Android 的提权 (root) 原理是什么?
来源：互联网 发布：数控法拉克系统编程 编辑：程序博客网 时间：2024/04/29 17:58
赵宏彬、师子越、杨振海 等人赞同
Android的内核就是Linux，所以Android获取root其实和Linux获取root权限是一回事儿。
你想在Linux下获取root权限的时候就是执行sudo或者su，接下来系统会提示你输入root用户的密码，密码正确就获得root权限了。Android本身就不想让你获得Root权限，大部分手机出厂的时候根本就没有su这个程序。所以你想获得Android的root权限，第一步就是要把编译好的su文件拷贝到Android手机的/system/bin或者/system/xbin/目录下。我们先假设你可以把su放在xbin下，接下来你可以在Android手机的adb shell或者串口下输入su了。
Linux下su以后输入密码就可以root了，但Android里的su和Linux里的su是不一样的，Android里的su不是靠验证密码的，而是看你原来的权限是什么。意思就是如果你是root，那你可以通过su切换到别的用户，比如说shell,wifi,audio什么的。但如果你是root之外的其他用户，就不能切换回root了，会提示你permission denied。(具体su是怎么做到这一点的，我准备过几天有时间的时候写在下面，单独说明）
也就说用root运行su才有用，但我这个时候还没有root怎么办呢？这就涉及到另外个问题。
一般我们在Linux的console下输入 ls -l 会列出所有文件的权限。
比如：-rwxr-xr-x，用过Linux的人都知道r代表该文件可读，w代表可写，x代表可执行，-就代表没有该权限。第一个rwx代表文件所有者的权限，第二个rwx代表和所有者同组人的权限，第三个rwx代表其他用户对该文件的权限。但下面这个文件就比较特殊。
rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。
也就说即使我不是root也有可能以root身份来执行程序，那么我就把一个所有者是root的su程序权限标志位置成-rwsr-xr-x，那么不管谁执行它，都是root身份执行，su就可以顺利执行成功了，执行成功之后我就是root身份了。
问题都清楚了，就是你需要把一个所有者是root的su拷贝到Android手机上，并且把su的权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。
大概意思就是两行代码
cp /data/tmp/su /system/bin/ #copy su 到/system/分区
chown root:root su #su的所有者置成root
chmod 4775 /system/bin/su #把su置成-rwsr-xr-x
熟悉Android的同学都知道，执行上面的每一行代码都需要root权限才能成功。
意思就是说，你只有有root权限的情况下才能执行上面两行代码，而这两行代码就是为了让你获得root权限的，这是一个逻辑闭环，那么如何打破这个逻辑闭环呢？
一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码，那我这两行代码一启动就是root权限，就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的，代码写死了，你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了，比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞。
/*
* 栈溢出说白了就是这个进程读到了自有内存之外的地址空间，这段内存空间没分配给它，谁都能写
* 这段内存，那我就可以把自己的两行代码预先写到这里，运行zergRush代码，然后等那个倒霉的进
* 程执行我就行了。
*/
栈溢出这段也解释错了，关于栈溢出的解释大家可以看答案下面@张炬 的评论。上面有下划线的部分可以忽略。
如果各位有一定基础，能看懂我上面讲的，就基本知道原理其实并不难，难点在于找到漏洞。
zergRush的代码在这儿：
revolutionary/zergRush · GitHub
有兴趣的可以看看，网上也有很多分析文章。
另外iphone的越狱其实和Android的root是一回事儿，都是越权操作。所以越狱的方式也都差不多，也是找IOS自带程序的漏洞，只不过IOS安全性强一点，所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象，并且是可以复现的，那就很有可能可以用来越狱了。
好像是IOS6出来的时候，由于比较难搞，某个越狱团队就号召大家来找茬，发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。
不过如果你发现漏洞也可以报告给苹果，苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊，哈哈。
================================================
谢谢各位支持
关于为什么su一定要放到/system/bin/或者/system/xbin/
一个同事告诉我，这个问题我的解释是错的，su不能放在data分区原因是因为data分区在mount时就指定了不能给可执行程序加s位。你在adb shell里执行mount就可以看到，或者看我下面的截图。
下面有下划线的部分是我自己的解释，各位可以忽略。
/*
* 首先，你当然可以把su这个程序copy到/data/分区，但你adb push进去的时候，su有这个程序的所
* 有者肯定不是root，一般是shell什么的(记不清了，应该是和adbd这个进程的所有者一样)，这个时
* 候即使你把它权限置为-rwsr-xr-x，哪你运行它的时候也是shell身份运行的，su会提示你输入密码
* 的。
* 第二我们root手机的目的是为了运行需要root权限的APP，比如goagent或者什么的。这些APP里代
* 码需要获得root的时候是这么写的：
* Process p = Runtime.getRuntime().exec("su");
* 也就是它们在代码里调用了一下su这个程序，哪可以写成下面这个样子吗？
* Process p = Runtime.getRuntime().exec("./data/tmp/su");
* 我没写过APP，不太清楚，估计是不行的。换句话说你必须把su放到环境变量PATH所有的目录
* 里，APP才能调用到它。如果你不想放到bin或者xbin下，你就必须给PATH增加一个目录。PATH是
* root权限才能修改的，你如果能修改PATH，说明你已经有root权限了，修改PATH就没必要了，还
* 不如直接放到bin下面。
*/
关于sudo
android的工程里没有sudo这个东西。sudo是为了给普通用户临时分配root权限的，Android里建立了很多用户，比如wifi,shell等等，这些用户可以访问那个文件，不可以访问那个文件，代码里已经写死了，权限也分配的很分明。它们在运行的过程中不需要临时获得root权限。所以Android不需要sudo这个程序。
回复@吴利文
1. Android的su确实是不验证密码的，是我想当然了。答案已经修改了。
2. chmod 1755也是我错了，应该是4755，答案已经改了。
3. 你的答案我看了，你没发觉你跟我说的是一回事吗？我觉得你应该是没仔细看我的答案吧。
4. 你叙述的 so call"一般的root流程"，只是一种方法，而这个问题是问原理。实际上不管你用什么漏洞获得了root，下面需要做的一样的，都是copy su到xbin, chown最后chmod。你的“一般的root流程”和别人不管用什么方法的二般流程有什么区别吗？不都是为了刚上面这些事吗？
/* ChangeLog
* 08/13/2013
* 修改栈溢出的解释错误
* 修改为什么su一定要放到/system/bin/或者/system/xbin/的解释错误
* 08/16/2013
* 修改chmod错误
* 修改运行su需要密码的错误
* 回复somebody
*/
你想在Linux下获取root权限的时候就是执行sudo或者su，接下来系统会提示你输入root用户的密码，密码正确就获得root权限了。Android本身就不想让你获得Root权限，大部分手机出厂的时候根本就没有su这个程序。所以你想获得Android的root权限，第一步就是要把编译好的su文件拷贝到Android手机的/system/bin或者/system/xbin/目录下。我们先假设你可以把su放在xbin下，接下来你可以在Android手机的adb shell或者串口下输入su了。
Linux下su以后输入密码就可以root了，但Android里的su和Linux里的su是不一样的，Android里的su不是靠验证密码的，而是看你原来的权限是什么。意思就是如果你是root，那你可以通过su切换到别的用户，比如说shell,wifi,audio什么的。但如果你是root之外的其他用户，就不能切换回root了，会提示你permission denied。(具体su是怎么做到这一点的，我准备过几天有时间的时候写在下面，单独说明）
也就说用root运行su才有用，但我这个时候还没有root怎么办呢？这就涉及到另外个问题。
一般我们在Linux的console下输入 ls -l 会列出所有文件的权限。
比如：-rwxr-xr-x，用过Linux的人都知道r代表该文件可读，w代表可写，x代表可执行，-就代表没有该权限。第一个rwx代表文件所有者的权限，第二个rwx代表和所有者同组人的权限，第三个rwx代表其他用户对该文件的权限。但下面这个文件就比较特殊。
rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。
rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。也就说即使我不是root也有可能以root身份来执行程序，那么我就把一个所有者是root的su程序权限标志位置成-rwsr-xr-x，那么不管谁执行它，都是root身份执行，su就可以顺利执行成功了，执行成功之后我就是root身份了。
问题都清楚了，就是你需要把一个所有者是root的su拷贝到Android手机上，并且把su的权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。
大概意思就是两行代码
cp /data/tmp/su /system/bin/ #copy su 到/system/分区
chown root:root su #su的所有者置成root
chmod 4775 /system/bin/su #把su置成-rwsr-xr-x
熟悉Android的同学都知道，执行上面的每一行代码都需要root权限才能成功。
意思就是说，你只有有root权限的情况下才能执行上面两行代码，而这两行代码就是为了让你获得root权限的，这是一个逻辑闭环，那么如何打破这个逻辑闭环呢？
一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码，那我这两行代码一启动就是root权限，就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的，代码写死了，你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了，比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞。
/*
* 栈溢出说白了就是这个进程读到了自有内存之外的地址空间，这段内存空间没分配给它，谁都能写
* 这段内存，那我就可以把自己的两行代码预先写到这里，运行zergRush代码，然后等那个倒霉的进
* 程执行我就行了。
*/
栈溢出这段也解释错了，关于栈溢出的解释大家可以看答案下面@张炬 的评论。上面有下划线的部分可以忽略。
如果各位有一定基础，能看懂我上面讲的，就基本知道原理其实并不难，难点在于找到漏洞。
zergRush的代码在这儿：
revolutionary/zergRush · GitHub
有兴趣的可以看看，网上也有很多分析文章。
另外iphone的越狱其实和Android的root是一回事儿，都是越权操作。所以越狱的方式也都差不多，也是找IOS自带程序的漏洞，只不过IOS安全性强一点，所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象，并且是可以复现的，那就很有可能可以用来越狱了。
好像是IOS6出来的时候，由于比较难搞，某个越狱团队就号召大家来找茬，发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。
不过如果你发现漏洞也可以报告给苹果，苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊，哈哈。
================================================
谢谢各位支持
关于为什么su一定要放到/system/bin/或者/system/xbin/
一个同事告诉我，这个问题我的解释是错的，su不能放在data分区原因是因为data分区在mount时就指定了不能给可执行程序加s位。你在adb shell里执行mount就可以看到，或者看我下面的截图。
下面有下划线的部分是我自己的解释，各位可以忽略。
下面有下划线的部分是我自己的解释，各位可以忽略。/*
* 首先，你当然可以把su这个程序copy到/data/分区，但你adb push进去的时候，su有这个程序的所
* 有者肯定不是root，一般是shell什么的(记不清了，应该是和adbd这个进程的所有者一样)，这个时
* 候即使你把它权限置为-rwsr-xr-x，哪你运行它的时候也是shell身份运行的，su会提示你输入密码
* 的。
* 第二我们root手机的目的是为了运行需要root权限的APP，比如goagent或者什么的。这些APP里代
* 码需要获得root的时候是这么写的：
* Process p = Runtime.getRuntime().exec("su");
* 也就是它们在代码里调用了一下su这个程序，哪可以写成下面这个样子吗？
* Process p = Runtime.getRuntime().exec("./data/tmp/su");
* 我没写过APP，不太清楚，估计是不行的。换句话说你必须把su放到环境变量PATH所有的目录
* 里，APP才能调用到它。如果你不想放到bin或者xbin下，你就必须给PATH增加一个目录。PATH是
* root权限才能修改的，你如果能修改PATH，说明你已经有root权限了，修改PATH就没必要了，还
* 不如直接放到bin下面。
*/
关于sudo
android的工程里没有sudo这个东西。sudo是为了给普通用户临时分配root权限的，Android里建立了很多用户，比如wifi,shell等等，这些用户可以访问那个文件，不可以访问那个文件，代码里已经写死了，权限也分配的很分明。它们在运行的过程中不需要临时获得root权限。所以Android不需要sudo这个程序。
回复@吴利文
1. Android的su确实是不验证密码的，是我想当然了。答案已经修改了。
2. chmod 1755也是我错了，应该是4755，答案已经改了。
3. 你的答案我看了，你没发觉你跟我说的是一回事吗？我觉得你应该是没仔细看我的答案吧。
4. 你叙述的 so call"一般的root流程"，只是一种方法，而这个问题是问原理。实际上不管你用什么漏洞获得了root，下面需要做的一样的，都是copy su到xbin, chown最后chmod。你的“一般的root流程”和别人不管用什么方法的二般流程有什么区别吗？不都是为了刚上面这些事吗？
/* ChangeLog
* 08/13/2013
* 修改栈溢出的解释错误
* 修改为什么su一定要放到/system/bin/或者/system/xbin/的解释错误
* 08/16/2013
* 修改chmod错误
* 修改运行su需要密码的错误
* 回复somebody
*/
倪大为，待失业
阳光少男、Alex Ling、skydiver 赞同
大体上分为两种：
1.使用系统漏洞，设法获取一个root权限的进程。譬如一个经典的，使用adbd的启动过程中的不恰当实现，创建大量进程填充，最后得到一个root权限的adbd，最后用这个最高权限的adbd运行用户自己的脚本。再譬如，对vold进程的几个漏洞，都是通过溢出实现“用root权限运行脚本”这件事的。得到一个可控制的root权限进程后，就可以把需要的可执行命令设置好相应的权限，然后放进系统里，也就是root成功了。
2.刷入一个修改过的固件，这个固件本身就已经把需要提权的文件设定好相应的权限了。
第一种方法的前提是存在漏洞，并且发现利用的方法。
第二种方法的前提是，设备允许你刷入修改过的固件。
因此，有不少设备事实上（暂时）无法root。
1.使用系统漏洞，设法获取一个root权限的进程。譬如一个经典的，使用adbd的启动过程中的不恰当实现，创建大量进程填充，最后得到一个root权限的adbd，最后用这个最高权限的adbd运行用户自己的脚本。再譬如，对vold进程的几个漏洞，都是通过溢出实现“用root权限运行脚本”这件事的。得到一个可控制的root权限进程后，就可以把需要的可执行命令设置好相应的权限，然后放进系统里，也就是root成功了。
2.刷入一个修改过的固件，这个固件本身就已经把需要提权的文件设定好相应的权限了。
第一种方法的前提是存在漏洞，并且发现利用的方法。
第二种方法的前提是，设备允许你刷入修改过的固件。
因此，有不少设备事实上（暂时）无法root。
2013-05-18 1 条评论
Alex Ling
不见得非要刷入“修改过的固件“，直接在原有固件上刷入su的binary就行
2013-05-19
写下你的评论…
陈波，我亦无他唯手熟尔。
黄志琴、王睿、曲智华 等人赞同
（题外话）之前用知乎的手机客户端回复了一下，但是我发现好像没有回复成功，估计那个也是知乎手机客户端的一个bug了。
有必要先解释一下：
linux是什么？ linux是一种操作系统，多用于服务器，我们常见的是windows操作系统，例如xp,win7等之类的。
超级用户（超级管理员）:在windows下面，你肯定会发现一个叫做administrator的管理员，那个就是超级管理员，什么意思呢，通俗的说，就是这个用户可以做任何事情。例如：它可以限制你不能访问某些文件或者应用程序等。那么，在Linux下面其实也有一个超级用户，它呢，就是root用户。
android其实是基于linux的一个操作系统，只是被用到了移动设备上面了，如果你想在pc上面安装android系统，理论上是完全可行的。
现在其实才牵涉到了android root的原理，root其实就是获取android系统的root权限。至于原理：手机制造商原始出厂的手机并未开放root权限，获取root的方法都是不受官方支持的，因此，目前获取root的方法都是利用系统漏洞实现的。而不同手机厂商可能存在的漏洞不同，也就导致了不同手机root的原理可能不同。不过，不管采用什么原理实现root，最终都需要将su可执行文件复制到Android系统的/system分区下(例如：/system/xbin/su) 并用chmod命令为其设置可执行权限和setuid权限。为了让用户可以控制root权限的使用，防止其被未经授权的应用所调用，通常还有一个Android应用程序来管理su程序的行为。root的基本原理就是利用系统漏洞，将su和对应的Android管理应用复制到/system分区。（这个是我复制的维基百科的，如果你懂一点儿linux，那么这个过程就很好理解，如果不懂呢，那么你可以忽略掉。）
至于root的步骤，这个各个手机的步骤都不同。所以你可以去你相应手机的论坛里看看，就可以了。
有必要先解释一下：
linux是什么？ linux是一种操作系统，多用于服务器，我们常见的是windows操作系统，例如xp,win7等之类的。
超级用户（超级管理员）:在windows下面，你肯定会发现一个叫做administrator的管理员，那个就是超级管理员，什么意思呢，通俗的说，就是这个用户可以做任何事情。例如：它可以限制你不能访问某些文件或者应用程序等。那么，在Linux下面其实也有一个超级用户，它呢，就是root用户。
android其实是基于linux的一个操作系统，只是被用到了移动设备上面了，如果你想在pc上面安装android系统，理论上是完全可行的。
现在其实才牵涉到了android root的原理，root其实就是获取android系统的root权限。至于原理：手机制造商原始出厂的手机并未开放root权限，获取root的方法都是不受官方支持的，因此，目前获取root的方法都是利用系统漏洞实现的。而不同手机厂商可能存在的漏洞不同，也就导致了不同手机root的原理可能不同。不过，不管采用什么原理实现root，最终都需要将su可执行文件复制到Android系统的/system分区下(例如：/system/xbin/su) 并用chmod命令为其设置可执行权限和setuid权限。为了让用户可以控制root权限的使用，防止其被未经授权的应用所调用，通常还有一个Android应用程序来管理su程序的行为。root的基本原理就是利用系统漏洞，将su和对应的Android管理应用复制到/system分区。（这个是我复制的维基百科的，如果你懂一点儿linux，那么这个过程就很好理解，如果不懂呢，那么你可以忽略掉。）
至于root的步骤，这个各个手机的步骤都不同。所以你可以去你相应手机的论坛里看看，就可以了。
Thonatos Yang，技术宅改变世界。
刘凡 赞同
一句话解释：添加拥有最高权限的su binary文件用于进行最高权限操作。
droider An，Android Developer
夜露 赞同
Android 的提权 (root) 原理是什么? @Kevin 更多提到ROOT管理背后的原理，这就是Android和Linux中的SID的用途，这是所有类UNIX通用的申请处理高权限方式。
其实在我的理解中应该是两个：
1，提权
2，ROOT
对于 1，提权 是利用系统的漏洞，获得原本获取不了的权限，提升本应用的权限。
已知的漏洞：
1.a：之前提到的利用adbd的漏洞，在2.X时代有效。这个利用的过程还是比较复杂，时间也比较长；
1.b：三星CPU的漏洞，比如在Galaxy系上可以利用这个漏洞来ROOT，这个漏洞就比较好利用了，之接在APK代码里就可以利用。在我的Galaxy Note上用过。
提权不一定是对于主系统（Android系统），还有些是针对辅助系统（BOOTLOADER和RECOVERY）。
1.c：三星系的手机可以利用一个BOOTLOADER的漏洞（我不太清楚是不是漏洞，但是三星本身没有官方解锁工具这一说的，难道是官方提供的？），可以任意的刷包，这样我们就可以利用这个途径来修改SYSTEM分区了，都有权限修改SYSTEM分区了，往上放个文件还不是分分钟的事。官方解锁的就是提供方式，允许用户刷入自定义的文件。
1.d：OPhone系统的老版本（2.0、2.5）中（不知道还有没有人用这个系统）的RECOVERY存在一个关于路径的处理的漏洞。它有一个自己定义的upk升级包，只能处理/system/carrier下的文件，但在路径处理上估计是文本比较，你可以通过/system/carrier/../app这种方式来绕过它的管理系统，来修改/system/app下的文件。
一般情况下主系统的漏洞对用户的危害最大，因为它使一个普通权限的应用可以访问到本没有权限访问的资源。对于三星CPU漏洞，如果一个应用利用它提高自己的权限，直接访问短信的数据库文件，而不是通过Android提供的Provider，系统就没有使用沙盒检查的机会，而且用户也不知道它们做了什么，你从它的权限申请列表上也看不到它会读取短信。
对于辅助系统的漏洞，一个普通的应用就没有办法了，因为平时辅助系统是不启动的。但也并不是没有利用的可能。
对于 2，ROOT 在我理解就是安装ROOT管理工具，对于Linux的发行版本来说，本身提供了ROOT管理工具su还有sudo。但是对于Android来说本身没有提供ROOT管理工具，所以我们需要利用提权的这个过程在系统中插入ROOT管理工具，以方便我们使用更高的权限。因为毕竟提权这个过程一般来说不是很容易实现的。比如我们提到的BOOTLOADER或RECOVERY的漏洞，是没有办法在主系统中使用的，所以需要安装ROOT管理工具以在主系统中使用。
ROOT之后因为可以修改系统，所以我们也有机会修复已知的漏洞，比如上面提到的三星CPU的漏洞。
以下由于本身半桶水水平，可能不正确，请轻拍：
对于ROOT本身来说不会降低系统安全性，除非ROOT管理器本身又有漏洞。所以通过官方解锁的方式，使用安全的RECOVERY和安全的ROOT管理器，与官方的安全性一致。
但是两个黑色的“安全”提醒着我们，市面上鱼龙混杂的ROOT工具并不是都安全的，所以使用时一定选用大家认可的，安全的方式。例如说我们平时用的SuperU.apk和与其相配的su应用，在应用层申请ROOT权限时，都会提示用户许可。但是针对一些黑色的ROOT的管理工具，它如果留下后门，对于一些特定的请求不提示直接同意，而且不记录日志的话，这样就像在自己的设备中下了一个定时炸弹一样。
其实在我的理解中应该是两个：
1，提权
2，ROOT
对于 1，提权 是利用系统的漏洞，获得原本获取不了的权限，提升本应用的权限。
已知的漏洞：
1.a：之前提到的利用adbd的漏洞，在2.X时代有效。这个利用的过程还是比较复杂，时间也比较长；
1.b：三星CPU的漏洞，比如在Galaxy系上可以利用这个漏洞来ROOT，这个漏洞就比较好利用了，之接在APK代码里就可以利用。在我的Galaxy Note上用过。
提权不一定是对于主系统（Android系统），还有些是针对辅助系统（BOOTLOADER和RECOVERY）。
1.c：三星系的手机可以利用一个BOOTLOADER的漏洞（我不太清楚是不是漏洞，但是三星本身没有官方解锁工具这一说的，难道是官方提供的？），可以任意的刷包，这样我们就可以利用这个途径来修改SYSTEM分区了，都有权限修改SYSTEM分区了，往上放个文件还不是分分钟的事。官方解锁的就是提供方式，允许用户刷入自定义的文件。
1.d：OPhone系统的老版本（2.0、2.5）中（不知道还有没有人用这个系统）的RECOVERY存在一个关于路径的处理的漏洞。它有一个自己定义的upk升级包，只能处理/system/carrier下的文件，但在路径处理上估计是文本比较，你可以通过/system/carrier/../app这种方式来绕过它的管理系统，来修改/system/app下的文件。
一般情况下主系统的漏洞对用户的危害最大，因为它使一个普通权限的应用可以访问到本没有权限访问的资源。对于三星CPU漏洞，如果一个应用利用它提高自己的权限，直接访问短信的数据库文件，而不是通过Android提供的Provider，系统就没有使用沙盒检查的机会，而且用户也不知道它们做了什么，你从它的权限申请列表上也看不到它会读取短信。
对于辅助系统的漏洞，一个普通的应用就没有办法了，因为平时辅助系统是不启动的。但也并不是没有利用的可能。
对于 2，ROOT 在我理解就是安装ROOT管理工具，对于Linux的发行版本来说，本身提供了ROOT管理工具su还有sudo。但是对于Android来说本身没有提供ROOT管理工具，所以我们需要利用提权的这个过程在系统中插入ROOT管理工具，以方便我们使用更高的权限。因为毕竟提权这个过程一般来说不是很容易实现的。比如我们提到的BOOTLOADER或RECOVERY的漏洞，是没有办法在主系统中使用的，所以需要安装ROOT管理工具以在主系统中使用。
ROOT之后因为可以修改系统，所以我们也有机会修复已知的漏洞，比如上面提到的三星CPU的漏洞。
以下由于本身半桶水水平，可能不正确，请轻拍：
对于ROOT本身来说不会降低系统安全性，除非ROOT管理器本身又有漏洞。所以通过官方解锁的方式，使用安全的RECOVERY和安全的ROOT管理器，与官方的安全性一致。
但是两个黑色的“安全”提醒着我们，市面上鱼龙混杂的ROOT工具并不是都安全的，所以使用时一定选用大家认可的，安全的方式。例如说我们平时用的SuperU.apk和与其相配的su应用，在应用层申请ROOT权限时，都会提示用户许可。但是针对一些黑色的ROOT的管理工具，它如果留下后门，对于一些特定的请求不提示直接同意，而且不记录日志的话，这样就像在自己的设备中下了一个定时炸弹一样。
吴仲華，想学得多一点的普通人
sudo -s
William King，吾生于黑暗，归于黑暗
和Linux没什么区别，Android不过是架在Linux内核上的虚拟机，root与它关系不大
吴利文，大口喝酒，大手码字
@Kevin 的答案有问题，看来他并不知道root的原理
先引用他的两段话：
先看第一段，理解没有错误的话他是想说，只要system有了写入的权限，就可以执行这两行代码，进而获取root权限。既然Android的system分区不可写，那干脆不写system，等获取root权限再写入system就行了，第一条命令需要system可写入，命令一只是拷贝，其本身没有实质性意义。第二条命令把su设置成-rwsr-x-rx也其实只完成了一半——
su还需要所有者（Owner）是root才能正确的给其他程序赋予root权限。linux系统中，当前用户执行的程序，该程序进程的 有效用户ID（Effective UID）就是当前用户，但拥有s（set uid）权限的程序，其进程的有效用户ID是这个程序的所有者。换句话说，有set uid权限的程序，运行之后，就相当于所有者运行了这个程序，如果所有者是root，那这个进程也拥有root权限。能够正常授权的su，其所有者必须是root，否则不能正常授权。没有root权限的情况下，我们可以通过chmod来设置s权限，但是不能使用chown来修改su的所有者为root（提示Unable to chown su: Operation not permitted）。
所以通过zergRush破解权限的原因是，只有破解到了root权限，才能设置su的所有者是root，才能有可正常使用的su。
再看第二段，就算把代码改成Process p = Runtime.getRuntime().exec("./data/tmp/su");也不能获得root权限。正如我前面所说的，必须先修改su的所有者为root才能获取root权限，所以在破解到root权限之前，无论做什么都不能获得一个有效的su。
现在root流程一般是zergRush破解root权限，然后用root权限启动adbd，电脑端用adb登陆之后直接就拥有了root权限，然后设置su权限和所有者，重挂载system使system可写入，然后拷贝su到/system/xbin/并安装SuperSu，重启手机。这个过程还可以变成 安装SuperSu，破解root权限，设置su的权限和所有者，重启手机，执行su，重挂载system，拷贝su自身到/system/xbin。看到了吗，获取root权限跟system不可写没有关系，重挂载system并拷贝su到xbin只是为了让应用程序更容易调用su罢了
PS: chmod 1775 /system/bin/su #把su置成-rwsr-xr-x
这个chmod的权限应该是4755才对吧？1755对应的权限是-rwxr-xr-t，连s都没有
PPS:还有一点，Kevin说输入su要密码，安卓连/etc/passwd都没有，哪来的密码
先引用他的两段话：
大概意思就是两行代码
cp /data/tmp/su /system/bin/ #copy su 到/system/分区
chmod 1775 /system/bin/su #把su置成-rwsr-xr-x
那怎么搞定这个事情呢？Android的system分区本身不可写，只有是root的权限才能改动它，执行不了啊。
获得root的时候是这么写的：Process p = Runtime.getRuntime().exec("su");
也就是它们在代码里调用了一下su这个程序，哪可以写成下面这个样子吗？Process p = Runtime.getRuntime().exec("./data/tmp/su");
先看第一段，理解没有错误的话他是想说，只要system有了写入的权限，就可以执行这两行代码，进而获取root权限。既然Android的system分区不可写，那干脆不写system，等获取root权限再写入system就行了，第一条命令需要system可写入，命令一只是拷贝，其本身没有实质性意义。第二条命令把su设置成-rwsr-x-rx也其实只完成了一半——
su还需要所有者（Owner）是root才能正确的给其他程序赋予root权限。linux系统中，当前用户执行的程序，该程序进程的 有效用户ID（Effective UID）就是当前用户，但拥有s（set uid）权限的程序，其进程的有效用户ID是这个程序的所有者。换句话说，有set uid权限的程序，运行之后，就相当于所有者运行了这个程序，如果所有者是root，那这个进程也拥有root权限。能够正常授权的su，其所有者必须是root，否则不能正常授权。没有root权限的情况下，我们可以通过chmod来设置s权限，但是不能使用chown来修改su的所有者为root（提示Unable to chown su: Operation not permitted）。
所以通过zergRush破解权限的原因是，只有破解到了root权限，才能设置su的所有者是root，才能有可正常使用的su。
再看第二段，就算把代码改成Process p = Runtime.getRuntime().exec("./data/tmp/su");也不能获得root权限。正如我前面所说的，必须先修改su的所有者为root才能获取root权限，所以在破解到root权限之前，无论做什么都不能获得一个有效的su。
现在root流程一般是zergRush破解root权限，然后用root权限启动adbd，电脑端用adb登陆之后直接就拥有了root权限，然后设置su权限和所有者，重挂载system使system可写入，然后拷贝su到/system/xbin/并安装SuperSu，重启手机。这个过程还可以变成 安装SuperSu，破解root权限，设置su的权限和所有者，重启手机，执行su，重挂载system，拷贝su自身到/system/xbin。看到了吗，获取root权限跟system不可写没有关系，重挂载system并拷贝su到xbin只是为了让应用程序更容易调用su罢了
PS: chmod 1775 /system/bin/su #把su置成-rwsr-xr-x
这个chmod的权限应该是4755才对吧？1755对应的权限是-rwxr-xr-t，连s都没有
PPS:还有一点，Kevin说输入su要密码，安卓连/etc/passwd都没有，哪来的密码
李宁
猴子！
孙典，研究生
在Android里通常是在程序中执行su去获取root权限，而就是在这个su中调用了setUid(0)和setGid(0)，大概是，记不清了，通过这两个函数把你进程的uid设为和root一样(root的uid就是0)，所以也就是说你自己随便写一个可执行文件，去调用这两个函数就能提权。
而要成功调用这两个函数，需要特殊权限，一般我们可以见到chmod 0777 xxx这样的形式，前面的那个0就是对应的setUid和setGid的权限，可以用chmod 4777 xxx去改。
其实看透了之后原理很简单，一些操作可以在adb shell中实现，试试就知道了~
而要成功调用这两个函数，需要特殊权限，一般我们可以见到chmod 0777 xxx这样的形式，前面的那个0就是对应的setUid和setGid的权限，可以用chmod 4777 xxx去改。
其实看透了之后原理很简单，一些操作可以在adb shell中实现，试试就知道了~
- Android 的提权 (root) 原理是什么?
- Android 的提权 (root) 原理是什么?
- Android 的提权 (Root) 原理是什么?
- Android 的提权 (Root) 原理是什么?
- Android 的提权 (root) 原理是什么?修改
- Android 的提权 (Root) 原理
- Android的Root原理
- Android中典型的ROOT原理(5)
- Android神器Xposed的原理是什么？
- android ROOT 原理
- Android root原理分析
- Android Root原理初探
- Android root 原理
- Android手机Root原理
- Android Root原理初探
- Ubuntu的root密码是什么
- Ubuntu的root密码是什么
- 关于Android的root提权漏洞
- 湖南生第八届大学生程序设计大赛原题 C-Updating a Dictionary(UVA12504 - Updating a Dictionary）
- 程序设计之Java设计模式(单例模式)
- linux内核调试方法总结
- 利用jstl标签实现web项目的国际化
- 获取Android设备的CPU频率
- Android 的提权 (root) 原理是什么?
- linux下连接windows的远程桌面
- Android入门笔记之源码解析四
- Objective-C语法之Category的使用
- wpa_cli调试工具的使用
- 获取系统当前时间
- 常量字符串到底存放在哪个存储区
- IOS－－ UIView中的坐标转换
- coding tree unit解析
栈溢出的成因是向栈复制数据的时候没有考虑缓冲区的大小，导致缓冲区后面的内存空间被覆盖，这时就形成了一个栈溢出漏洞。
举个栗子，程序申请了一个100字节大小的数组用来存放用户输入的数据，但是用户输入了150个字节的数据，如果没有检查数组长度就向数组中存储，多出来的50个字节就会覆盖这个数组后面的内存空间。倘若后面的内存中存储了一个函数指针，用户就可以精心控制数据长度和内容，用另外一个地址覆盖这个函数指针（指针实际存储的就是一个内存地址）。等到程序使用这个函数指针调用函数时，会跳到用户指定的地址处执行指令（函数就是一段指令序列），用户就劫持了程序的执行流程。root的时候，先在内存里写入提权指令，然后利用上面的方式劫持程序执行它们就可以了。