現(xiàn)在Android系統(tǒng)的root破解基本上成為大家的必備技能！網(wǎng)上也有很多中一鍵破解的軟件，使root破解越來越容易。但是你思考過root破解的原理嗎？root破解的本質(zhì)是什么呢？難道是利用了Linux kernal的漏洞嗎？本文將簡單對root的破解原理進行分析。

網(wǎng)上很多root教程所使用的都是rageagainstthecage程序，今天下載了rageagainstthecage.c源程序看了一下，大致理解了獲取root權(quán)限的基本過程和原理。
首先簡單解釋一下什么是root過的手機（Android系統(tǒng)），所謂root過的手機就是我們可以以root的權(quán)限運行各種程序，進而完全控制系統(tǒng)。
因為官方系統(tǒng)基于安全原因，默認程序的運行都是以非root用戶運行的，包括adbd進程。adbd進程是手機中運行的一個守護進程，他負責解釋并運行PC傳送過來的命令，
該進程由init進程創(chuàng)建，但是創(chuàng)建后自身通過調(diào)用setuid()系統(tǒng)調(diào)用設置運行的用戶為shell用戶。所以我們在手機中執(zhí)行ps命令看到的adbd進程都是以shell用戶身份運行的。
獲取root權(quán)限的關鍵是想辦法讓adbd進程重新以root身份運行，這樣通過電腦傳送過來的命令也就能夠以root身份運行了。
眾所周知，Android系統(tǒng)用的是linux的內(nèi)核，在linux中，對于用戶最大允許運行的進程數(shù)有限制，所以rageagainstthecage程序在運行后先結(jié)束當前的adbd進程，
然后init進程會重新啟動新的adbd進程。但是rageagainstthecage程序同時會創(chuàng)建大量的子進程，這些子進程默認都是shell用戶身份，從而使得shell用戶擁有的進程數(shù)達到最大值，這就使得新啟動的adbd進程調(diào)用setuid()系統(tǒng)調(diào)用失敗，因為shell用戶的進程數(shù)已滿，adbd無法把自己運行的用戶設置為shell用戶，從而保持在剛創(chuàng)建時的root用戶身份中運行。
這時候我們在電腦中執(zhí)行adb shell命令時發(fā)現(xiàn)已經(jīng)進入root shell了。
從上面的分析我們可以知道：要能夠root成功必須滿足兩點：
1、系統(tǒng)必須已經(jīng)設置每個用戶允許運行的最大進程數(shù)（官方的Android2.1、2.2好像都已經(jīng)設置，2.3的不是很清楚）。
2、必須要在新啟動的adbd進程調(diào)用setuid()系統(tǒng)調(diào)用前創(chuàng)建足夠多的進程數(shù)。但是因為系統(tǒng)進程調(diào)度的隨機性，并不能保證每一次都能滿足這個要求，這也就是為什么網(wǎng)上說多試幾次就會成功。
執(zhí)行完rageagainstthecage程序后其實已經(jīng)獲得了root權(quán)限，但是每次這么做非常麻煩，所以還應該設置一些永久性的東西，主要是上傳幾個程序到系統(tǒng)并設置相應權(quán)限，這幾個程序分別是：
su－－使得非root用戶能夠以root身份運行程序。
busybox－－系統(tǒng)工具包，包含很多的系統(tǒng)使用工具。
SuperUser.apk－－授權(quán)管理軟件包，為需要root身份運行的程序授權(quán)。

網(wǎng)上下的一鍵root包其實也就是把上面的工作制作成腳本讓它自動執(zhí)行罷了。

網(wǎng)上有一篇文章已經(jīng)對root破解的基本原理進行了簡單介紹，大家可以先參考一下《》，本文只能說對root原理進行了方向性的描述，但是在一些具體的方面沒有描述清楚。本文將會對其進行一些必要的擴展和補充。

如果你進行過程序開發(fā)，在root過的手機上面獲得root權(quán)限的代碼如下：

1: Process process = Runtime.getRuntime().exec("su");

2: DataOutputStream os = new DataOutputStream(process.getOutputStream());

3: ......

4: os.writeBytes("exit\n");

5: os.flush();

從上面代碼我們可以看到首先要運行su程序，其實root的秘密都在su程序中，《》中講到Android系統(tǒng)默認的su程序只能root和shell可以用運行su，這個是安全的。如果把這個限制拿掉，就是root破解了！

下面我們仔細分析一下程序是怎樣獲得root權(quán)限的，如果對Linux的su命令熟悉的朋友可能知道su程序都設置SUID位，我們查看一下我的手機（已經(jīng)root破解）上的su權(quán)限設置，

我們發(fā)現(xiàn)su的所有者和所有組都是root，是其實是busybox的軟鏈接，我們查看busybox的屬性發(fā)現(xiàn)，其設置了SUID和SGID，并且所有者和所有組都是root。SUID和SGID的作用是什么呢？如果你不太清楚，請參考《Linux進程的實際用戶ID和有效用戶ID》，這樣運行busybox的普通用戶，busybox運行過程中獲得的是root的有效用戶。su程序則是把自己啟動一個新的程序，并把自己權(quán)限提升至root（我們前面提到su其實就是busybox，運行期它的權(quán)限是root，當然也有權(quán)限來提升自己的權(quán)限）。

再強調(diào)一下不光root手機上su需要設置SUID，所有的Linux系統(tǒng)上的su程序都需要設置SUID位。請參考一下UC服務器的su的權(quán)限情況：

我們發(fā)現(xiàn)su也設置了SUID位，這樣普通用戶也可以運行su程序，su程序會驗證root密碼，如果正確su程序可以把用戶權(quán)限提高的root（因為其設置SUID位，運行期是root權(quán)限，這樣其有權(quán)限提升自己的權(quán)限）。

這樣我們就可以看出其實Android系統(tǒng)的破解的根本原理就是替換掉系統(tǒng)中的su程序，因為系統(tǒng)中的默認su程序需要驗證實際用戶權(quán)限（只有root和shell用戶才有權(quán)運行系統(tǒng)默認的su程序，其他用戶運行都會返回錯誤）。而破解后的su將不檢查實際用戶權(quán)限，這樣普通的用戶也將可以運行su程序，也可以通過su程序?qū)⒆约旱臋?quán)限提升。

到這里大家對root破解不感到神秘了吧。root破解沒有利用什么Linux內(nèi)核漏洞（Linux內(nèi)核不可能有這么大的漏洞存在），可以理解成root破解就是在你系統(tǒng)中植入“木馬su”，說它是“木馬”一點兒都不為過，假如惡意程序在系統(tǒng)中運行也可以通過su來提升自己的權(quán)限的這樣的結(jié)果將會是災難性的。所以一般情況下root過手機都會有一個SuperUser應用程序來讓用戶管理允許誰獲得root權(quán)限，也算是給系統(tǒng)加了一層保險吧！

Android的應用程序入口肯定是Java程序。應用程序的啟動者是由系統(tǒng)臨時根據(jù)Androidmanifest.xml中定義的權(quán)限而創(chuàng)建的臨時用戶。而不像linux那樣是使用登陸者的身份啟動，從而使得進程具有登陸者的所有權(quán)限。這也是Android的安全機制之一。新的權(quán)限機制也帶來新的問題，Android給應用程序的權(quán)限是按功能來分，java雖然可以訪問文件系統(tǒng)。但由于應用程序本身是臨時用戶啟動，這個臨時用戶權(quán)限十分有限。因此誕生了<越獄/root機器>這樣的產(chǎn)物其實root機器不是真正能讓你的應用程序具有root權(quán)限。它原理就跟linux下的像sudo這樣的命令。在系統(tǒng)的bin目錄下放個su程序并屬主是root并有suid權(quán)限。則通過su執(zhí)行的命令都具有Android root權(quán)限。
Su的源代碼網(wǎng)上也有，有興趣的同學去google下。
當然使用臨時用戶權(quán)限想把su拷貝的/system/bin目錄并改屬性并不是一件容易的事情。這里用到2個工具跟2個命令。工具就是busybox。不熟悉的同學可以去網(wǎng)上google下。這個太有名了我就不多說了。把busybox拷貝到你有權(quán)限訪問的目錄然后給他賦予4755權(quán)限，你就可以用它做很多事了。當然busybox只能不能提升權(quán)限，真正提升權(quán)限的是ratc這個程序，這個程序中一鍵root包里面可以找到，作用是rooting在adb的shell。
網(wǎng)上介紹Ratc的文章不多，它是rage against the cage 的縮寫。是真正的提升權(quán)限的破解程序。雖然我沒看過源代碼，但估計是利用adb源代碼部分內(nèi)容來實現(xiàn)的，原理估計跟模擬器使用adb shell登陸可以獲得root shell差不多。（因為它運行需要adb連接才會成功）。使用busybox前先運行ratc，這樣運行busybox的UID將是0，也就是root。首先把system目錄改成可讀性的：busybox mount -o remount,rw /system，當然你還不能改下面的文件，因為system下文件的所有者都不是你。但你可以偷梁換柱把system下的目錄給換掉。使用命令Busybox mount -t tmpfs none /system/xbin，呵呵這下xbin目錄你隨便寫了。
將su跟busybox弄過去cp /data/data/xxx/su /system/xbin。然后賦權(quán)限chmod 4755 /system/xbin/su。/然后使目錄生效busybox --install -s /system/xbin，
別忘善后busybox mount -o remount,ro /system去掉system可寫。這樣只是臨時的，只能用su跟busybox能執(zhí)行一些原來系統(tǒng)沒有權(quán)限執(zhí)行的命令而已。當系統(tǒng)重啟后/system/xbin又變?yōu)樵瓉淼奈募?。真正要改系統(tǒng)的話需要自己寫內(nèi)核代碼（相當于windows的驅(qū)動程序）。內(nèi)核文件擁有所有權(quán)限。使用busybox命令insmod /data/data/xxx/xxx.ko裝載內(nèi)核文件，你想干嘛就可以干嘛了。
當然我們不是搞破解的沒必要去改別人的機器，我們只是想讓自己應用程序具有root權(quán)限而已。所以臨時的su就可以了。我們用c++寫一個可執(zhí)行文件。使用socket可以跟java的程序通訊。然后將需要使用root權(quán)限才能執(zhí)行的代碼放在c++程序里，然后java程序中創(chuàng)建新的su進程，將c++程序帶全路徑作為參數(shù)1。啟動后就可以通過socket調(diào)用c++函數(shù)去執(zhí)行你想干的事了。
最后程序執(zhí)行完了別忘了善后busybox umount /system/xbin。
最后說說要注意的事情，如果機器已經(jīng)擁有Android root權(quán)限的話就不需要做這些事情了，但root過的機器都有裝有個權(quán)限管理的程序。會彈出對話框。但這個程序管理能力有限，如果不想讓他彈出的話。也許可以通過改su文件名來解決。有興趣的同學不妨試試。

SuperOneClick 獲取 Root 權(quán)限的原理