Для правильности работы safetynet перенесено всё в модуль!

[Oleg-Skalskiy]

#!/system/bin/sh

MODDIR=${0%/*}

Улучшение 1: Прячем лог в папку модуля.

Это убережет от "палева" перед античитами, которые мониторят /data/local/tmp/

exec > "${MODDIR}/adguardcert.log"
exec 2>&1

set -x

set_context() {
[ "$(getenforce)" = "Enforcing" ] || return 0

# Улучшение 2: Более правильный fallback-контекст для системных сертификатов
default_selinux_context="u:object_r:system_security_cacerts_file:s0"
selinux_context=$(ls -Zd "$1" 2>/dev/null | awk '{print $1}')

if [ -n "$selinux_context" ] && [ "$selinux_context" != "?" ]; then
    chcon -R "$selinux_context" "$2"
else
    chcon -R "$default_selinux_context" "$2"
fi

}

AG_CERT_HASH="0f4ed297"

Более надежное экранирование переменных

AG_CERT_FILE=$(ls /data/misc/user//cacerts-added/${AG_CERT_HASH}. 2>/dev/null | (IFS=.; while read -r left right; do echo $right $left.$right; done) | sort -nr | (read -r left right; echo $right))

if ! [ -e "${AG_CERT_FILE}" ]; then
echo "Certificate ${AG_CERT_HASH} not found. Exiting."
exit 0
fi

rm -f /data/misc/user//cacerts-removed/${AG_CERT_HASH}.

Поддержка Android 13 и ниже (классический Magisk-метод)

mkdir -p "${MODDIR}/system/etc/security/cacerts"
cp -f "${AG_CERT_FILE}" "${MODDIR}/system/etc/security/cacerts/${AG_CERT_HASH}.0"
chown -R 0:0 "${MODDIR}/system/etc/security/cacerts"
set_context /system/etc/security/cacerts "${MODDIR}/system/etc/security/cacerts"

Поддержка Android 14+ (Обход ограничений APEX)

if [ -d /apex/com.android.conscrypt/cacerts ]; then
# Улучшение 3: Используем защищенную директорию модуля вместо /data/local/tmp/
TMP_DIR="${MODDIR}/adg-ca-copy"

rm -rf "${TMP_DIR}"
mkdir -p "${TMP_DIR}"

# Монтируем tmpfs (RAM-диск) прямо в папку модуля
mount -t tmpfs tmpfs "${TMP_DIR}"
cp -f /apex/com.android.conscrypt/cacerts/* "${TMP_DIR}/"

# Инжектим сертификат AdGuard
cp -f "${AG_CERT_FILE}" "${TMP_DIR}/${AG_CERT_HASH}.0"
chown -R 0:0 "${TMP_DIR}"
set_context /apex/com.android.conscrypt/cacerts "${TMP_DIR}"

CERTS_NUM="$(ls -1 "${TMP_DIR}" | wc -l)"
if [ "$CERTS_NUM" -gt 10 ]; then
    # Биндим в текущем пространстве имен
    mount --bind "${TMP_DIR}" /apex/com.android.conscrypt/cacerts
    
    # Улучшение 4: Пробрасываем mount --bind во все изолированные пространства Zygote
    # pgrep zygote захватывает и zygote, и zygote64, что делает код чуть лаконичнее
    for pid in 1 $(pgrep zygote); do
        nsenter --mount=/proc/${pid}/ns/mnt -- \
            mount --bind "${TMP_DIR}" /apex/com.android.conscrypt/cacerts 2>/dev/null
    done
else
    echo "Cancelling replacing CA storage due to safety check (certs count: $CERTS_NUM)"
fi

# Убираем за собой: отмонтируем tmpfs от папки модуля. 
# Сами сертификаты останутся наложенными на APEX благодаря mount --bind.
umount "${TMP_DIR}"
rmdir "${TMP_DIR}" 2>/dev/null

fi

[Oleg-Skalskiy]

Обновление! AdGuard жду ваших коментов!
post-fs-data.sh

Post Fs controller script

exec > "${MODDIR}/adguardcert.log"
exec 2>&1

set -x

set_context() {
[ "$(getenforce)" = "Enforcing" ] || return 0

default_selinux_context="u:object_r:system_security_cacerts_file:s0"
selinux_context=$(ls -Zd "$1" 2>/dev/null | awk '{print $1}')

if [ -n "$selinux_context" ] && [ "$selinux_context" != "?" ]; then
    chcon -R "$selinux_context" "$2"
else
    chcon -R "$default_selinux_context" "$2"
fi

}

AG_CERT_HASH="0f4ed297"
CACHED_CERT="${MODDIR}/${AG_CERT_HASH}.0"

Пытаемся найти сертификат в хранилище пользователя

AG_CERT_FILE=$(ls /data/misc/user//cacerts-added/${AG_CERT_HASH}. 2>/dev/null | (IFS=.; while read -r left right; do echo $right $left.$right; done) | sort -nr | (read -r left right; echo $right))

Если нашли оригинал, обновляем наш кэш в папке модуля

if [ -e "${AG_CERT_FILE}" ]; then
cp -f "${AG_CERT_FILE}" "${CACHED_CERT}"
fi

Теперь работаем ТОЛЬКО с кэшированной копией

if ! [ -e "${CACHED_CERT}" ]; then
echo "Certificate ${AG_CERT_HASH} not found neither in system nor in cache. Exiting."
exit 0
fi

Очищаем удаленные сертификаты, если раздел расшифрован

rm -f /data/misc/user//cacerts-removed/${AG_CERT_HASH}. 2>/dev/null

Поддержка Android 13 и ниже

mkdir -p "${MODDIR}/system/etc/security/cacerts"
cp -f "${CACHED_CERT}" "${MODDIR}/system/etc/security/cacerts/${AG_CERT_HASH}.0"
chown -R 0:0 "${MODDIR}/system/etc/security/cacerts"
chmod 755 "${MODDIR}/system/etc/security/cacerts"
chmod 644 "${MODDIR}/system/etc/security/cacerts/${AG_CERT_HASH}.0"
set_context /system/etc/security/cacerts "${MODDIR}/system/etc/security/cacerts"

Поддержка Android 14+ (Обход ограничений APEX)

if [ -d /apex/com.android.conscrypt/cacerts ]; then
TMP_DIR="${MODDIR}/adg-ca-copy"

rm -rf "${TMP_DIR}"
mkdir -p "${TMP_DIR}"

mount -t tmpfs tmpfs "${TMP_DIR}"
cp -f /apex/com.android.conscrypt/cacerts/* "${TMP_DIR}/"

# Инжектим кэшированный сертификат AdGuard
cp -f "${CACHED_CERT}" "${TMP_DIR}/${AG_CERT_HASH}.0"

chown -R 0:0 "${TMP_DIR}"
chmod 755 "${TMP_DIR}"
chmod 644 "${TMP_DIR}"/*

set_context /apex/com.android.conscrypt/cacerts "${TMP_DIR}"

CERTS_NUM="$(ls -1 "${TMP_DIR}" | wc -l)"
if [ "$CERTS_NUM" -gt 10 ]; then
    
    # 1. Глобальное монтирование (обязательно для этапа post-fs-data)
    mount --bind "${TMP_DIR}" /apex/com.android.conscrypt/cacerts
    
    # 2. Ищем Zygote (если скрипт перезапускается вручную на живой системе)
    ZYGOTE_PIDS=$(pidof zygote zygote64 2>/dev/null)
    
    # 3. Инжектим в пространства имен Zygote
    for pid in $ZYGOTE_PIDS; do
        # Используем -e (существование), так как ns/mnt — это симлинк, а не папка
        if [ -e "/proc/${pid}/ns/mnt" ]; then
            nsenter --mount="/proc/${pid}/ns/mnt" -- \
                mount --bind "${TMP_DIR}" /apex/com.android.conscrypt/cacerts 2>/dev/null
        fi
    done
    
else
    echo "Cancelling replacing CA storage due to safety check (certs count: $CERTS_NUM)"
fi

umount "${TMP_DIR}"
rmdir "${TMP_DIR}" 2>/dev/null

fi

[Oleg-Skalskiy]

customize.sh

1. Автономно вытягиваем ID модуля из module.prop

if [ -f "$MODPATH/module.prop" ]; then
MODID="$(grep '^id=' "$MODPATH/module.prop" | head -n1 | cut -d= -f2 | tr -d '\r' | tr -d ' ')"
fi
[ -z "$MODID" ] && MODID="unknown_module"

2. Функция инъекции с очисткой, проверкой дубликатов и фиксом конца файла

install_script() {
local target="$1"
[ -f "$target" ] || return 0

Очищаем файл от комментариев (#) и пустых строк (как в оригинальном MMT)

sed -i -e "/^#/d" -e "/^ *$/d" "$target"

Проверяем, есть ли уже эти переменные в скрипте (защита от дубликатов)

if grep -q "MODDIR=" "$target"; then
# Если переменные уже прописаны, просто ставим перевод строки в конец и выходим
[ "$(tail -1 "$target")" ] && echo "" >> "$target"
return 0
fi

Гарантируем наличие шебанга на первой строке

[ "$(grep "#!/system/bin/sh" "$target")" ] || sed -i "1i #!/system/bin/sh" "$target"

Инъекция переменных в правильном порядке через sed 1a

local i
for i in "MODPATH" "LIBDIR" "MODID" "INFO" "MODDIR"; do
case $i in
"MODPATH") sed -i "1a $i=$MODDIR" "$target";;
"LIBDIR") sed -i "1a $i=/system" "$target";;
"MODID") sed -i "1a $i=$MODID" "$target";;
"INFO") sed -i "1a $i=/modules/.${MODID}-files" "$target";;
"MODDIR") sed -i "1a $i=${0%/*}" "$target";;
esac
done

Обязательно добавляем пустую строку в самый конец файла, если её нет

[ "$(tail -1 "$target")" ] && echo "" >> "$target"
}

3. Автоматически применяем ко всем скриптам в модуле

[ -f "$MODPATH/post-fs-data.sh" ] && install_script "$MODPATH/post-fs-data.sh"