0x00 前言#

2026/3/8 小米越狱漏洞流出
本文章根据酷安 @上善若水QwQ 文章整理而来
理论适用于近几年推出的搭载高通芯片的小米全系机型

0x01 原理分析#

利用fastboot cmdline漏洞修改启动参数，使得SELinux为宽容模式
接着利用 小米质量服务（miui.mqsas.IMQSNative） 漏洞，以root权限运行ksud，使用KeunelSU的late-load模式
接着软重启，注入Zygisk，完成xposed模块加载

0x02 操作流程#

先决条件#

本人在Redmi K80 OS 3.0.300.7Beta 系统成功越狱（Android 安全更新：2026-02-01），不保证对新版系统依旧有效

准备工作#

前往下载SDK Platform Tools并解压
获取KernelSU的CI版本，见KernelSU群组
获取Lsposed IT，见Lsposed Internal Test群组
获取Zygisk Next
获取ksud：zip打开kernelsu.apk，提取libs/arm64-v8a/libksud.so到fastboot.exe同目录下并重命名为ksud
开启USB调试

CAUTION
尽管此方案并不会清除数据，但仍然建议开始操作前进行备份，以免误操作带来意外

以SELinux宽容模式启动#

在adb.exe同目录下打开Powershell，执行以下命令：

1
./adb.exe reboot bootloader

WARNING
请注意区分fastboot和fastbootd，本命令仅在fastboot模式下可用

重启后，继续执行：

1
./fastboot.exe oem set-gpu-preemption 0 androidboot.selinux=permissive

如果此命令并未输出OKAY，则设备不支持越狱，不必往下做了

接着运行进入系统：

1
./fastboot.exe continue

加载KernelSU并安装模块#

开机解锁屏幕进入桌面后，adb运行以下命令：

1
./adb.exe push ./ksud /data/local/tmp/
2
./adb.exe shell chmod 777 /data/local/tmp/ksud
3
./adb.exe shell service call miui.mqsas.IMQSNative 21 i32 1 s16 "/data/local/tmp/ksud" i32 1 s16 'late-load' s16 '/sdcard/ksulog.txt' i32 60

然后安装kernelsu.apk，打开管理器当看到已激活[越狱模式]则成功加载

前往模块页面，找到并安装Zygisk Next和lsposed IT两个模块，并重启手机重启完成后，请跳转到以SELinux宽容模式启动步骤再次操作，以加载模块

软重启并修复LSPosed和Zygisk#

下载fix_lspd.sh脚本并保存到手机
使用KernelSU授予root权限并使用mt管理器以root权限运行脚本
此时应该会软重启一次
软重启完成后就可以使用xposed模块了！

IMPORTANT
对于LSPosed模块，当作用域为系统框架时会出现异常，请暂时不要使用这类模块

关闭SELinux宽容模式#

执行以下命令：

1
adb shell su -c setenforce 1

1
adb shell su -c "resetprop ro.boot.selinux enforcing"

注意事项#

CAUTION
请不要使用临时root修改data外的任何分区！修改分区会导致AVB不通过带来手机拒绝启动
此时只能前往小米之家寻求售后帮助

TIP
越狱（获取临时root加载KernelSU）会在重启后失效，若重启需要再次进行越狱操作

NOTE
据笔者测试，KernelSU的开机自动越狱（基于Magica）功能无法正常工作，请自行测试自己的机器是否支持