.12 提权，并加载 内核态 root（KernelSU / FinaSU / KernelSU Next / BakaSU / SukiSU Ultra） 的一键工具与源码。

设备未解锁 BL，起手只有 adb shell（uid 2000）。工具通过 Stellar（默认）或 Shizuku 以 shell 身份驱动设备端 exploit，最终加载按本机 GKI 6.18.21 自编的 LKM：6.18 与 6.12 两条 98260 分支都走 ksud late-load，不再内置 KernelSU LKM、不再使用 insmod 回退。

仅用于自有设备的系统研究。存在竞态与重启风险，详见「风险」一节。

当前状态

• 两个分支可选：默认 CVE-2026-98260-6.18，使用单入口 Rust 工具 t98260（内嵌现有 C plant：exec + POSIX 定时器 UAF、假 cred 指针写；cred 子进程一次性 late-load，无 rootd）；CVE-2026-98260-6.12 同样是 Rust 单入口 t61269（无 rootd，结构与 t98260 一致）。两条都只走 ksud late-load。
• KernelSU（官方 main，UAPI6）：LKM 按 main db6263d3（v3.3.1-27-gdb6263d3，versionCode 32707）用本机 6.18.21 GKI 重编，382,232 B、229 个 UNDEF 全部能由 syms.txt 解析，真机验证通过；ksud 同版本（6,618,008 B，uapi 6）。管理器需用同版本的 KernelSU_v3.3.1-27-gdb6263d3_32707-release.apk（与旧版 32680 同签名，adb install -r 直接覆盖）；旧管理器的 supercall 仍可用，但没有 UAPI6 的模块 preinit 等新特性。注意 UAPI6 的 ksud 必须配 UAPI6 LKM（ksud 启动会校验），不能与旧 5 版 LKM 混用。
• BakaSU（原 ReSukiSU）：LKM/ksud/管理器对齐上游 35253（v4.2.0-rc3 之后 5785bdb8，4.2.0-rc3-82，uapi 6），LKM 435,616 B；管理器与 35252 同签名可直接 adb install -r 覆盖（35252 已真机验证，35253 为版本同步）。
• FinaSU（v1.3.2 最新）：按 master 9b32bde4 重编 LKM 496,744 B（UNDEF 232 全命中）、ksud 7,561,328 B（uapi 6），管理器 v1.3.2（33090）；使用 KSU_DYNAMIC_MANAGER 动态签名（ksud dynamic set-apk）。
• KernelSU Next（dev 最新）：按 dev da0b3f37（v3.4.2-87-gda0b3f37，管理器 versionCode 33442）重编 LKM 489,264 B、ksud 7,611,344 B（uapi 6）；管理器由用户安装，App 中可选，真机验证通过（33442-6）。
• SukiSU Ultra（v4.3.0 最新）：按 tag v4.3.0（HEAD e67b14e6）重编 LKM 545,040 B、ksud 7,858,624 B（uapi 6），管理器 41100；41068 与 4.3.0（41100-6）均真机验证通过。
• CVE-2026-98260-6.12（目标 6.12.69）：Rust 单入口 t61269（内嵌 YuKongA/CVE-2026-98260 timer.c 的本仓库改造版 exploit/src/t61269_plant.c）。v1.68 起与 6.18 全面对齐：rootd / t61269_su / run612.sh 已删除，进程内 preflight → UAF fake cred → cred 子进程一次性 ksud late-load --kmi android16-6.12 后 park，收尾由同一套并行 finish_manager 完成，失败出口/同 boot 重跑语义一致（差别见 6.12 小节）。旧链路曾在 PLZ110 用 SukiSU 41100 跑通；单入口版需在 6.12.69 设备复测。
• App 为底部三 tab（首页/日志/历史，COUI NavigationBar 组件）：首页是分组设置（ROOT 管理器下拉 + 「拓展功能」与「使用手册」入口；漏洞链按内核自动选：6.18.21→6.18、6.12.69→6.12），日志页流式显示本次运行，历史页保存每次运行的完整日志（filesDir/history/<时间戳>.log，可查看/删除，左滑条目露出「导出」按钮，点击导出 .log 并调系统分享）；release 签名 APK v1.91 已构建（6,547,292 B，md5 2b81b5c48c01df25d78189b55a8d0f32）。
• 授权后端：Stellar（roro2239/Stellar，Shizuku 深度分支，SDK com.github.roro2239:Stellar-API:1.0.3）优先，Shizuku 兜底；Manifest 同时注册 StellarProvider 与 ShizukuProvider，运行时按 Stellar → Shizuku 顺序选可用后端，权限请求/newProcess 走选中后端。
• 内置范围：APK 只内置 6.18 单入口 t98260、6.12 单入口 t61269、两个 SUSFS ko 与 6.18 的 hybridmount-6.18.21.ko（assets/pyb110 约 8 MB，release APK 约 6.3 MB）；不再内置 ksud，运行时从已安装管理器 APK 的 lib/arm64 原地执行，因此必须先安装所选管理器。

截图

1 · App 设置页	3 · ROOT 管理器
4 · KernelSU 管理器	5 · KernelSU-Next 管理器	6 · BakaSU 管理器	7 · SukiSU Ultra 管理器

工作原理

┌────────────────────────────────┐
│ App (Kotlin/Compose/COUI)      │
│  - ROOT 管理器（链按内核自动）│
│  - 拓展功能 / 日志页           │
└───────────────┬────────────────┘
                │ Shizuku (uid 2000)
                ▼
┌───────────────────────────────────────────────┐
│ /data/local/tmp/pyb110-<boot_id>-<epoch>/     │
│  98260 6.18：t98260 (Rust 单入口)             │
│   1 C plant --auto 进程内 preflight           │
│     （内核 release / trace 通道）             │
│   2 UAF / 自推 slide → 假 cred → 子进程       │
│     一次性 late-load（只调一次，带 --kmi）     │
│   3 等 KSU / su → ksud install                │
│   4 SUSFS / 截图恢复 / 管理器拉起 并行收尾     │
│  98260 6.12：t61269（Rust 单入口）           │
│  两条都从已安装管理器 APK 原地执行 ksud；      │
│  不再部署 ksu-base*.ko / syms / prep_* /      │
│  forker / take_slide / t64560_*               │
└───────────────┬───────────────────────────────┘
                ▼
┌────────────────────────────────┐
│ 内核：ksud late-load 内嵌 LKM  │
│  - su / 管理器加冕             │
│  - allow_shell=1               │
│  - 可选 susfs_guard_lkm*.ko    │
└────────────────────────────────┘

关键点：

CVE-2026-98260（t98260，Rust 单入口）