Skip to content

README.md

Latest commit

 

History

History
102 lines (65 loc) · 4.13 KB

README.md

File metadata and controls

102 lines (65 loc) · 4.13 KB
Raw

成功案例矩阵

脱敏声明：本文件只记录机型、固件版本、内核版本、KMI、SoC 等公开可查信息。 不含任何设备序列号、IMEI、Android ID、设备指纹、账号或个人数据。 原始工作区中含硬件标识的日志（log.db、logcat 抓取）未纳入本仓库。

统一判据

判定一次 root 成功，只看这两条（不看 getenforce）：

  1. /proc/modules 中出现 kernelsu
  2. su -c id 返回 uid=0

⚠️ root 是易失的：漏洞为运行时内存投毒 + 动态加载 LKM，不写持久化分区， 设备重启即失效，每次开机需重新运行工具。

矩阵

机型 市场名 固件 内核 KMI SoC 路线 状态
MEY-AN00 荣耀 500 10.0.0.175 6.6.118-android15-8-gf17133276a57-... android15-6.6 SM8735 CVE-2026-43284 ✅ 成功
DNN-AN00 荣耀 400 同 build 6.6.118-android15-8-gf17133276a57-... android15-6.6 SM8735 CVE-2026-43284 ✅ 成功
BVL-AN16 荣耀 Magic6 Pro 10.0.0.175 6.1.157-android14-11-g7d3922fade43 android14-6.1 SM8735 CVE-2026-43499 🔶 偏移已校准，写原语待接线
PPG-AN00 荣耀 150 11.0.0.109 6.6.118-android15-8-g554929766a0d-... — SM8750 — ❌ 判死

累计在 MEY / DNN 两台设备上成功 root 4 次。

成功案例详情

MEY-AN00（荣耀 500）· ✅

  • 固件 10.0.0.175 / Android 16 / MagicOS 10.0.0
  • 内核 6.6.118-android15-8-gf17133276a57-abogki518694926-4k，4K 页
  • 工具版本 v1.5，经反复尝试后成功（2026-10-09 上午）
  • 判据：/proc/modules 出现 kernelsu

DNN-AN00（荣耀 400）· ✅

  • 与 MEY 同一内核 build（同源，故偏移可直接复用）
  • 工具版本 v1.7，采用手动循环法成功（2026-10-09 21:34:58）
  • 关键节点：mutex 释放后约 11 秒完成 ksud late-load，rc=0 → KSU_STATE_OK

配套组件版本

  • KernelSU Manager：32656（与工具内嵌版本一致）
    • 版本不匹配时 Manager 会显示「未安装」（prctl 握手失败），需注意配套。

现场操作法（实测有效）

DirtyFrag 路线的触发依赖内核内存布局竞争，实测的标准操作序列：

  1. 开火 → 界面卡在进度
  2. 切到后台
  3. 重新进入 App 再次开火
  4. 循环上述步骤（每一发至少留 4 分钟观察窗口以保留证据）

时机非常关键：

  • 新 boot 早期触发：约 133 秒成功
  • boot 运行较久后触发：曾出现 84 分钟才成功的迟到案例

⇒ 建议重启后尽早打。

失败/判死案例（避免重复投入）

PPG-AN00 · ❌

  • 已升级至 MagicOS 11（11.0.0.109 / Android 17），内核变为 6.6.118-android15-8-g554929766a0d-abogki544555896-4k
  • 经比对，该内核与已确认「已修复」的样本逐字节一致 ⇒ CVE-2026-43284 与 CVE-2026-43499 均已修复
  • 回滚无通道：BootLoader 锁定、无旧固件、无降级通道（inactive slot 中的旧版本无法取出）
  • 启示：目标机一旦跨版本升级即可能永久失去可利用性 —— 研究期间应冻结系统更新

CVE-2026-64560（posix-cpu-timers UAF）· ❌ 架构性判死

结论与设备/内核版本无关，不必再投入 boot 验证：

  1. flush_signal_handlers 对 sighand 的裸解引用只作用于 current（exec 换映像时攻击者线程随之消失）
  2. posix_cpu_timer_set 的唯一调用者 do_cpu_nanosleep 把目标 task 写死为 current
  3. timer_settime 走 do_timer_settime，不经过 posix_cpu_timer_set

三条封锁各自独立 ⇒ 无法构造跨进程触发。

CVE-2026-43500（RxRPC）· ❌

目标内核 CONFIG_AF_RXRPC is not set，相关代码未编译，无攻击面。

复现所需条件

  1. 目标机内核 build 与上述同源（不同 build 需重新提取偏移）
  2. 对应 KMI 的 KernelSU 内核模块（自行构建；本仓库不含预编译 .ko）
  3. Android NDK r27+ 构建工具 APK
  4. 设备未跨版本升级至已修复的内核