Android应用程序获得root权限

关注

转载最新推荐文章于 2026-05-18 09:53:20 发布 6.4k 阅读 AI 写同款· GEO 优化 ›

Android源码之init.rc文件详解一、引言 .rc文件是 android系统一个十分重要的文件。其是资源文件，包括比如对话框、菜单、图标、字符串等资源信息。使用.rc资源文件的目的是为了对程序中用到的大量的资源进行统一的管理。本文来了解文件的规则。二、init.rc Android init.rc文件由系统第一个启动的init程序解析。是启动系统服务使用的文件。三、文件规则类型主要包含了四种类型的语句: 1、Acti... 阅读详情

最近工作中遇到一些问题，需要一些操作以root权限来运行！比如open设备文件，ioctl操作等，都需要root权限来进行！但是android application能够得到的最大权限为system，所以从网上搜索了一下，发现以下方式从理论上可行，准备进行验证！

android 应用程序获得root权限有两种思路：

1、实现一个init实现一个Service，来帮助Android应用程序执行root权限的命令。
2、实现一个虚拟设备，这个设备帮助Android应用程序执行root权限的命令。

本文将会选择第一种来解决Android应用程序mount NFS文件系统的问题。

Init.rc Service

在Android系统init.rc中定义很多Service，具体定义格式可以参考《Android Platform Developer’s Guide》中的“Android Init Language”。Init.rc中定义的Service将会被Init进程创建，这样将可以获得root权限。

现在问题是Android应用程序怎样启动让init进程知道我们想运行那个进程呢？答案是设置系统属性“ctl.start”，把 “ctl.start”设置为你要运行的Service，假设为“xxx”，Android系统将会帮你运行“ctl.start”系统属性中指定的 Service。那么运行结果init进程将会将会写入命名为“init.svc.+Service名称”的属性中，也就是“init.svc.xxx” 属性，应用程序可以参考查阅这个值来确定Service执行的情况。想更深入了解Android property系统可以参考博文《(翻译)Android属性系统》。

Android property权限

难道Android属性“ctl.start”是所有进程都可以设置的吗？那世界不就乱套了，谁都可以可以执行init.rc中Service了，查看 property_service.c中的源码，设置Android系统属性的函数为handle_property_set_fd：

 
void handle_property_set_fd(int fd) 
{ 
    ...... 
    switch(msg.cmd) { 
    case PROP_MSG_SETPROP: 
        msg.name[PROP_NAME_MAX-1] = 0; 
        msg.value[PROP_VALUE_MAX-1] = 0; 
   
        if(memcmp(msg.name,"ctl.",4) == 0) { 
            if (check_control_perms(msg.value, cr.uid, cr.gid)) { 
                handle_control_message((char*) msg.name + 4, (char*) msg.value); 
            } else { 
                ERROR("sys_prop: Unable to %s service ctl [%s] uid: %d pid:%d\n", 
                        msg.name + 4, msg.value, cr.uid, cr.pid); 
            } 
        } 
        ...... 
    } 
} 
 

从源码中我们发现如果设置“ctl.”开头的Android系统property，将会调用check_control_perms函数来检查调用者的权限，其定义如下：

 
static int check_control_perms(const char *name, int uid, int gid) { 
    int i; 
    if (uid == AID_SYSTEM || uid == AID_ROOT) 
        return 1; 
   
    /* Search the ACL */ 
    for (i = 0; control_perms[i].service; i++) { 
        if (strcmp(control_perms[i].service, name) == 0) { 
            if ((uid && control_perms[i].uid == uid) || 
                (gid && control_perms[i].gid == gid)) { 
                return 1; 
            } 
        } 
    } 
    return 0; 
} 
 

我们发现root权限和system权限的应用程序将会授权修改“ctl.”开头的Android系统属性。否则将会检查control_perms全局变量中的定义权限和Service。

如果想更深入的了解Android Init进程和Android Property的权限控制，请参考《Android Permission》。

实例

通过上面的介绍我们基本已经有思路了，下面以上面提出的mount nfs文件系统为例说明：

1、首先定义一个执行mount的脚本，我把它位于/system/etc/mount_nfs.sh，定义如下：

 
#！/system/bin/sh 
   
/system/bin/busybox mount -o rw,nolock -t nfs 192.168.1.6:/nfs_srv /data/mnt 
 

不要忘了把它加上可执行权限。

2、在init.rc中加入一个Service定义，定义如下：

 
service mount_nfs /system/etc/mount_nfs.sh 
    oneshot 
    disabled 
 

3、让自己的应用程序获得system权限，博文《Android程序的安全系统》中提到了怎样获得system权限，请参考，这里就不赘述了。

4、在自己应用程序中设置System系统属性“ctl.start”为“mount_nfs”，这样Android系统将会帮我们运行mount_nfs系统属性了。这里需要强调的是不能够调用System.getProperty，这个函数只是修改JVM中的系统属性。而不能修改Android的系统属性。可以调用 android.os.SystemProperties（Android 2.1 Eclair系统可以调用这个API），如果你的Android版本不能调用这个类，只能通过JNI，调用C/C++层的API property_get和property_set函数了。如果想详细了解请参考《(翻译)Android属性系统》。代码如下：

 
SystemProperties.set("ctl.start", "mount_nfs"); 
 

5、最后在自己应用程序中，读取“init.svc.mount_nfs”Android系统Property，检查执行结果。代码如下：

 
while(true) 
{ 
    mount_rt = SystemProperties.get("init.svc.mount_nfs", ""); 
    if(mount_rt != null && mount_rt.equals("stopped")) 
    { 
        return true; 
    } 
     
    try 
    { 
        Thread.sleep(1000); 
    }catch(Exception ex){ 
        Log.e(TAG, "Exception: " + ex.getMessage()); 
    } 
} 
 