android手机权限分析（二）



一：正常到客户手里的user版本的手机具有root权限的进程
 init/kthread 两个由kernel 启动时拉起来的Process。
 kthread fork 出来的kernel thread,
 init fork 出来的程序，
 -常驻进程有:   vold, debuggerd，sdcard
 -部分root 权限的有:  mediaserver, installd
 

二：root手机分类
1，直接修改手机中的文件比如adbd或者adb.c的代码等等使手机具有root权限
2，在手机运行的时候动态修改，只修改内存里的文件。
 该方法是恶意进程自己退出，然后将自己进程迁移到init process,在kernel里检测该进程的real parent的pid是否为 1.
 
三：利用linux的lsm模块特性，在kernel/security/commoncap.c 的cap_capable（）函数中检测。