共计 4184 个字符，预计需要花费 11 分钟才能阅读完成。
Root，对于任何手机发烧友、玩机客、从事挪动设施研发的人员来说，并不生疏，它代表绝大部分挪动设施的使用者可能把握到的最高权限。
从技术档次来讲，用户领有了批改系统文件的权限，甚至能够管制账户、减少或删除硬件等，但对普通用户来说，最大的一个用途就是卸载“Root 之前无奈卸载的软件”，局部品牌商在手机出厂之前内置装置了一些无奈卸载的软件，这些软件在手机 Root 之后，都能够被卸载掉，Root 相当于让用户领有了自在增减软件的权限。
Root 的前世今生
Root 一词起源于 Linux/Unix 零碎，家喻户晓，Linux/Unix 零碎的文件系统以根“/”登程向下造成一个倒置的树型文件系统构造，Root 即根的英文释义，那么 Linux/Unix 零碎就以 Root 账号所领有的权限作为系统管理员的权限，口口相传，Root 就代表了 Linux/Unix 上最高的权限。
在挪动设施倒退的初期，各种挪动设施所应用的操作系统各不相同，比拟出众的有塞班、Windows Phone、iOS、安卓。随着市场的抉择，只有安卓与 iOS 留存下来，成为遍及的手机操作系统。依照 POSIX 标准协议和开源协定的规定，安卓与 iOS 都应该保留了 Linux/Uinx 上的相应的性能。
其中，安卓就是以 Linux 作为根底进行构建的零碎，而 iOS 则是应用了以 xnu 为内核的 Darwin（Darwin 来自于 BSD）。依照开源操作系统而言，安卓和 iOS 都理当保留所有用户应用 Root 账户去掌控本人设施的权限。
但现实情况是，安卓与 iOS 不容许用户应用 Root 权限，尤其是 iOS 对于 Root 权限的监控与封闭达到了前所未有的境地，以至于对 iOS 的 Root 被称作“越狱”。iOS 上的 Root 过程绝对于安卓更为简单与艰难，所以本文次要以安卓零碎的 Root 为主，具体介绍 Root 的前世今生。
安卓零碎的三大 Root 形式
相较于关闭生态的 iOS 零碎，安卓的 Root 形式堪称是从百花齐放到万物归一。不同安卓零碎版本，获取 Root 权限支流形式不同。
在安卓手机上，获取 Root 权限次要有三种形式：破绽、OEM 官网解锁、工厂形式。其中通过破绽形式获取 Root，是开发者最早的摸索；工厂模式获取 Root 则是通过如骁龙 9008 模式通过底层串口将非凡的 ROM 刷写入手机进而获取 Root；官网解锁的形式则是 OEM 产商提供给一些发烧友的“通道”，通过解锁 Bootloader 锁获取刷写 ROM 获取 Root。
第一阶段：百家破绽齐争鸣，先驱 CVE-2009-2692 破绽
在安卓零碎晚期时疏忽了安全性问题，许多在 Linux 中产生的平安问题，都能在安卓得以复现，其中最早有公开记录并可追溯的是 Znix 利用 Linux 破绽 CVE-2009-2692 编写的安卓版本提权程序，代码如下：
利用蓝牙协定触发 sendpage 破绽
权限晋升攻打载荷该破绽的产生次要是 sock_sendpage 没有对 socket_file_ops 数据结构的 snedpage 字段字段做指针查看，有些模块不具备 sendpage 性能，将指针初始化为 NULL，此时间接调用 sendpage 会导致间接调用空指针导致报错并进而进行权限晋升。Znix 间接将现有无效用户 id(euig)与无效用户组 (egid) 的指针赋值为 0 即 Root 用户与 Root 用户组，再将无效用户与无效用户组指针赋给实在的用户指针与实在的用户组指针，从而达到权限晋升的目标。而后利用蓝牙协定与 send_page 的破绽触发这一攻打载荷。
Znix 公布该 exploit 的工夫点在安卓_ndk_r1 版本公布后的两个月。在该 exploit 公布后，人们发现在安卓上通过破绽的模式获取 Root 权限形式大为可行，随即越来越多的平安人员与发烧友开始在安卓上开掘系统漏洞，导致安卓的平安问题出现井喷式的暴发。不过这场闹剧随着 Google 一直的修复与 SElinux 的引入，闹剧在安卓 4.4 戛然而止，安卓零碎进入了一个稳固的期间，安卓的 Root 也进入了一个新的摸索时代。
应用 Linux 零碎的人都晓得，在 Linux 上有一个程序叫 /usr/bin/su，用户能够通过 su 命令来切换身份，安卓的根底是 Linux，在安卓版本 1.0-4.4 中，安卓默认装置了 su 程序，使用者能够通过应用 su 进行获取 Root，只须要 su 程序的权限为 Access: (4755/-rwsr-xr-x) Uid: (0/ Root) Gid: (0/ Root)。
第二阶段：凌乱中的摸索，supersu 与 superuserGoogle
在安卓 4.4 版本，基本上将 Linux 中可提权的破绽修复并限度利用破绽进行提权的形式。安卓 4.4 及以上，Anroid 也不预装 su 程序，并且退出 SElinux，就算领有 4755 权限的 su 也无奈达到完满 Root。开发者们就尝试将革新后的 su 写入到安卓的 /system 下，让须要 Root 权限的程序通过 /system 下的 su 程序进行执行。
而向 /system 下写入 su 须要提前解锁（unlock）安卓手机，该形式比利用破绽提权稳定性更高。许多大神都开始编写不同的 su 程序，其中比拟有名的就是 chainsDD 的 su 与 chainfire 的 suspersu，而单有获取 Root 权限的形式依然不够，还须要一个散发 Root 权限的管理工具，koush 的 superuser 恰好补齐了这一毛病，让这一体系得以欠缺。
不过好景不长，该办法引起了 Google 的关注，Google 在后续公布的版本中对 /system 等分区进行完整性校验，使得批改 system 分区变得不可行，在 2018 年 10 月，chainfire 发表不再保护 supersu。而另一位开发者则以奇妙的形式，让 Root 又变为可能。
第三阶段：从凌乱中受到启发，走向归一的 Magisk
一个名叫 topjohnwu 的开发者，从 supersu 中受到启发，他依然应用 supersu 的原理取得 Root 权限，然而他并不对 /system 等分区做额定的批改，他通过尝试发现，尽管 /system 等分区无奈批改，然而能够在 /system 分区下进行增加挂载点，于是他用了一种 overlay 的办法，让用户刷写非凡的 boot.img，批改启动时的挂载操作，做出了一个 overlay 版本的 system，所有的操作都在这个 system 上进行，这样就避开了对原有 system 的批改，实现原有 supersu 的性能，而这款软件就是当初大部分人熟知的 Magisk。Magisk 不仅实现了获取 Root，并且集成了 Root 权限的管理器。
随着 topjohnwu 退出谷歌，magisk 的代码须要 google 平安团队进行审计，magisk 某种程度上领有了官网背书，是目前最稳固的 Root 形式。
小白该如何 Root 安卓的手机
本文将应用 TWRP 形式教大家如何应用 Magisk 取得 Root 权限。在获取 Root 前，须要解除 BootLoader 锁，请读者自行分割 OEM 厂商解除 Bootloader 锁。
顶象特地揭示：Root 有肯定的危险，或造成手机无奈应用，请审慎操作，本文不对任何结果承当相应责任。
1、筹备 adb fastboot 命令工具、magisk 以及对应的 twrp.img（不同厂商须要的 twrp 镜像不同，请读者自行查问所需的 twrp 镜像）
2、应用 adb 命令将 Magisk 放入到 sdcard 中，命令如下：
3、进入 bootloader 界面，输出对应的 fastboot 命令，进入 twrp 界面。
4、抉择 Install, 而后抉择 Magisk.zip。
5、进入装置 Magisk 的界面，将滑动条从左滑到顶端。如果呈现如下界面，则证实装置 Magisk 胜利。
6、重启手机后，应用将 maigsk.zip 改回 magisk.apk，应用如下命令装置 Magisk 管理器。
随后能够在手机中关上 Magisk，发现 Magisk 曾经失常工作。
如何检测设施的 Root 操作
对于平安从业者与一些须要风控的企业，须要得悉用户的手机是否处于危险状态，是否被 Root。
1、包名检测。
因为 Magisk 是通过 Maigsk.apk 进行治理它的 su 权限散发的，所以能够应用获取包名的形式检查用户手机是否存在 Magisk App 来得悉用户是否应用了 Magisk Root, 具体代码如下：
尝试运行程序，失去如下后果。
在上述办法中，尽管能检测到用户装置了 Magisk，然而因为法律对用户隐衷的爱护，获取包名的形式会涉及隐衷合规红线，所以这种办法须要肯定的权限，在应用该办法时要慎之又慎。
2、业余平安产品。
顶象设施指纹、顶象业务感知进攻平台可能实时无效辨认 Root 危险。
顶象设施指纹：能精准辨认模拟器、root、越狱、调试、代码注入、多开、VPN 代理等危险。蕴含，iOS 平台 hook、越狱行为，安卓 root、debug、内存 dump、注入、多开、模拟器、破绽攻打等危险行为，WEB 平台下浏览器色彩深度、分辨率，浏览器与零碎、UA 的匹配性和一致性、cookie 是否禁用等行为。
顶象业务平安感知进攻平台：基于威逼探针、流计算、机器学习等先进技术，集设施危险剖析、运行攻打辨认、异样行为检测、预警、防护处理为一体的被动平安进攻平台，可能实时发现摄像头遭劫持、设施伪造、设施 Root 等歹意行为，无效防控各类人脸识别零碎危险。它具备威逼可视化、威逼可追溯、设施关联剖析、多账户治理、跨平台反对、主动防御、凋谢数据接入、进攻自定义和全流程防控等特点。
写在最初
本文从 Root 的历史登程，讲述了获取 Root 的倒退历史以及轶事，教大家从 0 到 1 实现对本人安卓手机的 Root，提出了一些无效的检测 Root 的形式。Root 与 HOOK 一样，是一把双刃剑，在普通人手里，它能够让零碎不再受到束缚，能够带来更好的手机应用体验，但在黑灰产手里，会变成非法牟利的工具，作为平安从业者，咱们要辩证地对待每项技术，对非法行为咱们要重拳出击，为平安事业添砖加瓦。
在上一篇文章《欲知己之所防，先知彼之所攻——论 Hook 技术的攻防反抗》咱们提到 Hook 的攻打，Hook 肯定须要 Root 吗？答案是否定的。如果开发者有能力批改 art 源码、劫持 Zygote，是能够实现 Rootless HOOK 操作的，Root 是为了让 HOOK 及 HOOK 模块管理工具的应用降低成本，让 HOOK 操作者的重心不再放在 HOOK 的前置条件，而是更专一于 HOOK 模块的开发。
