笔者的环境#

• 设备： Redmi K70
• HyperOS 版本： 3.0.9.0.WNKCNXM
• Android 安全更新： 2026-02-01

WARNING

不保证所有机型，所有系统版本均适用此方法。

设置 SELinux 宽容模式#

将手机连接至电脑，重启至 fastboot：

1
adb shell reboot bootloader

使用以下命令将 SELinux 设为宽容模式并启动系统：

1
fastboot oem set-gpu-preemption-value 0 androidboot.selinux=permissive
2
fastboot continue

CAUTION

设为宽容模式可能带来不可预测的后果，请谨慎操作。此操作不会清除手机内所有数据。

NOTE

重启设备后，SELinux 会重新变回严格模式。

以 root 权限执行命令#

通过 ADB Shell 权限执行以下命令：

1
service call miui.mqsas.IMQSNative 21 i32 1 s16 "命令" i32 1 s16 "参数" s16 '结果输出文件路径' i32 600

命令的执行结果可在输出的文件里查看，例如执行 whoami：

1
service call miui.mqsas.IMQSNative 21 i32 1 s16 "whoami" i32 1 s16 "" s16 '/sdcard/log.txt' i32 600

可以看见是货真价实的 root 权限，并且由于已将 SELinux 设为宽容模式，该权限可以读写 /data 目录下的几乎所有文件。

IMPORTANT

即便不将 SELinux 设为宽容模式，也可使用该命令提取 root 权限，但该权限的能力会大打折扣，几乎没法读写 /data 目录下的文件，但可以使用此权限读取 /system/build.prop 等文件。

将 root 权限授予 Shizuku#

在 13.6.0 版本的 Shizuku 里，运行 Shizuku 的命令为（实际路径可能有不同）：

1
adb shell /data/app/~~eTcgekFm0aefNy2Vm_Iq9A==/moe.shizuku.privileged.api-Evrmedj2P4USUISnIM9I5A==/lib/arm64/libshizuku.so

若直接通过上面的 root 提权命令直接执行，通常会直接崩溃，原因是缺少 2 个环境变量： DEX2OATBOOTCLASSPATH 和 BOOTCLASSPATH。需要编写一个简单的脚本提供这两个环境变量。 在 Termux 或 ADB Shell 执行 env 命令，得到这两个环境变量，将其值复制，然后编写脚本：

1
export DEX2OATBOOTCLASSPATH="xxxxxxxxxx"
2
export BOOTCLASSPATH="xxxxxxxxxxx"
3

4
/data/app/~~eTcgekFm0aefNy2Vm_Iq9A==/moe.shizuku.privileged.api-Evrmedj2P4USUISnIM9I5A==/lib/arm64/libshizuku.so

存放到任意位置（如 /sdcard/start.sh），然后以 root 权限运行：

1
service call miui.mqsas.IMQSNative 21 i32 1 s16 "sh" i32 1 s16 "/sdcard/start.sh" s16 '/sdcard/log.txt' i32 600