手机一键Root原理分析.zip

Android 手机一键 Root 原理分析

图/文 非虫

一直以来，刷机与 Root 是 Android 手机爱好者最热衷的事情。即使国行手机的用户也不惜冒着失去保修的

风险对 Root 手机乐此不疲。就在前天晚上，一年一度的 Google I/O 大会拉开了帷幕，最新的 Android4.1 系统成

为了大会的热点，经过短短的几个小时后，网上就有人泄露了 Jelly Bean 的下载地址，再然后就有了 Android 4.1

带 Root 的完整刷机包，真是强大的人们！

Root 的由来

什么是 Root?Root 本身是指 Linux 系统的 root 帐户，该帐户拥有整个系统至高无上的权利，系统中的所有对

象它都可以操作，对于 Android 手机用户来说的 Root 是指拥有 Root 权限，一般情况下，手机厂商出于安全考虑

厂商更是变态，一次次的版本升级只是为了锁住用户不让用户升级，也就导致了同一型号的手机由于版本不同有

的型号带 Recovery，有的又不带。三星的手机现在可以说是最好卖的，一方面是出色的硬件配置与外观，另一方

面是有众多的 Rom 包可以刷。三星的好几款手机是 Google 源码的测试样机，而且三星手机在出厂时对用户的限

制相比其它品牌是较少的，这也是广大 Android 开发者对它青睐有加的原因。

早先的 Android 手机要想获取 Root 权限可以有以下几种方式：

1. 使用本地提权漏洞利用工具来直接 Root，这是最原始最纯洁的方式。随着厂商对 Rom 的升级，这些内

核的漏洞随时都可能被修补，因此，这种 Root 方法在时间与空间上都有着很大的局限性。

2. 由于手机厂商对硬件的封闭，加上内核补丁修补很完全，这个时候获取 Root 权限就更难了，这个时候

刷机与 Root 就联合起来了，由于不能从系统内部通过 Exploits 来获取 Root 权限，只能通过修改 Rom

包来达到 Root 的目的，这也是目前很多第三方 Rom 包自带了 Root 的原因，然而手机厂商也不是吃

Root 漏洞不是与生俱来的，这是全世界优秀的计算机黑客不懈努力的成果。也许那个你在夜店喝酒的夜晚，

他们正寻找着系统的漏洞，一次次的测试，一次次的失败，最终在你醉得不省人事的时候，他们获取到了系统的

最高控制权。他们欢呼，他们嚎叫，他们是全天下是聪明的人！

也许你对他们的事迹不屑一顾，但我相信你对他们的研究成果是饶有兴趣的。下来由我来带领大家，看看这

一路走来，都出现过哪里牛人，他们又为我们带来了哪些惊喜。

CVE-2009-2692

我无法知道 Android 提权漏洞是从哪个开始的，但我在我印象中，它是最早的。这个漏洞的发现者是 Zinx，

他是探索 Android 安全之路的先驱。现在每个 Root 后的手机中肯定有 SuperUser.apk 软件，而 Zinx 就是早先

SuperUser 的作者，现在 SuperUser 由 ChainsDD 来负责更新了，Zinx 前辈常年混迹于国外 xda 论坛，不过现在好

像很少露面了。

升权限！

接着，sendfile(fdout, fdin, NULL, PAGE_SIZE);的调用使得该洞被触发，最终执行以下代码获取到 Root 权限：

int __attribute__((section(".null"))) root_sendpage(void *sk, void *page, int offset, size_t size, int flags)

{

current->uid = current->euid = 0;

current->gid = current->egid = 0;

got_root = 1;

return -ECONNREFUSED;

}

CVE-2010-EASY

sh 就完成了 Root 工作。创建 Socket 并发送消息的代码如下：

if ((sock = socket(PF_NETLINK, SOCK_DGRAM, NETLINK_KOBJECT_UEVENT)) < 0)

die("[-] socket");

close(creat("loading", 0666));

if ((ofd = creat("hotplug", 0644)) < 0)

die("[-] creat");

if (write(ofd, path , strlen(path)) < 0)

die("[-] write");

close(ofd);

symlink("/proc/sys/kernel/hotplug", "data");

close(sock);

rageagainstthecage.c 这个洞有人把它称为 setuid 提权漏洞，这个漏洞的形成过程我个人感觉只能用“巧妙”

来形容！代码通过将 adbd 后台服务子进程耗尽迫使 adbd 重启，adbd 在重启的时候具有 root 权限，正常情况下

这时 adbd 会调用 setuid 将权限降到 shell，但是由于 rageagainstthecage 让 adbd 的僵尸进程充斥着整个系统，这时

候 setuid 会调用失败，最后 adbd 就被保留了 root 权限运行，从而完成 root 提权。核心代码如下：

1 if (fork() > 0)

2 exit(0);

3

4 setsid();

5 pipe(pepe);

12 } else if (p < 0) {

13 if (new_pids) {

14 printf("\n[+] Forked %d childs.\n", pids);

15 new_pids = 0;

16 write(pepe[1], &c, 1);

17 close(pepe[1]);

18 }

19 } else {

20 ++pids;

21 }

输出创建的子进程数目。在这段代码执行完后会重启 adb 进程，adb 进程重启会执行 setgid(AID_SHELL)与

setuid(AID_SHELL)两行代码来降权，可是这时候由于进程数达到上限 setuid 执行失败，这就使得 adb 进程以 Root

权限继续执行下去了。

GingerBreak

GingerBreak 本身不是 Linux 内核漏洞，因此它没有正规的漏洞编号。与上面的漏洞同样的是，GingerBreak

也是由“The Android Exploid Crew”小组“发明”的，它的工作原理与 Hook 类似，通过代码修改/system/bin/vold

程序的 GOT 表项，将 strcmp()、atoi()等函数的地址为 system()函数的地址，然后触发调用 strcmp()或 atoi()来达

到执行 system()的目的，而后者真正被执行后会为我们来带久违的 Root Shell，修改函数地址的代码片断如下：

vold.pid = found;

vold.found = 1;