TB335FC(MT6835) GhostLock临时Root实践(二)：执行与风险控制

声明：本文仅为在本人拥有设备上进行的个人技术验证记录，旨在分享特定固件版本下的实际表现，请勿用于任何非授权设备。操作未修改系统分区，重启后权限自动失效。内核漏洞操作存在死机、重启、数据丢失等风险，请提前备份并自行承担后果。

一、执行与重试记录

在 GhostLock App 参数配置中填入第一篇生成的 profile 参数后执行。

本次记录：

第 1 次：W2 阶段 cred 第二次 heap spray 时进程被 SIGKILL，exit 137。

第 2 次：W2 → W3 seccomp bypass → KernelSU 内核模块 late-load → uid=0。

第一次出现 SIGKILL(137) 不一定代表路线失败，可读取日志后重试。

成功标志：

复制代码

exploit complete
uid=0 euid=0

lsmod | grep kernelsu
# kernelsu 217088 1

su -c id
# uid=0(root) context=u:r:ksu:s0

KernelSU 管理器显示 LKM 工作中。SELinux 在攻击过程中会临时切换 permissive，结束后自动恢复 enforcing。

二、临时 Root 后的风险控制

临时 Root 重启后失效。为避免系统更新自动重启导致权限丢失，可在获得权限后冻结系统更新：

复制代码

su -c 'pm disable-user com.lenovo.systemupdate'

同时建议：

将需要提权的 App 加入电池优化白名单，避免被系统后台清理

在 KernelSU 中按需授权包名，确认 context 为 ksu:s0

不要写入 boot / system 等分区，避免变砖

三、坑位清单

OTA 增量包通常无法直接取得完整 boot.img，优先找完整固件

官方渠道固件版本不一定匹配，版本号不一致时更换来源

下载使用断点续传，并发不要过高

未支持设备需要自制 profile，MTK 重点核对两个物理地址参数

第一次 SIGKILL(137) 不等于最终失败，可重试

临时 Root 重启失效，profile 可保存在 App 已保存配置中，重跑较方便

不要写 boot / system 分区

四、风险说明

内核 exploit 失败可能表现为 kernel panic 或自动重启

本质为内核 UAF，存在理论风险，重要数据请提前备份

临时 Root 不修改系统、不进 fastboot，重启后恢复原状态

永久 Root 仍需解 BL + Magisk，且需要清数据，本文未涉及

五、后续用途

临时 Root 可用于 su -c 执行命令、加载 KernelSU 模块、App 提权、修改部分内核参数等。本文主要用于个人 Android 桌宠 App 的 root shell 调用验证。

不同固件版本差异较大，本文参数仅对应上述系统与内核版本，请自行校验后再操作。