Android源码定制（5）——root指纹定制与抹除

1.前言

本文为源码定制学习的root指纹抹除篇，通过本文的学习，读者可以掌握Android指纹的基本定制能力和root定制能力，本文参考了看雪大佬应用root检测通杀篇，为实验记录笔记。有问题，可以一一指出：

本文第二节主要讲述基本原理

本文第三节主要讲述实验

本文第四节主要为总结

2.基础知识

2.1 指纹解析

需要对Android指纹进行修改，最重要是明白build.prop的参数含义，这里截取网上文章中的一部分，方便大家理解：

# begin build properties （开始设置系统性能）
# autogenerated （通过设置形成系统信息）
ro.=GRI40 (版本ID)
ro.build.=GRJ22 （版本号）
ro.build.version.incremental=eng.buildbot.20110619.060228 （版本增量）
ro.build.version.sdk=10 （sdk版本）
ro.build.version.codename=REL （版本代号）
ro.build.version.release=2.3.4 （Android 2.3.4系统）
ro.build.date=Sun Jun 19 06:02:58 UTC 2011 （制作者及制作时间）
ro.build.date.utc=0
ro.build.type=user (编译模式,如user,userdebug,eng,test模式)
ro.build.user=buildbot (编译账户)
ro.build.host=bb1 (编译主机系统)
ro.build.tags=test-keys (编译标签)
ro.product.model=HTC Wildfire （HTC内部手机代号）
ro.product.brand=htc_wwe （手机品牌）
ro.product.name=htc_buzz （手机正式名称）
ro.product.device=buzz （采用的设备）
ro.product.board=buzz （采用的处理器）
ro.product.cpu.abi=armeabi-v6j （cpu的版本）
ro.product.cpu.abi2=armeabi （cpu的品牌）
ro.product.manufacturer=HTC （手机制造商）
ro.product.locale.language=zh （手机默认语言）
ro.product.locale.region=CN （地区语言）
ro.wifi.channels= （WIFI连接的渠道）
ro.board.platform=msm7k （主板平台）
# ro.build.product is obsolete; use ro.product.device （旧代码ro.build.product，使用代码ro.product.device）
ro.build.product=buzz （建立产品）
# Do not try to parse ro.build.description or .fingerprint （不要试图修改description和fingerprint）
ro.build.description=passion-user 2.3.3 GRI40 102588 release-keys （用户的KEY）
ro.build.fingerprint=google/passion/passion:2.3.3/GRI40/102588:user/release-keys （系统指纹）
# end build properties （性能代码完毕）
#
# system.prop for buzz （系统技术支持由BUZZ提供）
#
# Density in DPI of the LCD of this board. This is used to scale the UI （高密度的液晶的DPI板。这是用来大规模UI的）
# appropriately. If this property is not defined, the default value is 160 dpi. （appropriately.如果这个属性没有定义,缺省值是160 dpi的分辨率）
ro.sf.lcd_density=240 （显示屏分辨率，数值越大分辨率越底，240就是800*480的）
# View configuration for QVGA. （屏幕的设置）
view.fading_edge_length=8
view.touch_slop=15 （触摸屏灵敏度，数值越大越灵敏）
view.minimum_fling_velocity=25 （滑动速度）
view.scroll_friction=0.008 （滑动误差）
# RIL specific configuration. （特定设置）
rild.libpath=/system/lib/libhtc_
ro.ril.ecc.HTC-WWE=999
ro.ril.ecc.HTC-ELL=92,93,94
ro.ril.enable.a52.HTC-ITA=1
ro.ril.enable.a53.HTC-ITA=1
ro.ril.enable.a52=0
ro.ril.enable.a53=1
ro.ril.vmail.23415=1571,BT
ro.ril.hsdpa.category=8 （hsdpa全称High Speed Downlink Packet Access中文意思：高速下行分组接入,设置的数越大传输越快）
ro.ril.htcmaskw1.bitmask=429496
ro.ril.htcmaskw1=14449
ro.ril.def.agps.mode=2 （打开AGPS服务支持，可改为ro.ril.def.agps.mode=0 改后能省电但GPS定位速度会变慢）
ro.ril.gprsclass=12 （GPRS设置）
# For HSDPA low throughput （HSDPA低输量）
ro.ril.disable.power.collapse=1 （关闭电源）
# Modify MMS APN retry timer from 5s to 2s. （修改短信的APN设置5秒为2秒）
ro.gsm.2nd_data_retry_config=max_retries=3, 2000, 2000, 2000
# Time between scans in seconds. Keep it high to minimize battery drain.（扫描在几秒之内，可降低用电量）
# This only affects the case in which there are remembered access points, （这个修改仅能影响此文件）
# but none are in range.（但是没有一项是在范围内的）
wifi.interface=eth0 （WIFI界面）
wifi.supplicant_scan_interval=45 （WIFI扫描间隔时间，这里设置是45秒。把这个时间设置长点能省电）
# Mobile data interfaces （移动数据的接口）
mobiledata.interfaces=rmnet0,rmnet1,rmnet2
# Allow or deny tethering. （允许和拒绝绑定）
ro.tether.denied=false
# Default network type. （默认的网络类型）
# 0 => WCDMA Preferred. （0=WCDMA优先）
ro.telephony.default_network=0
# Enable Google-specific location features, （谷歌特定地点的设置）
# like NetworkLocationProvider and LocationCollector.（如网络服务器提供商和服务器位置）
ro.c o m.google.locationfeatures=1
# The OpenGL ES API level that is natively supported by this device. （开放式绘图介面）
# This is a 16.16 fixed point number. （界面有16个点，16个不动点数量）
ro.opengles.version=65536 （开放式绘图介面参数）
# Disable fs check on boot by default. （开机时默认禁用FS检查）
sys.checkfs.fat=false
# Performance settings. （性能设置）
dalvik.vm.execution-mode=int:jit
dalvik.vm.heapsize=24m （虚拟内存大小，可设置为16m或24m或32m或48m）
persist.sys.use_dithering=1
persist.sys.purgeable_assets=1
# Increase SKIA decode memory capability for progressive jpg file.
ro.media.dec.jpeg.memcap=20000000
#
# ADDITIONAL_BUILD_PROPERTIES （其他性能设置）
no_require_sim=true （手机卡保护设置）
ro.rommanager.developerid=cyanogenmodnightly （固件管理器开发者是CM大神）
ro.url.legal=http://www./intl/%s/mobile/android/basic/phone-legal.html
ro.url.legal.android_privacy=http://www]/intl/%s/mobile/android/basic/privacy.html
ro. com.google.clientidbase=android-google （谷歌客户身份）
ro. com.android.wifi-watchlist=GoogleGuest （WIFI用户名单）
ro.setupwizard.enterprise_mode=1 （默认情景模式）
ro. com.android.dateformat=MM-dd-yyyy （默认时间格式，改为yyyy-MM-dd，显示效果就是XXXX年XX月XX日）
ro. com.android.dataroaming=false （漫游设置）
ro.config.ringtone=Playa.ogg （默认铃声设置，文件在/system/media/audio/ringtones 把喜欢的铃声放这里，比如123. MP3放入ringtones文件夹中，这里代码改为ro.config.ringtone=123. mp3）
ro.config.notification_sound=regulus.ogg （默认提示音，文件在/system/media/audio/notifications 修改方法同上）
ro.config.alarm_alert=Alarm_Beep_03.ogg （默认闹铃，文件在/system/media/audio/alarms 修改方法同上）
ro.modversion=CyanogenMod-7-06192011-NIGHTLY-buzz （版本信息，改这个能让你大名出现系统关于中，改为ro.modversion=xxxxx）
ro.setupwizard.mode=OPTIONAL （安装向导模式）
net. bt. name=Android （系统名称）
dalvik.vm.stack-trace-file=/data/anr/traces.txt 

后面我们要修改设备的指纹，主要关注两个文件：buildinfo.sh和Makefile

2.2 root检测方式

一般Android 上root检测的基本方式包含：

（1）检查su命令是否存在
（2）检查常用目录是否存在su（或检测是否存在s权限的文件）
（3）使用which命令查看是否存在su
（4）主动申请root权限
（5）执行busybox
（6）检查Android属性（读取build.prop中关键属性，如ro.build.tags和ro.build.type）
（7）检查特定路径是否有写权限（在Android系统中，有些目录是普通用户不能访问的，例如/data、/system、/etc等）
（8）检查市面主流的模拟器
（9）检测frida、xposed等Hook框架的特征

具体可以分为：Android root的系统指纹、root的路径指纹、root的执行操作、第三方工具等

参考文章：修改ROM实现自定义su命令-root检测通杀，这里给出了一些基本的root检测指纹：

1.detectRootManagementApps—检测常见su包名,如{“com.noshufou.android.su”, “com.noshufou.android.su.elite”, “eu.chainfire.supersu”, “com.koushikdutta.superuser”, “com.thirdparty.superuser”, “com.yellowes.su”, “com.topjohnwu.magisk”, “com.kingroot.kinguser”, “com.kingo.root”, “com.smedialink.oneclickroot”, “com.zhiqupk.root.global”, “com.alephzain.framaroot”}

2.detectPotentiallyDangerousApps—{“com.koushikdutta.rommanager”, “com.koushikdutta.rommanager.license”, “com.dimonvideo.luckypatcher”, “com.chelpus.lackypatch”, “com.ramdroid.appquarantine”, “com.ramdroid.appquarantinepro”, “com.android.vending.billing.InAppBillingService.COIN”, “com.android.vending.billing.InAppBillingService.LUCK”, “com.chelpus.luckypatcher”, “com.blackmartalpha”, “org.blackmart.market”, “com.allinone.free”, “com.repodroid.app”, “org.creeplays.hack”, “com.baseappfull.fwd”, “com.zmapp”, “com.dv.marketmod.installer”, “org.mobilism.android”, “com.android.wp.net.log”, “com.android.camera.update”, “cc.madkite.freedom”, “com.solohsu.android.edxp.manager”, “org.meowcat.edxposed.manager”, “com.xmodgame”, “com.cih.game_cih”, “com.charles.lpoqasert”, “catch_.me_.if_.you_.can_”}

3.detectRootCloakingApps—{“com.devadvance.rootcloak”, “com.devadvance.rootcloakplus”, “de.robv.android.xposed.installer”, “com.saurik.substrate”, “com.zachspong.temprootremovejb”, “com.amphoras.hidemyroot”, “com.amphoras.hidemyrootadfree”, “com.formyhm.hiderootPremium”, “com.formyhm.hideroot”}

4.suPath—遍历执行可能存在的su文件夹,如{“/data/local/”, “/data/local/bin/”, “/data/local/xbin/”, “/sbin/”, “/su/bin/”, “/system/bin/”, “/system/bin/.ext/”, “/system/bin/failsafe/”, “/system/sd/xbin/”, “/system/usr/we-need-root/”, “/system/xbin/”, “/cache/”, “/data/”, “/dev/”}

5.checkForDangerousProps—检查一些属性的值.{ro.debuggable”, “1”},{“ro.secure”, “0”}

6.checkForRWPaths—先执行(需要root)mount如果返回true然后再查看是否有读写权限{“/system”, “/system/bin”, “/system/sbin”, “/system/xbin”, “/vendor/bin”, “/sbin”, “/etc”}

7.detectTestKeys—查看编译类型是否为 {“test-keys”}

8.checkBuildProp—检查Buildprop的值,{“ro.build.display.id”,”ro.build.version.incremental”,”ro.build.date”,”ro.build.date.utc”,”ro.build.type”,”ro.build.user”,”ro.build.flavor”,”ro.build.tags”,”ro.build.description”,”ro.build.fingerprint”,”ro.product.model”,”ro.product.brand”,”ro.product.name”}

9.checkSuExists—执行su,看看能否执行成功

10.checkForRootNative—Native层root检查

11.checkForMagiskBinary—检测是否存在Magisk-{“/data/local/”, “/data/local/bin/”, “/data/local/xbin/”, “/sbin/”, “/su/bin/”, “/system/bin/”, “/system/bin/.ext/”, “/system/bin/failsafe/”, “/system/sd/xbin/”, “/system/usr/we-need-root/”, “/system/xbin/”, “/cache/”, “/data/”, “/dev/”}

具体的大家可以参考原文

我在前面的文章：Android漏洞之战调试与反调试也用真实的代码进行了展演示，这里大家可以进行参考

3.实验

实验环境：

pixel Android8.0.1
Ubuntu 18

3.1 user版本的编译

首先，我们编译user版本的镜像，里我需要编译的目标版本是aosp_sailfish-user，那么在编译的选项中是没有这一项的，根据lunch命令列出的文件，随意找一个文件进行修改，我们以device/google/marlin/vendorsetup.sh文件为例，进行修改

source build/envsetup.sh

我们随便打开一个配置文件进行添加，例如这里我们打开配置文件device/google/marlin/vendorsetup.sh

vim device/google/marlin/vendorsetup.sh

我们也可以发现之前的userdebug版本声明也在这里面

然后我们再次初始化并选择设备：

source build/envsetup.sh
lunch

可以发现此时我们就多了user版本，然后我们选择该版本

编译：make -j4

编译完成

我们可以发现现在就是user的版本，也没有root权限，和我们平时使用的手机一样

这里我们在网上找一个root检测工具，我们可以发现此时的手机是未经过root的

尽管我们现在编译的是user版本，但是我们试验了一些测试的APP，发现其中有一些APP还是检测系统含有root，经过分析我们发现，无论是user编译还是user-debug编译，我们的系统签名都使用的是test-key，而我们真正的手机一般是release-key签名后发布的，所以很多APP将这里作为检测点

这里有两种方案：

（1）编译release-key版本的系统

由于后面我们还要开展指纹抹除实验，所以这里给大家推荐一个文章，想要实现可以去试下：Android——编译release版签名系统

（2）修改指纹

我们这里为了简单的实验，后面在实验中将这里的进行抹除

test-keys--->release-keys

然后为了开展后面的实现，我们尝试拿到user版本的指纹，由于此时无法root，所以无法查看 /system/build.prop的信息，所以我们直接对设备进行root

8.0刷入root步骤：
	（1）刷入twrp
	（2）使用twrp刷入Magisk
既可以获得root

针对Android8.0的设备获得root，最方便的便是刷入Magisk

此时我们再次查看设备的指纹：

可以发现此时我们可以找到指纹，这里我们保存该指纹信息

3.2 userdebug版本编译

我们按上面的编译步骤选择userdebug版本

我们可以发现userdebug的指纹明显不一样，此时我们再查看一下

3.3 root指纹抹除

前面我们分别对user版和debug版的系统进行了分析，相应不少朋友应对一些常见的root检测的应用进行处理，那能不能即获得root的操作，又拥有user一样的镜像呢，这里我们就需要对root进行定制和指纹抹除

首先我们用文件对比工具来进行比较：

我们只需要将这些差异的地方一一进行修改即可

（1）test-keys

前面我们提到了这个问题，所以这里我们需要将其进行修改，这里直接将test-keys修改为release-keys

我们先查找一下位置：

然后我们搜索ro.build.tags，可以在buildinfo.sh中找到

然后我们继续定位后面的值，在build/make/core/Makefile中

这里我们直接修改为release-keys

（2）ro.build.display.id

按照前面的思路进行定位：

build/make/core/Makefile

这里我们将其值修改为和user保持一致

注意这里我们使用release-key

（3）ro.build.version.incremental

这里我们可以将buildinfo.sh和Makefile文件都修改

即我们修改BF_BUILD_BUMBER的值就可以了

（4）ro.build.date和ro.build.date.utc

这两个是编译是时间，为了与后面保持一致，我们还是进行修改

然后我们进行修改：

（5）ro.build.type

buildinfo.sh

Makefile

直接在此处修改即可

（6）ro.build.user和ro.build.host

buildinfo.sh

这里我们直接修改为用户名和主机

（6）ro.build.flavor

然后我们直接进行修改

（7）ro.build.description

应修改为：

aosp_sailfish-user 8.1.0 OPM1.171019.011 eng.Windaa.20221109.050000 release-keys 

（8）ro.build.fingerprint

一样，我们进行定位

然后我们进行修改

Android/aosp_sailfish/sailfish:8.1.0/OPM1.171019.011/Windaa11090500:user/release-keys

（9）ro.product.model、ro.product.brand、ro.product.name

一些朋友想要设备向google的原设备一样，可以修改手机的代号和产品名称，这里就不修改了，感兴趣朋友可以修改

3.4 root定制

root定制这里参考通用的方法：xu为自定义的名称

AOSP/system/extras/su下修改Android.mk中su修改为xu
AOSP/system/core/libcutils/fs_config.cpp中/system/xbin/su修改为/system/xbin/xu
AOSP/system/sepolicy/private/file_contexts中/system/xbin/su修改为/system/xbin/xu

第一处

第二处

第三处

3.5编译

然后再次编译，选择user-debug版

lunch：24
make -j4

3.6效果演示

我们重新刷机，刷机完成后，就可以发现定制的镜像和原理看起来一致

定制后：

定制前（user版）：

我们可以试下，看能不能正常root

可以发现是没有问题的

4.总结

本文编译了user版和user-debug版，并通过指纹定制将user-debug魔改为user版，为后续试验提供了更多的方便，相关文件后续上传github

5.参考文献

https://bbs.pediy.com/thread-273485.htm#msg_header_h2_0
http://lzonel.cn/3136.html
https://blog.csdn.net/u010142437/article/details/78030485
https://www.jianshu.com/p/dd6cca4ec27d

本文由安全后厨团队分享，转载请注明来源，违者必究！