Android 的提权 (root) 原理是什么?

转自：http://www.zhihu.com/question/21074979/answer/18176410?utm_campaign=official_account&utm_source=weibo&utm_medium=zhihu&utm_content=answer

Android的内核就是Linux，所以Android获取root其实和Linux获取root权限是一回事儿。

你想在Linux下获取root权限的时候就是执行sudo或者su，接下来系统会提示你输入root用户的密码，密码正确就获得root权限了。Android本身就不想让你获得Root权限，大部分手机出厂的时候根本就没有su这个程序。所以你想获得Android的root权限，第一步就是要把编译好的su文件拷贝到Android手机的/system/bin或者/system/xbin/目录下。我们先假设你可以把su放在bin下，接下来你可以在Android手机的adb shell或者串口下输入su了。上面说了，执行su，系统会提示你输入root用户密码，但你怎么可能知道密码呢？暴力破解吗？破解root的黑客当然不会这么做，这就涉及到第二个问题。
一般我们在Linux的console下输入 ls -l 会列出所有文件的权限。
比如：-rwxr-xr-x，用过Linux的人都知道r代表该文件可读，w代表可写，x代表可执行，-就代表没有该权限。第一个rwx代表文件所有者的权限，第二个rwx代表和所有者同组人的权限，第三个rwx代表其他用户对该文件的权限。但下面这个文件就比较特殊。

rws，它的执行权限标志位是一个s，s代表当任何一个用户执行该文件的时候都拥有文件所有者的权限，这文件的所有者是root，简单点说就是不管谁执行这个文件，他执行的时候都是以root身份执行的。那root用户执行任何文件都是不需要密码的。
这个时候如果你把su文件的权限置成-rwsr-xr-x会发生什么？su这个程序本来就是赋予执行者root权限的，但执行的时候又不需要密码，所以执行一下这个文件就自动成root身份了。
问题都清楚了，就是你需要把su拷贝到Android手机上，并且把su权限标志位置成-rwsr-xr-x。能把这个事情搞定你就成功root了一个手机。
大概意思就是两行代码
cp /data/tmp/su /system/bin/ #copy su 到/system/分区
chmod 1775 /system/bin/su #把su置成-rwsr-xr-x
那怎么搞定这个事情呢？Android的system分区本身不可写，只有是root的权限才能改动它，执行不了啊。
一个办法就是找一个本身已经有root权限的进程来启动我上面的两行代码，那我这两行代码一启动就是root权限，就可以顺利执行了。但是已经有root权限的进程都是出厂时候就装到手机上的，代码写死了，你没法控制它执行你自己的代码啊。这个时候就需要你找漏洞了，比如用来破解Android2.3 root权限的zergRush漏洞就是利用一个拥有root权限的进程栈溢出漏洞，栈溢出说白了就是这个进程读到了自有内存之外的地址空间，这段内存空间没分配给它，谁都能写这段内存，那我就可以把自己的两行代码预先写到这里，运行zergRush代码，然后等那个倒霉的进程执行我就行了。
如果各位有一定基础，能看懂我上面讲的，就基本知道原理其实并不难，难点在于找到漏洞。
zergRush的代码在这儿：
revolutionary/zergRush · GitHub
有兴趣的可以看看，网上也有很多分析文章。

另外iphone的越狱其实和Android的root是一回事儿，都是越权操作。所以越狱的方式也都差不多，也是找IOS自带程序的漏洞，只不过IOS安全性强一点，所以也比较难找。如果你发现你的iphone的某个自带程序经过一些特定操作会出现系统崩溃重启的现象，并且是可以复现的，那就很有可能可以用来越狱了。
好像是IOS6出来的时候，由于比较难搞，某个越狱团队就号召大家来找茬，发现的漏洞可以报告给他们用来越狱。说明IOS越狱越来越难。直接体现就是现在越狱需要的时间越来越长。
不过如果你发现漏洞也可以报告给苹果，苹果会根据漏洞严重程度给予一定奖励。我记得看新闻说南非一个家伙靠给苹果找漏洞赚25万美元。发家致富的好路子啊，哈哈。