TCL 安卓电视拿到 root：借用 Mali GPU 改 page cache，绕过 dm-verity
来源：gitlab.com — 2026-10-24
📋 概述
有人放出针对 TCL 50C721（Realtek RTD1319 / Mali-G31，Android 11 / 4.14.198 内核）的完整 root 工具链：auto_root.c 利用 CVE-2022-22706 的 Mali GPU page-cache 写入，把 libc.so 里 __cxa_atexit 所在页通过 KBASE_IOCTL_MEM_IMPORT 导入成 GPU 缓冲，再用 mremap 替换文件映射，在 page cache 里写入 112 字节 Thumb-2 shellcode，磁盘文件没被改动，dm-verity 因此不报警，两秒内拿到 uid=0。
🔑 核心要点
- 落点是 GPU page cache 而非磁盘文件，所以 dm-verity 的完整性校验不会触发。
- 链条是：导入 libc 页 → mremap(MREMAP_FIXED) 替换映射 → 覆盖 __cxa_atexit 写入 112 字节 Thumb-2 shellcode。
- 作者明确限定：只在这一型号与固件上有成功记录，不是通用 TCL root 工具，发布前也没重跑验证。
- 附带 ADB 自动化 root 脚本与 root 后的备份钩子（APK、应用数据、WiFi、设置、包列表）；讨论区追问「买了的硬件为什么不能自己 root」。
💡 金句
This is firmware-specific research and tooling, not a universal TCL root tool or a supported installer.
👍 0
👎 0
← 返回 Hacker News 首页