转自知乎：https://www.zhihu.com/question/21074979

@Kevin @张炬

作者：Kevin
链接：https://www.zhihu.com/question/21074979/answer/18176410
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

Android的内核就是Linux，所以Android获取root其实和Linux获取root权限是一回事儿。你想在Linux下获取root权限的时候就是执行sudo或者su，接下来系统会提示你输入root用户的密码，密码正确就获得root权限了。Android本身就不想让你获得Root权限，大部分手机出厂的时候根本就没有su这个程序。所以你想获得Android的root权限，第一步就是要把编译好的su文件拷贝到Android手机的/system/bin或者/system/xbin/目录下。我们先假设你可以把su放在xbin下，接下来你可以在Android手机的adb shell或者串口下输入su了。Linux下su以后输入密码就可以root了，但Android里的su和Linux里的su是不一样的，Android里的su不是靠验证密码的，而是看你原来的权限是什么。意思就是如果你是root，那你可以通过su切换到别的用户，比如说shell,wifi,audio什么的。但如果你是root之外的其他用户，就不能切换回root了，会提示你permission denied。(具体su是怎么做到这一点的，我准备过几天有时间的时候写在下面，单独说明）也就说用root运行su才有用，但我这个时候还没有root怎么办呢？这就涉及到另外个问题。一般我们在Linux的console下输入 ls -l 会列出所有文件的权限。比如：-rwxr-xr-x，用过Linux的人都知道r代表该文件可读，w代表可写，x代表可执行，-就代表没有该权限。第一个rwx代表文件所有者的权限，第二个rwx代表和所有者同组人的权限，第三个rwx代表其他用户对该文件的权限。但下面这个文件就比较特殊。

作者：Kevin
链接：https://www.zhihu.com/question/21074979/answer/18176410
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。

也就说即使我不是root也有可能以root身份来执行程序，那么我就把一个所有者是root的su程序权限标志位置成-rwsr-xr-x，那么不管谁执行它，都是root身份执行，su就可以顺利执行成功了，执行成功之后我就是root身份了。

问题都清楚了，就是你需要把一个所有者是root的su拷贝到Android手机上，并且把su的权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。

大概意思就是两行代码

cp /data/tmp/su /system/bin/                   #copy su 到/system/分区

chown root:root su                                 #su的所有者置成root

chmod 4775 /system/bin/su                   #把su置成-rwsr-xr-x

熟悉Android的同学都知道，执行上面的每一行代码都需要root权限才能成功。意思就是说，你只有有root权限的情况下才能执行上面两行代码，而这两行代码就是为了让你获得root权限的，这是一个逻辑闭环，那么如何打破这个逻辑闭环呢？一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码，那我这两行代码一启动就是root权限，就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的，代码写死了，你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了，比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞。

/*  * 栈溢出说白了就是这个进程读到了自有内存之外的地址空间，这段内存空间没分配给它，谁都能写

* 这段内存，那我就可以把自己的两行代码预先写到这里，运行zergRush代码，然后等那个倒霉的进

* 程执行我就行了。

*/

栈溢出这段也解释错了，关于栈溢出的解释大家可以看答案下面@张炬 的评论。

同意楼上。

张炬

栈溢出的成因是向栈复制数据的时候没有考虑缓冲区的大小，导致缓冲区后面的内存空间被覆盖，这时就形成了一个栈溢出漏洞。

举个栗子，程序申请了一个100字节大小的数组用来存放用户输入的数据，但是用户输入了150个字节的数据，如果没有检查数组长度就向数组中存储，多出来的50个字节就会覆盖这个数组后面的内存空间。倘若后面的内存中存储了一个函数指针，用户就可以精心控制数据长度和内容，用另外一个地址覆盖这个函数指针（指针实际存储的就是一个内存地址）。等到程序使用这个函数指针调用函数时，会跳到用户指定的地址处执行指令（函数就是一段指令序列），用户就劫持了程序的执行流程。root的时候，先在内存里写入提权指令，然后利用上面的方式劫持程序执行它们就可以了。

上面有下划线的部分可以忽略。如果各位有一定基础，能看懂我上面讲的，就基本知道原理其实并不难，难点在于找到漏洞。

zergRush的代码在这儿：revolutionary/zergRush · GitHub有兴趣的可以看看，网上也有很多分析文章。

另外iphone的越狱其实和Android的root是一回事儿，都是越权操作。所以越狱的方式也都差不多，也是找IOS自带程序的漏洞，只不过IOS安全性强一点，所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象，并且是可以复现的，那就很有可能可以用来越狱了。好像是IOS6出来的时候，由于比较难搞，某个越狱团队就号召大家来找茬，发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。不过如果你发现漏洞也可以报告给苹果，苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊，哈哈。

================================================

谢谢各位支持关于为什么su一定要放到/system/bin/或者/system/xbin/一个同事告诉我，这个问题我的解释是错的，su不能放在data分区原因是因为data分区在mount时就指定了不能给可执行程序加s位。你在adb shell里执行mount就可以看到，或者看我下面的截图。

关于sudoandroid的工程里没有sudo这个东西。sudo是为了给普通用户临时分配root权限的，Android里建立了很多用户，比如wifi,shell等等，这些用户可以访问那个文件，不可以访问那个文件，代码里已经写死了，权限也分配的很分明。它们在运行的过程中不需要临时获得root权限。所以Android不需要sudo这个程序。

作者：Kevin
链接：https://www.zhihu.com/question/21074979/answer/18176410
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。也就说即使我不是root也有可能以root身份来执行程序，那么我就把一个所有者是root的su程序权限标志位置成-rwsr-xr-x，那么不管谁执行它，都是root身份执行，su就可以顺利执行成功了，执行成功之后我就是root身份了。问题都清楚了，就是你需要把一个所有者是root的su拷贝到Android手机上，并且把su的权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。大概意思就是两行代码cp /data/tmp/su /system/bin/                   #copy su 到/system/分区chown root:root su                                 #su的所有者置成rootchmod 4775 /system/bin/su                   #把su置成-rwsr-xr-x熟悉Android的同学都知道，执行上面的每一行代码都需要root权限才能成功。意思就是说，你只有有root权限的情况下才能执行上面两行代码，而这两行代码就是为了让你获得root权限的，这是一个逻辑闭环，那么如何打破这个逻辑闭环呢？一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码，那我这两行代码一启动就是root权限，就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的，代码写死了，你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了，比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞。/*  * 栈溢出说白了就是这个进程读到了自有内存之外的地址空间，这段内存空间没分配给它，谁都能写* 这段内存，那我就可以把自己的两行代码预先写到这里，运行zergRush代码，然后等那个倒霉的进* 程执行我就行了。 */栈溢出这段也解释错了，关于栈溢出的解释大家可以看答案下面@张炬 的评论。上面有下划线的部分可以忽略。如果各位有一定基础，能看懂我上面讲的，就基本知道原理其实并不难，难点在于找到漏洞。zergRush的代码在这儿：revolutionary/zergRush · GitHub有兴趣的可以看看，网上也有很多分析文章。另外iphone的越狱其实和Android的root是一回事儿，都是越权操作。所以越狱的方式也都差不多，也是找IOS自带程序的漏洞，只不过IOS安全性强一点，所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象，并且是可以复现的，那就很有可能可以用来越狱了。好像是IOS6出来的时候，由于比较难搞，某个越狱团队就号召大家来找茬，发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。不过如果你发现漏洞也可以报告给苹果，苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊，哈哈。================================================谢谢各位支持关于为什么su一定要放到/system/bin/或者/system/xbin/一个同事告诉我，这个问题我的解释是错的，su不能放在data分区原因是因为data分区在mount时就指定了不能给可执行程序加s位。你在adb shell里执行mount就可以看到，或者看我下面的截图。

最新文章

  1. TAP/TUN浅析（一）
  2. VS2015的一些资料
  3. Javascript开发之工具归纳
  4. access数据库密码破解
  5. 应用程序如何找到DLL文件？
  6. MySQL Troubleshoting：Waiting on query cache mutex 腾讯数据库工程师：幕南风
  7. ehcache报错ERROR n.s.e.store.disk.DiskStorageFactory - Disk Write的解决办法
  8. 初学Java ssh之Spring 第一篇
  9. Android开发之DatePickerDialog与TimePickerDialog的功能和使用方法具体解释
  10. FZU1327 优先队列
  11. CSS.05 -- 规避脱标 定位的盒子居中、CSS标签规范、溢出隐藏、内容移除（网页优化）、CSS精灵图
  12. foreach_and_函数
  13. 词向量：part 1 WordNet、SoW、BoW、TF-IDF、Hash Trick、共现矩阵、SVD
  14. Dapper批量操作实体
  15. 常用ajax样例
  16. PHP 三元运算 ??与?:
  17. Python访问MongoDB，并且转换成Dataframe
  18. HDU 4733 G(x) (2013成都网络赛，递推)
  19. iOS webservice 接口使用方法
  20. UI5-文档-4.25-Sorting and Grouping

热门文章

  1. Selenium webdriver 获取属性值 元素里的value
  2. Fatal error: Allowed memory size of 134217728 bytes exhausted (tried to allocate 2611816 bytes)
  3. （麻省理工免费课程）C语言内存管理和C++面向对象编程
  4. 配置IISserver
  5. 翻译Java虚拟机的结构
  6. python标准库介绍——34 commands 模块详解
  7. mysql 中 delete 子查询的限制
  8. maven依赖包冲突解决办法
  9. pm2 设置开机启动
  10. dubbo-2.8.4编译发布到本地Nexus库