1.1 锁屏密码方式
Android 中现在支持的锁屏密码主要有两种：一种是手势解锁，也就是常见的九宫格密码图；一种是输入密码，分为PIN密码和复杂数字密码，而PIN密码就是数字密码，比较简单。当然现在还有一个高级的指纹密码，这不是本文分析的范围，本章只分析手势密码和输入密码。
1.2 密码算法分析
在设置锁屏密码界面，用Android SDK目录\tools\bin\uiautomatorviewer.bat 工具分析获取当前的锁屏View类LockPattern,然后一步步跟入，最终会跟到一个包名为com.android.internal.widget锁屏密码工具类：LockPatternUtils.java，如下图，这里以9.0为例：
image.png
1.2.1 输入密码算法分析
找到源码之后，首先来分析一下输入密码算法:
legacyPasswordToHash
可以看到又一个方法
legacyPasswordToHash,参数为用户输入的密码和当前用户对应的id,一般设备不会有多个用户，所以这里的userId是默认值0,下面就是最为核心的加密算法:原文密码+设备的salt值，然后分别进行MD5和SHA-1操作，然后复制到一个数组中，再进行Hex编码，得到的值就是本地的加密密码内容。而这里最重要的是如何获取设备对应的salt值，这可以一步一步跟踪代码：
salt
getsalt方法，首先根据字段key为lockscreen.password_salt从一个地方获取salt值，如果发现这个值为0,就调用SecureRandom.getInstance("SHA1PRNG").nextLong()随机生成一个，然后将其保存到一个地方，最后将salt转化为hex值即可。现在需要找到这个地方，继续跟踪代码:
getLong
感觉应该保存到数据库中，继续跟踪代码;
getLockSettings
通过在
ServiceManager中获取一个服务来进行操作，在Android中，像这种获取服务的方式，最终实现逻辑都是在XXXService类中，这里是在包名为com.android.server.locksettings下的LockSettingsService.java类，找到这个类，查看它的getLong方法
LockSettingsService-----getLong
这里调用了
getStringUnchecked方法继续跟踪代码:
getStringUnchecked
分析这个方法
- 第一个条件:
Settings.Secure.LOCK_PATTERN_ENABLED.equals(key)中,Settings.Secure.LOCK_PATTERN_ENABLED为lock_pattern_autolockkey为lockscreen.password_salt不相等 - 第二个条件:在
LockPatternUtils中能看到USER_FRP为USER_FRPUserHandle中的USER_NULL如下图:
UserHandle-USER_NULL
第二个条件也不满足 - 第三个条件分别为:
,image.pngkey在上面已经说过为lockscreen.password_salt,也不满足
其实到这里就已经可以看出肯定是保存在数据库中的了，继续跟踪代码来验证我们的猜想
看下LockSettingsService这个类的构造方法
image.png
用到了Injector类，如下:
Injector
果然发现是保存在一个数据库中，继续查看LockSettingsStorage类
LockSettingsStorage
LockSettingsStorage-readKeyValue
DatabaseHelper
看到了数据库名字叫作locksettings.db，那么它保存在哪里呢，继续看这个类
image.png
可以看到有两个key文件，他们就是用来保存加密之后的手势密码和输入密码的，将信息保存到本地，下次开机解锁需要读取这个文件内容进行密码对比。看到一个目录是system，所以数据库和这两个key文件很有可能保存到目录/data/system/下类，为类再证实一下，用find命令去根目录下搜索这个数据库文件也是可以的。最终确定是该目录:
image.png
image.png
由于中间输出的其它目录较多，这里我就截取了有效的几行
如果这里提示找不到
find命令,这时需要安装busybox工具，才能使用这个命令。
找到这个数据库文件就好办了，直接取出来，然后用SQLite工具进行查看即可，当然也可以直接在手机中查看，为了方便，还是取出来，如下图:
数据库信息
首先给设备设置一个简单的密码，如
1234，然后会在/data/system目录下生成一个密码加密key文件/data/system/password.key.
下面就用简单的java代码手动实现这个算法，验证分析是否正确，加密算法不用自己写，直接从上面的源码中拷贝出来即可。
private static final String SALT = Long.toHexString(7465477524050644896L);
public static String legacyPasswordToHash(String password, int userId) {
if (password == null) {
return null;
}
try {
byte[] saltedPassword = (password + SALT).getBytes();
byte[] sha1 = MessageDigest.getInstance("SHA-1").digest(saltedPassword);
byte[] md5 = MessageDigest.getInstance("MD5").digest(saltedPassword);
byte[] combined = new byte[sha1.length + md5.length];
System.arraycopy(sha1, 0, combined, 0, sha1.length);
System.arraycopy(md5, 0, combined, sha1.length, md5.length);
final char[] hexEncoded = HexEncoding.encode(combined);
return new String(hexEncoded);
} catch (NoSuchAlgorithmException e) {
throw new AssertionError("Missing digest algorithm: ", e);
}
}
HexEncoding.java类如下:
/**
* Hexadecimal encoding where each byte is represented by two hexadecimal digits.
*/
public class HexEncoding {
/** Hidden constructor to prevent instantiation. */
private HexEncoding() {}
private static final char[] HEX_DIGITS = "0123456789ABCDEF".toCharArray();
/**
* Encodes the provided data as a sequence of hexadecimal characters.
*/
public static char[] encode(byte[] data) {
return encode(data, 0, data.length);
}
/**
* Encodes the provided data as a sequence of hexadecimal characters.
*/
public static char[] encode(byte[] data, int offset, int len) {
char[] result = new char[len * 2];
for (int i = 0; i < len; i++) {
byte b = data[offset + i];
int resultIndex = 2 * i;
result[resultIndex] = (HEX_DIGITS[(b >>> 4) & 0x0f]);
result[resultIndex + 1] = (HEX_DIGITS[b & 0x0f]);
}
return result;
}
/**
* Decodes the provided hexadecimal string into a byte array. If {@code allowSingleChar}
* is {@code true} odd-length inputs are allowed and the first character is interpreted
* as the lower bits of the first result byte.
*
* Throws an {@code IllegalArgumentException} if the input is malformed.
*/
public static byte[] decode(char[] encoded, boolean allowSingleChar) throws IllegalArgumentException {
int resultLengthBytes = (encoded.length + 1) / 2;
byte[] result = new byte[resultLengthBytes];
int resultOffset = 0;
int i = 0;
if (allowSingleChar) {
if ((encoded.length % 2) != 0) {
// Odd number of digits -- the first digit is the lower 4 bits of the first result byte.
result[resultOffset++] = (byte) toDigit(encoded, i);
i++;
}
} else {
if ((encoded.length % 2) != 0) {
throw new IllegalArgumentException("Invalid input length: " + encoded.length);
}
}
for (int len = encoded.length; i < len; i += 2) {
result[resultOffset++] = (byte) ((toDigit(encoded, i) << 4) | toDigit(encoded, i + 1));
}
return result;
}
private static int toDigit(char[] str, int offset) throws IllegalArgumentException {
// NOTE: that this isn't really a code point in the traditional sense, since we're
// just rejecting surrogate pairs outright.
int pseudoCodePoint = str[offset];
if ('0' <= pseudoCodePoint && pseudoCodePoint <= '9') {
return pseudoCodePoint - '0';
} else if ('a' <= pseudoCodePoint && pseudoCodePoint <= 'f') {
return 10 + (pseudoCodePoint - 'a');
} else if ('A' <= pseudoCodePoint && pseudoCodePoint <= 'F') {
return 10 + (pseudoCodePoint - 'A');
}
throw new IllegalArgumentException("Illegal char: " + str[offset] +
" at offset " + offset);
}
}
需要注意的是，这里的SALT值是我们从数据库中得到的，不过要记得进行hex转化
然后用1234原文密码去生成加密之后的信息，结果如下:
image.png
得到的结果是:
1D8403875F321EE86FE44D545DC409C7A24584DE6415458CC8923D8832E8ED23A610E3FC
另外一种获取SALT的方法是利用反射机制，代码如下:
private void getSalt() {
try {
Class classz = Class.forName("com.android.internal.widget.LockPatternUtils");
Object locakUtils = classz.getConstructor(Context.class).newInstance(this);
Class locakPatternUtils = locakUtils.getClass();
Method getSaltM = locakPatternUtils.getDeclaredMethod("getsalt",int.class);
getSaltM.setAccessible(true);
Object saltObj = getSaltM.invoke(locakUtils,0);
Log.i("sallt","salt:"+saltObj);
} catch (Exception e) {
Log.i("ZQ","error:"+Log.getStackTraceString(e));
}
}
到这里就分析完了锁屏密码算法，总结一点就是:md5(输入明文密码+设备的salt的值) + SHA1(输入明文密码+设备的salt值)，拷贝到一个数组中后对数组进行HexEncoding.encode运算，转成String就是最终加密后的内容，手势密码算法分析，请看下一个篇。