Shark v2.0

Shark v2.0

Shark 2.0 是项目更名为 Shark 后的首个版本。相对 1.99，漏洞链与管理器代码保持一致，本次主要完成品牌、文档与发布资源整理。

变更

• 仓库由 OnePlus16-Jailbreak 更名为 Shark，旧链接自动跳转。
• README 重写：补充支持机型、五家管理器、三条漏洞链、Dynamic Switching
  流程、项目结构与构建步骤，并更新界面截图。
• 移除已废弃的 CVE-2026-64560 遗留源码、工具与许可文件。
• App 内源代码链接、GitHub 更新检查与 Release 链接切换到新仓库。
• GitHub About、README 图标与徽章更新。

本版本包含的能力

• 三条漏洞链：6.18.21（OnePlus 16）、6.12.69（OnePlus / OPPO /
  Realme 多机型）、6.12.23（iQOO 15 / V2505A）。
• 五家管理器：KernelSU、KernelSU-Next、BakaSU、SukiSU Ultra、FinaSU。
• Dynamic Switching：三条链均支持；首次在干净 boot 加载通用 KSU LKM
  后，可在拓展功能中热切换管理器并自动拉起目标管理器，无需重启或重新越狱。
• 拓展功能：6.18 的 VFS provider，6.12 / V2505A 的 SUSFS，以及反 root
  弹窗抑制、越狱后软重启、卸载内核安全防护等。
• 其他：实时日志与历史记录、Gitee / GitHub 在线更新、Droidspaces 模块下载。

版本

• App：2.0（versionCode 90）
• APK：Shark-v2.0.apk
  • 大小：16,446,235 B
  • SHA-256：29dabba7fe144593a057715b30ccf0f1aaf5295b12d2883381f62fa6b10d3e94

注意

• Dynamic Switching 首次需要干净 boot；已有 stock KSU 时不能热替换。
• 普通模式需先安装对应管理器 APK，ksud 从管理器 APK 原地执行。
• V2505A 目前只在 KernelSU 上完成实机验证；KPM 未启用。

OnePlus16-Jailbreak v1.99

OnePlus16-Jailbreak v1.99

新增

• V2505A 链也支持五管理器动态切换：supportsUniversal() 现在覆盖
  6.18.21、6.12.69 和 vivo V2505A（6.12.23）三条链。
• libv2505a.so 已用通用版 t61269 源码重编，支持
  PYB110_UNIVERSAL_KSUD 与 /proc/kernelsu_manager。
• Dynamic Switching、管理器热切换项与自动拉起目标管理器对 V2505A 同样可用。

版本

• App：1.99（versionCode 89）
• APK：OnePlus16-Jailbreak-v1.99.apk
  • 大小：16,446,371 B
  • SHA-256：25942134c137c2b019c622638bd46ca8680d925bd43a061a91433bba48aa38d4

注意

• V2505A 使用 6.12 通用 KO（android16-6.12 GKI 6.12.76 KDIR 构建）；
  V2505A 6.12.23 真机运行时回归仍待执行。
• Dynamic Switching 需要一次干净 boot 加载通用 KO。
• KPM 未启用。

OnePlus16-Jailbreak v1.98

OnePlus16-Jailbreak v1.98

新增

• 6.12.69 五管理器动态切换：ROOT 管理器下拉的 Dynamic Switching
  现同时支持 6.18.21 与 6.12.69。6.12 链使用同一份双 KMI loader，
  内嵌 ksu_universal-android16-6.12.ko 与
  ksu_universal-android17-6.18.ko。
• 6.12 的「管理器热切换」项在通用 KO 加载后显示；选中即切换，并自动
  重新打开目标管理器。
• t61269 runner 支持 PYB110_UNIVERSAL_KSUD，在收尾阶段写
  /proc/kernelsu_manager。

版本

• App：1.98（versionCode 88）
• APK：OnePlus16-Jailbreak-v1.98.apk
  • 大小：16,445,255 B
  • SHA-256：01eefbeacf4b789217ccb936a519b11730263e19a882976f6ace9bc5b7c681d8

注意

• 6.12 通用 KO 使用 android16-6.12 GKI 6.12.76 KDIR 构建，6.12.69
  设备上的运行时回归仍待执行。
• Dynamic Switching 需要一次干净 boot 加载通用 KO；已有 stock KSU
  时不能热替换。
• KPM 未启用。

OnePlus16-Jailbreak v1.97

OnePlus16-Jailbreak v1.97

新增

• 五管理器动态切换（6.18.21）：ROOT 管理器下拉新增 Dynamic Switching，
  首次干净 boot 加载通用 KSU LKM 后，可在 KernelSU / KernelSU-Next /
  BakaSU / SukiSU / FinaSU 间切换版本、feature、私有 ioctl 与 primary
  manager appid，无需重启或重新越狱。
• 管理器热切换：位于「拓展功能 → VFS 支持」下方；选中目标管理器即
  切换，随后自动 force-stop 并拉起目标管理器。
• 通用 loader 更新：FinaSU GET_TRY_UMOUNT、mount_view_filter，
  BakaSU 多管理器列表，FinaSU 动态管理器 trusted/granted 与版本覆盖，
  按 profile 区分的 AVC spoof。

版本

• App：1.97（versionCode 87）
• APK：OnePlus16-Jailbreak-v1.97.apk
  • 大小：13,446,199 B
  • SHA-256：a0027b366c99cd891f93186027d9870c29a247348ace67dc969a75d0a696f4a7

注意

• Dynamic Switching 需要一次干净 boot 加载通用 KO；已有 stock KSU
  时不能热替换。
• 五家管理器 APK 需先安装；管理器自身 ksud 从 APK 原地执行，不内置。
• KPM 未启用。

v1.91 — 新内核 build 支持、6.18 原地执行与 GPL-3.0

Shark v1.91。面向一加 16（PYB110，内核 6.18.21）、一加/OPPO 6.12.69 设备与 vivo V2505A 的未解锁 BL 一键越狱工具。

本 Release 只发布源码，不提供二进制附件。APK 请按 README 自行构建（release 签名需要自己的 keystore）。

新增与修复

• 6.18.21 新内核 build 支持：6.18.21-android17-5-g7fcbffcad3e1-ab16353812-4k（17.0.1.201）。从 boot.img 还原 kallsyms，新增按 build 选择常量表（do_timer_create+0xb8、rb_alloc、selinux_state、init_user_ns/root_user/init_groups/init_ucounts、copy_process+0x140）。
• 该内核对 CVE-2026-64560 已回移修复（posix_cpu_timer_del/set 的 __lock_task_sighand 失败重试、__lock_task_sighand NULL 分支的 dmb ishld），64560 链在该 OTA 上失效；CVE-2026-98260 未修复，t98260 在该 build 真机全链通过（4.9 s / 6.4 s 两轮）。
• 6.18 链路改为 jniLibs 原地执行：t98260 与两个 ko 打成 lib*.so，从 applicationInfo.nativeLibraryDir 直接运行，不再复制到 /data/local/tmp；plant 输出走内存缓冲。
• 合并 PR #4：vivo V2505A 独立入口（精确内核 + 厂商匹配选择）。该入口的「拓展功能」只保留 SUSFS，开启后部署并加载 6.12 的 susfs_guard_lkm-6.12.ko。
• 许可改为 GPL-3.0（自研代码）；lkm/susfs4ksu-lkm、lkm/hybridmount 及随 App 分发的 ko 继续按 GPL-2.0 独立分发，第三方组件保留各自许可（详见 NOTICE）。

已知限制

• 98260 是竞态利用，仍可能概率性 panic/重启，建议干净开机后使用；PYB110 的 root 每个 boot 需重做。
• 17.0.1.201 上只有 98260 链可用，64560 链已随内核修复失效。
• 仅用于自有设备的系统研究。

v1.47 — 6.12.69-ex 分支、FinaSU 与安全停用时序对齐

Shark v1.47。面向 OnePlus 16（PYB110，SM8975，内核 6.18.21）与 OnePlus PMS110（ColorOS 17，内核 6.12.69）的未解锁 BL 一键越狱工具：通过 CVE-2026-64560 或 CVE-2026-98260 提权，再加载按本机 GKI 自编的 KernelSU / KernelSU Next / BakaSU / SukiSU Ultra / FinaSU LKM。

本 Release 不提供二进制附件，只发布源码。APK 请按 README 自行构建（release 签名需要自己的 keystore）。

新增：CVE-2026-98260-6.12（6.12.69-ex 实验分支）

• 接入按本仓库提速方法改造的 YuKongA/CVE-2026-98260，新增漏洞下拉项 CVE-2026-98260-6.12，仅接受 6.12.69 内核。
• t61269 只负责 UAF → fake cred → rootd（/data/local/tmp/t61269-root.sock），t61269_su 是 rootd 客户端；run612.sh 负责内核门禁、ksud 发现、late-load、安装与收尾。
• ksud 优先取管理器 APK 内的载荷：SukiSU 41100 没有 libksud.so，按「大于 2 MB 且 --version 含 uapi」识别随机名载荷，找不到再用内置 ksud_<manager>。
• 反 root 与内核防护采用与 98260 相同的时序：PLANT_OK 后后台轮询 su -c 'stop riskdetect'（不自动恢复、重启恢复）；su 可用后先 rmmod oplus_secure_guard_new，再 ksud install。加载前不做停用/卸载。
• rootd 自动退役：KSU Live 后写 retire 标记，server 服务完该命令即退出，父进程 park 持住喷发页；不 kill、同 boot 不重跑，下一次越狱前需冷启动。v1.45 在 PMS110 上连续 4 小时无重启。v1.47 的停用时序尚未在 6.12.69 真机复测。

管理器与 SUSFS

• 新增 FinaSU（v1.3.2 / 33090）：自编 LKM 496,744 B、ksud 7,561,328 B（uapi 6），越狱后通过 ksud dynamic set-apk 动态加冕。
• 6.12 分支随包部署上游 susfs4ksu-lkm v2.3.0-r18.5 android16-6.12 LKM（3,258,016 B，vermagic 6.12.76-4k）；su 可用后依次尝试 ksud insmod、/data/adb/ksud、裸 insmod（expose_proc=1），用 /sys/module/susfs_guard_lkm 或 /proc/susfs_kstat、/proc/susfs_path 判活。
• 截图链路恢复：ksud install 后检查 com.oplus.exsystemservice 与 com.oplus.screenshot，被禁用则 pm enable --user 0 恢复。

其他

• 6.12 分支部署不带 ko/syms；模块检测兼容把 kernelsu 从 /proc/modules 隐藏的管理器（日志 KSU_HIDDEN）。
• 98260（6.18）分支保留 v1.28 的快速路径与四管理器同步结果。
• 已知限制：98260 是竞态利用，仍可能概率性 panic/重启，建议干净开机后使用；6.12.69-ex 为实验分支。仅用于自有设备的系统研究。

v1.28 — Shark：链路提速、SUSFS、riskdetect 与四管理器同步

Shark（原 OnePlus 16 Jailbreak）v1.28。面向 OnePlus 16（PYB110，SM8975，Android 17 / ColorOS，内核 6.18.21，未解锁 BL）的一键越狱工具：通过 CVE-2026-64560 或 CVE-2026-98260 提权，再加载按本机 GKI 自编的 KernelSU / KernelSU Next / BakaSU / SukiSU Ultra LKM。

本 Release 不提供二进制附件，只发布源码。APK 请按 README 自行构建（release 签名需要自己的 keystore）。

链路速度

98260 分支的 plant 全链路重构，把「提权到 rootd 就绪」从几十秒压到秒级：

• slide 自推：不再单独抓 KASLR slide，直接从 2048 条 kmem_cache_alloc 定时器记录里推导（modal call_site + 2MB 对齐），省掉一次约 2 s 的采集。
• 采集不阻塞：tracing_on=0 后非阻塞整环读 trace_pipe_raw，取代固定 2 s 阻塞读；触发器用完立即关闭 rss_stat，避免 rss 记录洪水把回收扫描拖到 20 秒级（旧实现首击 20.4 s 的主因）。
• 回收/重打：4096 个 socketpair（约 32 MB）抢 order-1 页；mm_page_free 最多等 1.2 s，每 400 ms 在 victim CPU（CPU1） 上 churn 4096 个定时器；超时直接放弃该 victim 换新，不再为卡死的 slab 空等 4 s。
• cred：parent_color=节点自身 保证 cleanup 只摘链一次，一次 +8 tile 零写补 uid/gid，假 cred 在子进程里 fork+exec 自检 Uid=0 且 CapEff=0x1ffffffffff 后才起 rootd。

实测（PYB110，干净 boot）：t98260_plant --auto 到 ROOTD_READY 最快 1.748 s，用户复测 2.66 s；run98260.sh 全流程（probe → plant → late-load → ksud install → 管理器）3.16 s。v1.24 的 1.2 s 等待策略复测：干净 boot 2.03 s，撞上卡死 slab 的那次 2.83 s。64560 分支保留原链路（逐字段零写 + finit_module）。

SUSFS 支持

• 新增「SUSFS 支持」开关（默认关）。打开后随流程部署并加载 susfs_guard_lkm.ko，依次尝试所选 ksud、/data/adb/ksud、/data/adb/ksu/bin/ksud 的 insmod ... expose_proc=1，失败回退裸 insmod；日志 SUSFS_LOADED / SUSFS_ALREADY / SUSFS_LOAD_FAIL，失败不影响越狱结果。
• 已加载检测走 root：SUSFS 对非 su 上下文隐藏 /sys/module/susfs_guard_lkm 与 /proc/susfs_*，用 shell 侧的 test 会误报加载失败。
• LKM 针对 6.18.21 的 BTI 内核改造（syscall / seq_operations wrapper + landing pad + __nocfi），并修掉 susfs_opath_openat2 的 or_entry_hook 野指针崩溃；实测 unload/reload 循环 opath 5/5、kstat 14/14、无 panic。

安全弹窗拦截方式

ColorOS 检测到提权后，com.oplus.exsystemservice 内的 OplusAntiRootDialogService 会弹「安全警告」，并在 15 秒后 PowerManager.reboot("Malicious app try to root devices")。

• 旧方案：pm disable-user + 杀进程，5 秒后再 pm enable。问题是反 root 与 OplusScreenshotManagerService 同宿一个包，禁用期间会连带拆掉截图链路。
• 现方案：只 stop riskdetect——即上游 AIDL HAL vendor.oplus.hardware.riskdetect.IRiskDetect/default 对应的 init 服务 riskdetect。不禁用 com.oplus.exsystemservice、不杀进程，也不自动恢复（重启后服务自然回来）。截图组件完全不受影响。
• 实测：riskdetect=stopped 保持 3 小时以上，kernelsu Live、su 正常、无弹窗无重启。开关关闭时不做处理，设备可能在 15 秒后重启。

四个管理器同步最新

四套 LKM / ksud / 管理器均取同源最新构建，并已真机验证通过：

管理器	上游	版本	LKM	ksud
KernelSU 官方	main db6263d3	v3.3.1-27-gdb6263d3 / 32707（UAPI6）	382,232 B	6,618,008 B
KernelSU Next	dev da0b3f37	v3.4.2-87-gda0b3f37 / 33442	489,264 B	7,611,344 B
BakaSU	main d5e9e025	v4.2.0-rc3 / 35252	435,616 B	5,714,560 B
SukiSU Ultra	v4.3.0 e67b14e6	v4.3.0 / 41100（UAPI6）	545,040 B	7,858,624 B

注意：官方 KernelSU 与 SukiSU 已到 UAPI6，ksud 启动会校验 kernel/ksud 必须同为 6，不能与旧 UAPI5 的 LKM 混用；每套请整组替换。四家管理器 APK 由用户自行安装。

其他

• 修复越狱结束后管理器被连续打开两次：ksud late-load 末尾本就会重启管理器，脚本在 late-load 成功时不再重复 force-stop + am start。
• 应用更名为 Shark，换用新图标，README 截图更新为四家最新管理器的真机截图。
• 清理仓库中废弃的 remote/（旧脚本副本 + 重复符号表）。
• 已知限制：98260 是竞态利用，仍可能概率性 panic/重启；建议干净开机后使用。仅用于自有设备的系统研究。

Toolchain bundle for kernel 6.18.21

Machine-published ko/ksud/syms bundle for the OnePlus 16 jailbreak app. The app verifies sha256 values from a signed manifest.

v1.0 — OnePlus 16 (PYB110) 一键越狱

针对 OnePlus 16（PYB110，SM8950，Android 17 / ColorOS，内核 6.18.21，未解锁 BL） 的一键越狱工具首个发布版。通过 CVE-2026-64560（posix-cpu-timers 竞态 UAF）取得内核任意写能力，提权后 finit_module 加载 LKM。

本发布包含

文件	说明	版本
OnePlus16-Jailbreak-v1.0.apk	主工具（release 签名、R8 + 资源压缩，26,413,960 B）	1.0 (versionCode 1)
KernelSU_v3.3.1_32680-release.apk	官方 KernelSU 管理器	v3.3.1 / 32680
KernelSU_Next_v3.4.2_33355-release.apk	KernelSU Next 管理器	v3.4.2 / 33355
BakaSU_v4.2.0-rc3_35235-arm64-v8a-release.apk	BakaSU（原 ReSukiSU）管理器，arm64-v8a	v4.2.0-rc3 / 35235
SukiSU_v4.2.1_40994-release.apk	SukiSU Ultra 管理器	v4.2.1 / 40994
SHA256SUMS.txt	以上 5 个 APK 的 sha256	—

四个管理器 APK 与主工具内置的 LKM / ksud 一一对应，包名即 App 下拉里的四种选择：me.weishu.kernelsu、com.rifsxd.ksunext、com.resukisu.resukisu、com.sukisu.ultra。

安装顺序

1. 装主工具 OnePlus16-Jailbreak-v1.0.apk。
2. 四个管理器里只装你要用的那一个（同时装多个会互相争抢 su 入口）。
3. 用无线调试启动 Shizuku，在 App 内点「授权 Shizuku」。
4. 下拉选中与已装管理器对应的一项，按需打开「越狱后禁用安全弹窗」，点「一键越狱」，等日志出现 DONE。
5. 到对应管理器里给应用授权 root。

验证状态

• 官方 KernelSU v3.3.1 / BakaSU v4.2.0-rc3 / SukiSU Ultra v4.2.1：真机加载成功，详见仓库 README 截图。
• KernelSU Next：尚未做实机加载验证。另外主工具内置的 Next LKM 内嵌版本串是 v3.4.0，而随包的 ksud 与该管理器是 v3.4.2，三者不完全同源，选它前请自行评估。

前提与风险

• 设备内核必须是 6.18.21-android17-5-gf957accaf563-ab15926176-4k。LKM 的 vermagic 与符号地址按该版本生成，不能只改 vermagic 复用其它版本的 ko，否则加载后崩溃。
• 每次重启 KASLR slide 变化，工具会自动重抓 slide 并重打 ko，无需手工处理。
• CVE-2026-64560 是竞态 UAF，任何一次运行都可能导致内核 panic / 重启，请在空闲时操作。
• 换 root 管理器必须重启：rmmod kernelsu 被模块自身引用计数挡住（EAGAIN），强卸会 kpanic。
• 本工具仅用于自有设备的系统研究与 root 管理，请勿用于未授权设备。

来源与许可

管理器与 ksud 均为上游官方 release / CI 产物，本发布只做原样附带（未修改、未重签名）。其中 BakaSU 的 35235 取自上游 Actions 构建：tag v4.2.0-rc3 的 release 页挂的是 35171，与随包 ko（v4.2.0-rc3-7c383cfe-dirty）的模块版本不同，故按 ko 实际版本附 35235 以保证管理器与内核驱动同源。主工具自研代码为 MIT，第三方组件与上游仓库见 NOTICE 与 README。

校验：sha256sum -c SHA256SUMS.txt