Magisk hide/Denylist 核心原理分析 ROOT隐藏的实现浅论

最新推荐文章于 2025-01-25 17:22:52 发布
置顶 最新推荐文章于 2025-01-25 17:22:52 发布
阅读量1.6k 收藏 4
点赞数 1
文章标签： java android linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chifu5720/article/details/131325231
版权

在这里插入图片描述

前言

当手机安装magisk后，全局的挂载空间会受到变更，magisk给我们挂载上了一个su二进制，这就是我们能够访问到su命令的原因
无论是Magisk hide还是Denylist，我们都可以将它们的工作分成两个部分，第一个部分是如何监控安卓进程的启动，第二部分是在安卓进程启动（fork）之后，尽快移除已经“污染”的挂载空间

ROOT隐藏关乎到magisk的核心原理mount
我们可以从linux内核获取到mount的相关信息

全局挂载空间

/proc/mounts
/proc/mountinfo
/proc/mountstats

进程的挂载空间

/proc/pid/mounts

如果我们成功刷入magisk, 以下命令将会有大量的挂载信息输出

cat /proc/mounts |grep magisk

在linux系统中，mount有好多种
我们注意关注的是“mount --bind”
mount --bind命令来将两个目录连接起来，mount --bind命令是将前一个目录挂载到后一个目录上，所有对后一个目录的访问其实都是对前一个目录的访问
就是说，我们可以给文件目录戴上一个“面具”，应用程序访问文件，首先访问到的是“面具层”，而不是真正的文件。

程序由数据和代码组成，但是，我们也可以说，数据和代码都是基于“文件”， 因此对文件的改动，就能改变程序的运行～
所以我们可以面具实现许许多多的黑科技

在root下的程序可以切换到任意进程的命名空间，进行mount（umount）操作

如果我们使用momo检测，我们可以发现magisk这套检测并非运行得很完美

  1. magisk hide 的ptrace容易被检测到
  2. magisk hide 无法对isolated_zygote进程处理，因为isolated_zygote与zygote进程共享挂载空间，如果对isolated_zygote进程进行处理，那么后面所有打开的app无法访问到su，即无法获取到root权限。因此，出现一个名为riru_unshare的插件可以使用unshare函数指定独立进程不与zygote共享命名空间。
  3. 还有一些可以绕过早期magisk hide(18)的方法，就是自定义安卓的进程名后面加两个…, 如微信的“:hotpot…”进程会被magisk_hide忽略为无效的隐藏进程而被magisk hide忽视。

最常见检测安卓设备是否已ROOT的方法

public static boolean isDeviceRooted() {
    String[] paths = {
            "/system/app/Superuser.apk",
            "/sbin/su",
            "/system/bin/su",
            "/system/xbin/su",
            "/data/local/xbin/su",
            "/data/local/bin/su",
            "/system/sd/xbin/su",
            "/system/bin/failsafe/su",
            "/data/local/su",
            "/su/bin/su"
    };

    for (String path : paths) {
        if (new File(path).exists()) {
            return true;
        }
    }

    return false;
}

上述方法在magisk时代下，几乎毫无作用的，因为我们可以使用面具随机地让某个指定程序看到哪些文件，看不到哪些文件。

magisk hide/denylist 的源码分析

在magisk 23版本之前, 使用magisk hide进行隐藏, magisk hide使用ptrace监控进程启动，如果是zygote进程且非isolated_zygote进程，则暂停进程，进行umount操作，再继续运行进程

Part1 监控安卓进程的启动
void proc_monitor() {
    monitor_thread = pthread_self();

    // *******
    setup_inotify();

    // First try find existing zygotes
    check_zygote();
    if (!is_zygote_done()) {
        // Periodic scan every 250ms
        timeval val { .tv_sec = 0, .tv_usec = 250000 };
        itimerval interval { .it_interval = val, .it_value = val };
        setitimer(ITIMER_REAL, &interval, nullptr);
    }

    for (int status;;) {
        pthread_sigmask(SIG_UNBLOCK, &unblock_set, nullptr);

        const int pid = waitpid(-1, &status, __WALL | __WNOTHREAD);
        if (pid < 0) {
            if (errno == ECHILD) {
                // Nothing to wait yet, sleep and wait till signal interruption
                LOGD("proc_monitor: nothing to monitor, wait for signal\n");
                struct timespec ts = {
                    .tv_sec = INT_MAX,
                    .tv_nsec = 0
                };
                nanosleep(&ts, nullptr);
            }
            continue;
        }

        pthread_sigmask(SIG_SETMASK, &orig_mask, nullptr);

        if (!WIFSTOPPED(status) /* Ignore if not ptrace-stop */)
            DETACH_AND_CONT;

        int event = WEVENT(status);
        int signal = WSTOPSIG(status);

        if (signal == SIGTRAP && event) {
            unsigned long msg;
            xptrace(PTRACE_GETEVENTMSG, pid, nullptr, &msg);
            if (zygote_map.count(pid)) {
                // Zygote event
                switch (event) {
                    case PTRACE_EVENT_FORK:
                    case PTRACE_EVENT_VFORK:
                        PTRACE_LOG("zygote forked: [%lu]\n", msg);
                        attaches[msg] = true;
                        break;
                    case PTRACE_EVENT_EXIT:
                        PTRACE_LOG("zygote exited with status: [%lu]\n", msg);
                        [[fallthrough]];
                    default:
                        zygote_map.erase(pid);
                        DETACH_AND_CONT;
                }
            } else {
                switch (event) {
                    case PTRACE_EVENT_CLONE:
                        PTRACE_LOG("create new threads: [%lu]\n", msg);
                        if (attaches[pid] && check_pid(pid))
                            continue;
                        break;
                    case PTRACE_EVENT_EXEC:
                    case PTRACE_EVENT_EXIT:
                        PTRACE_LOG("exit or execve\n");
                        [[fallthrough]];
                    default:
                        DETACH_AND_CONT;
                }
            }
            xptrace(PTRACE_CONT, pid);
        } else if (signal == SIGSTOP) {
            if (!attaches[pid]) {
                // Double check if this is actually a process
                attaches[pid] = is_process(pid);
            }
            if (attaches[pid]) {
                // This is a process, continue monitoring
                PTRACE_LOG("SIGSTOP from child\n");
                xptrace(PTRACE_SETOPTIONS, pid, nullptr,
                        PTRACE_O_TRACECLONE | PTRACE_O_TRACEEXEC | PTRACE_O_TRACEEXIT);
                xptrace(PTRACE_CONT, pid);
            } else {
                // This is a thread, do NOT monitor
                PTRACE_LOG("SIGSTOP from thread\n");
                DETACH_AND_CONT;
            }
        } else {
            // Not caused by us, resend signal
            xptrace(PTRACE_CONT, pid, nullptr, signal);
            PTRACE_LOG("signal [%d]\n", signal);
        }
    }
Part2 移除已经污染对挂载空间
static bool check_pid(int pid) {
    char path[128];
    char cmdline[1024];
    struct stat st;

    sprintf(path, "/proc/%d", pid);
    if (stat(path, &st)) {
        // Process died unexpectedly, ignore
        detach_pid(pid);
        return true;
    }

    int uid = st.st_uid;

    // UID hasn't changed
    if (uid == 0)
        return false;

    sprintf(path, "/proc/%d/cmdline", pid);
    if (auto f = open_file(path, "re")) {
        fgets(cmdline, sizeof(cmdline), f.get());
    } else {
        // Process died unexpectedly, ignore
        detach_pid(pid);
        return true;
    }

    if (cmdline == "zygote"sv || cmdline == "zygote32"sv || cmdline == "zygote64"sv ||
        cmdline == "usap32"sv || cmdline == "usap64"sv)
        return false;

    if (!is_hide_target(uid, cmdline, 95))
        goto not_target;

    // Ensure ns is separated
    read_ns(pid, &st);
    for (auto &zit : zygote_map) {
        if (zit.second.st_ino == st.st_ino &&
            zit.second.st_dev == st.st_dev) {
            // ns not separated, abort
            LOGW("proc_monitor: skip [%s] PID=[%d] UID=[%d]\n", cmdline, pid, uid);
            goto not_target;
        }
    }

    // Detach but the process should still remain stopped
    // The hide daemon will resume the process after hiding it
    LOGI("proc_monitor: [%s] PID=[%d] UID=[%d]\n", cmdline, pid, uid);
    detach_pid(pid, SIGSTOP);
    hide_daemon(pid); // 对指定pid进程进行隐藏
    return true;

not_target:
    PTRACE_LOG("[%s] is not our target\n", cmdline);
    detach_pid(pid);
    return true;
}

在magisk 25版本之后，使用denylist，如果你要使用denylist，那需要先需要开启zygote，因为denylist通过hook zygote的fork函数获知进程的启动。
denylist与magisk hide也是一样，都是对污染的命名空间进行卸载，但有一点不同，denylist是在自身的进程执行卸载代码，而magisk_hide在magiskd进程进行操作，需要先使用__switch_to_ns__切换到目标进程的命名空间。

// Unmount stuffs in the process's private mount namespace
DCL_HOOK_FUNC(int, unshare, int flags) {
    int res = old_unshare(flags);
    if (g_ctx && (flags & CLONE_NEWNS) != 0 && res == 0 &&
        // For some unknown reason, unmounting app_process in SysUI can break.
        // This is reproducible on the official AVD running API 26 and 27.
        // Simply avoid doing any unmounts for SysUI to avoid potential issues.
        g_ctx->process && g_ctx->process != "com.android.systemui"sv) {
        if (g_ctx->flags[DO_REVERT_UNMOUNT]) {
            revert_unmount();
        } else {
            umount2("/system/bin/app_process64", MNT_DETACH);
            umount2("/system/bin/app_process32", MNT_DETACH);
        }
        // Restore errno back to 0
        errno = 0;
    }
    return res;
}

Yyds.Msu 的设计

Yyds.Msu与magisk hide反其道而行之。大道至简，尽可能让方案更加简单才能更稳定。

  1. Yyds.Msu 是先卸载，默认应用是没有污染命名空间的，也就是说，直接对zygote以及zygote64进程进行命名空间卸载。
  2. Yyds.Msu 在不使用zygote hook与ptrace的情况下，是无法监听其它app进程的启动的，但可以想办法监听到yyds.msu管理apk的启动，那就是inotify，我们只需要让yyds.msu管理apk在Application时候创建一个文件，即可让我们魔改过的magiskd知晓到并进行挂载。
  3. 缺点是我们无法让其它app打开即进行挂载获得到root权限，在不进行任何hook的情况下除非我们死循环地地扫描/proc目录。
  4. 在Yyds.Msu中我们手动使用超级运行对指定进程直接挂载root权限以及相关magisk bin，但是似乎对某些app来说获取root权限有些慢，我们直接对zygote进程挂载root权限并在app启动成功后恢复zygote的正常挂载，这个就是超级运行的兼容模式。
    在这里插入图片描述
面具Magisk配置排除列表实现隐藏Root教程
代码简单说 Vue、JAVA、PHP、Node.js 熟练运用，接口、架构、性能全搞定。
03-26 1169
通过Magisk的配置排除列表，可以轻松隐藏Root权限，避免部分应用进行Root检测。但如果需要更强的隐藏效果，可以通过安装并启用Shamiko来实现真正的隐藏。希望这篇文章能帮助你更好地配置和使用Magisk。如果你有更多问题，欢迎留言交流！【小贴士】在使用Magisk时，记得定期检查Magisk和Shamiko的更新版本，以确保兼容性和安全性。
Magisk内部实现原理
zhonglunshun的专栏
01-29 8251
Android10以后，Android系统限制了System分区的修改，结果就是，即使你i是自己编译的Android系统，即使是有做高的root权限，你依然无法挂载System分区并对其内容进行修改,尽管网上有各种帖子说可以使用,但这并没有解决开发者的实际问题。这意味着传统的万能root出现局限性，为了解决这个问题Magisk的作者在确认了这一问题，并导致该问题的原因是谷歌在Android10以后引入了EXT4 共享块，而这个共享块和其他分区的区别在于根本没有可用空间的概念，所以也就没办法挂在为可读写。
面具Magisk技术原理浅析
最新发布
nuaaye的博客
01-25 1402
Magisk，中文名为面具，是一种流行的Android rooting解决方案，它允许用户在不更改系统分区的情况下获得root权限。这种方法称为"Systemless"机制，因为它不直接修改系统文件，而是在启动时使用Linux系统的绑定挂载创建一个虚拟的"面具"文件系统，使得修改在系统启动时生效。
Magisk root 原理分析之一 ：Magisk Andorid Root 流程
Kian_G 的博客
11-02 1万+
在安卓8.0以后，比较通用的root方法就是使用Magisk工具进行破解，破解流程一般如下： 解锁bootloader或者通过特殊方式绕过AVB校验。 解锁bootloader方法 进入开发者模式，选择允许OEM解锁 重启进入fastboot，执行fastboot flashing unlock ,解锁后在启动过程如果出现镜像校验失败也会继续启动，因此就可以刷入非官方镜像 注意:...
【Android安全】Android root原理及方案 | Magisk原理
热门推荐
Juruo@Security
05-27 1万+
Android root原理及方案 | Magisk原理 | su文件
安卓root详解（supersu，magisk原理说明）
noglues_的博客
04-29 9554
因此，由于这些安全增强，SuperSU 无法在 Android 9 上提供透明和稳定的 Root 访问，而 Magisk 作为替代方案，采用了 systemless（无需修改系统分区）的方法，通过挂载一个与系统文件相隔离的文件系统来加载自定义内容，从而避开了对系统文件的直接修改，这使得 Magisk 能够在新的安全机制下继续提供 Root 权限管理。总的来说，Xposed框架是一个功能强大的工具，它为用户提供了一种灵活、安全（在正确使用的前提下）的方式来定制他们的Android设备。
Magisk如何针对性隐藏Root避免被检测
zhonglunshun的专栏
09-01 1万+
Magisk隐藏特征码有两种途径，一种是通过插件，一种是定制源码。插件的方式相对简单，但是使用范围也有限，好处是成本低好上手。定制源码难度大，成本高，好处是稳定，后续也好更新维护。
magisk模块，用于解决已经root，仍然提示adbd cannot run as root in production
12-20
magisk模块，用于解决已经root，但是执行“adb root”仍然提示“adbd cannot run as root in production builds”的问题； 使用说明：下载本模块后pull到设备里，然后在magisk 里安装。安装完成启动后自动生效！ ...
【原创】Magisk Root隐藏模块 Shamiko安装
拉灯的小手的博客
07-13 6690
Magisk 刷入流程可参考之前文章，此文不在赘述 google nexus5x 刷机抓包逆向环境配置（一） google nexus5x 刷机抓包逆向环境配置（二） google nexus5x 刷机抓包逆向环境配置（三）1.下载Shamiko并上传至手机目录：adb push Shamiko-v0.5.1-115-release.zip /sdcard/ 2.Magisk的模块功能中使用本地安装刷入Shamiko 3.Magisk的设置中关闭遵守排除列表 4.回到模块功能此时Shamiko中显示Sh
root+magisk+所有手机获取root权限通用教程
03-12
【标题】"root+magisk+所有手机获取root权限通用教程"揭示了本文将要讨论的核心内容：如何使用Magisk工具为任何类型的智能手机获取root权限。root权限是Android系统中的高级访问权限，允许用户对系统进行更深入的...
Magisk-v18.1
04-03
Magisk-v18.1 root 工具 root 工具 5x 6p
隐秘安卓免ROOT隐藏任何软件
12-19
隐秘app无需ROOT权限，隐藏你的应用！隐藏陌陌，隐藏微信等 隐秘app可以帮助您隐藏手机里的应用程序，在您的应用隐藏后，应用程序将不会显示在桌面、最近使用、系统设置应用管理等您经常查看应用的地方。同时隐秘还提供多种应用双开，图片隐藏等多种隐私保护方式。
Magisk-v13.2
02-02
Magiskv13.2版本，适用于android7。Magiskv13.2版本，适用于android7。
Magisk安装包
04-04
Magisk安装包，可以支持root，Magisk Hide，为广告屏蔽应用提供 systemless hosts 支持，通过 SafetyNet 检查
Android root原理及方案 | Magisk原理
顺其自然~专栏
06-27 1206
Magisk对boot.img进行patch的过程：Magisk通过对boot.img的patch，在boot启动阶段创建钩子，把/data/magisk.img挂载到/magisk，构建出一个在 system 基础上能够自定义替换，增加以及删除的文件系统。对于app发起的shell进程而言，其RUID并不因su文件的rws权限位而变化（rws权限位只影响进程的EUID），所以shell进程的RUID仍是shell用户的UID，而不是root用户的UID。那么，这个copy su文件的过程是必须的吗？
安卓如何隐藏root
S_ZaiJiangHu的博客
09-11 4839
shamiko有whitelist和blacklist模式，它自己默认的是黑名单模式，需要隐藏root需要手动进那个列表里选择，新安装的应用和以前获得root权限的都可以有授权，白名单模式是自动隐藏root不需要改，但是新安装的应用不能获得root权限，以前已经获得的可以继续使用，如果在白名单模式下要要想新安装。隐藏magisk（其实好像是改个软件名让别的检测不到）这个方法不知道还能不能用。
神奇的 Magisk
Curtis’Blog
03-14 6933
今天为大家介绍一款神奇的 Android 第三方接口 —— Magisk Root —— 玩家与厂商间的博弈 Android 从诞生之日起就高举着开源的大旗，这也是它成功的原因之一。而它的开放性也成功的吸引到了一大批爱折腾的人，从而诞生出了 root（此处特制 Android 中的 root）。 根据Wikipedia的释义，root 指的是使用户取得 Android 操作系统的超级...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值