深入理解 Android 之 root 原理

isbarton 5年前
   <p>Android的内核就是Linux,所以Android获取root其实和Linux获取root权限是一回事儿。</p>    <p>你想在Linux下获取root权限的时候就是执行sudo或者su,接下来系统会提示你输入root用户的密码,密码正确就获得root权限了。Android本身就不想让你获得Root权限,大部分手机出厂的时候根本就没有su这个程序。所以你想获得Android的root权限,第一步就是要把编译好的su文件拷贝到Android手机的/system/bin或者/system/xbin/目录下。我们先假设你可以把su放在xbin下,接下来你可以在Android手机的adb shell或者串口下输入su了。</p>    <p>Linux下su以后输入密码就可以root了,但Android里的su和Linux里的su是不一样的,Android里的su不是靠验证密码的,而是看你原来的权限是什么。意思就是如果你是root,那你可以通过su切换到别的用户,比如说shell,wifi,audio什么的。但如果你是root之外的其他用户,就不能切换回root了,会提示你permission denied。</p>    <p>也就说用root运行su才有用,但我这个时候还没有root怎么办呢?这就涉及到另外个问题。</p>    <p>一般我们在Linux的console下输入 ls -l 会列出所有文件的权限。</p>    <p>比如:-rwxr-xr-x,用过Linux的人都知道r代表该文件可读,w代表可写,x代表可执行,-就代表没有该权限。第一个rwx代表文件所有者的权限,第二个rwx代表和所有者同组人的权限,第三个rwx代表其他用户对该文件的权限。但下面这个文件就比较特殊。</p>    <p>rws,它的执行权限标志位是一个s,s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限,这文件的所有者是root,简单点说就是不管谁执行这个文件,他执行的时候都是以root身份执行的。</p>    <p>也就说即使我不是root也有可能以root身份来执行程序,那么我就把一个所有者是root的su程序权限标志位置成-rwsr-xr-x,那么不管谁执行它,都是root身份执行,su就可以顺利执行成功了,执行成功之后我就是root身份了。</p>    <p>问题都清楚了,就是你需要把一个所有者是root的su拷贝到Android手机上,并且把su的权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。</p>    <p>大概意思就是两行代码</p>    <pre>  cp /data/tmp/su /system/bin/     #copy su 到/system/分区chown   root:root su                     #su的所有者置成root  chmod 4775 /system/bin/su        #把su置成-rwsr-xr-x</pre>    <p>熟悉Android的同学都知道,执行上面的每一行代码都需要root权限才能成功。</p>    <p>意思就是说,你只有有root权限的情况下才能执行上面两行代码,而这两行代码就是为了让你获得root权限的,这是一个逻辑闭环,那么如何打破这个逻辑闭环呢?</p>    <p>一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码,那我这两行代码一启动就是root权限,就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的,代码写死了,你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了,比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞。</p>    <p>栈溢出的成因是向栈复制数据的时候没有考虑缓冲区的大小,导致缓冲区后面的内存空间被覆盖,这时就形成了一个栈溢出漏洞。</p>    <p>举个栗子,程序申请了一个100字节大小的数组用来存放用户输入的数据,但是用户输入了150个字节的数据,如果没有检查数组长度就向数组中存储,多出来的50个字节就会覆盖这个数组后面的内存空间。倘若后面的内存中存储了一个函数指针,用户就可以精心控制数据长度和内容,用另外一个地址覆盖这个函数指针(指针实际存储的就是一个内存地址)。等到程序使用这个函数指针调用函数时,会跳到用户指定的地址处执行指令(函数就是一段指令序列),用户就劫持了程序的执行流程。root的时候,先在内存里写入提权指令,然后利用上面的方式劫持程序执行它们就可以了。</p>    <p>如果各位有一定基础,能看懂我上面讲的,就基本知道原理其实并不难,难点在于找到漏洞。</p>    <p>另外iphone的越狱其实和Android的root是一回事儿,都是越权操作。所以越狱的方式也都差不多,也是找IOS自带程序的漏洞,只不过IOS安全性强一点,所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象,并且是可以复现的,那就很有可能可以用来越狱了。</p>    <p>好像是IOS6出来的时候,由于比较难搞,某个越狱团队就号召大家来找茬,发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。</p>    <p>不过如果你发现漏洞也可以报告给苹果,苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊,哈哈。</p>    <p><strong>关于为什么su一定要放到/system/bin/或者/system/xbin/</strong></p>    <p>一个同事告诉我,这个问题我的解释是错的,su不能放在data分区原因是因为data分区在mount时就指定了不能给可执行程序加s位。你在adb shell里执行mount就可以看到,或者看我下面的截图。</p>    <p><img src="https://simg.open-open.com/show/e6780436461125ae2c7692eba10d0faf.jpg"></p>    <p>下面有下划线的部分是我自己的解释,各位可以忽略。</p>    <p>首先,你当然可以把su这个程序copy到/data/分区,但你adb push进去的时候,su这个程序的所有者肯定不是root,一般是shell什么的(记不清了,应该是和adbd这个进程的所有者一样),这个时候即使你把它权限置为-rwsr-xr-x,哪你运行它的时候也是shell身份运行的,su会提示你输入密码的。</p>    <p>第二我们root手机的目的是为了运行需要root权限的APP,比如goagent或者什么的。这些APP里代码需要获得root的时候是这么写的:</p>    <pre>  <code>Process p = Runtime.getRuntime().exec("su");</code></pre>    <p>也就是它们在代码里调用了一下su这个程序,哪可以写成下面这个样子吗?</p>    <pre>  <code>Process p = Runtime.getRuntime().exec("./data/tmp/su");</code></pre>    <p>我没写过APP,不太清楚,估计是不行的。换句话说你必须把su放到环境变量PATH所有的目录里,APP才能调用到它。如果你不想放到bin或者xbin下,你就必须给PATH增加一个目录。PATH是root权限才能修改的,你如果能修改PATH,说明你已经有root权限了,修改PATH就没必要了,还不如直接放到bin下面。</p>    <p><strong>关于sudo</strong></p>    <p>android的工程里没有sudo这个东西。sudo是为了给普通用户临时分配root权限的,Android里建立了很多用户,比如wifi,shell等等,这些用户可以访问那个文件,不可以访问那个文件,代码里已经写死了,权限也分配的很分明。它们在运行的过程中不需要临时获得root权限。所以Android不需要sudo这个程序。</p>    <p> </p>    <p> </p>    <p> </p>    <p>来自:http://mp.weixin.qq.com/s?__biz=MzIzMjE1Njg4Mw==&mid=2650117774&idx=1&sn=567464fb5dedf2dca5c8dcc866e2abf9&chksm=f0980d32c7ef8424844be9ca9742be88fbd9aedb7ee16ee5b6c80b80cc2da78b646352f7754f#rd</p>    <p> </p>