DirtyFrag 是 DFRoot 的加固分支，利用内核页缓存写入原语（CVE-2026-43284）加载内核模块，不需要解锁 Bootloader，也不需要刷第三方内核。
Android 内核会把 AES-CBC 的 ESP 数据包直接解密进文件的页缓存。只要构造出正确的 IV，就能改写内存映射里任意 16 字节对齐的块，既不需要写权限，也不触发写时复制。
DirtyFrag 用这个原语把一段 shellcode 打进 libc++.so 的页缓存。下一次特权进程调用被挂钩的函数时，shellcode 以 uid 0 执行，通过 insmod 加载 dfroot.ko；内核模块再设置 SELinux 宽松、绕过 DEFEX，最后由 bootstrap 从你安装的 SU 管理器拉起 su 守护进程。
整条链路只发生在这一次开机里。内核模块、su、以及加载的模块都在内存中，设备一重启就全部消失，手机回到干净未 Root 的状态——这也是一次运行出问题时的恢复手段。