【編者按：在手機電子數(shù)據(jù)取證過程中，獲取手機Root權(quán)限有重要意義。由于取證人員往往使用不同的第三方應(yīng)用軟件對手機進行強行破解，因此存在著破解不完整的假Root情況。這種假Root情況，會影響到手機數(shù)據(jù)提取的成功率和效率。為此，數(shù)據(jù)恢復(fù)四川省重點實驗室科研人員將介紹一種有效判定智能手機是否Root的方法，有助于提升工作效率?！?/p>

　　一、什么是Root權(quán)限

　　Root權(quán)限，指的是智能移動設(shè)備的最高權(quán)限。一旦智能設(shè)備開放了Root權(quán)限，那么設(shè)備自身的安全機制就已經(jīng)被破壞，第三方使用將能夠完全掌控這個設(shè)備。在手機電子數(shù)據(jù)取證過程中，對手機采取直接數(shù)據(jù)提取或者全盤鏡像，大部分情況下都取決于能否成功獲取到手機的Root權(quán)限。

　　二、判定是否Root的意義

　　只有有效判定智能移動設(shè)備是否Root，才能夠有效地選擇使用哪種方式對智能手機進行取證。無論是Root后對智能手機進行鏡像備份，還是直接對手機進行快速數(shù)據(jù)提取，或者是直接對智能設(shè)備進行鏡像備份，Roo都是十分關(guān)鍵的一步。

　　由于絕大部分智能手機本身是不開放Root權(quán)限的，因此往往采取第三方應(yīng)用軟件隊手機進行Root。目前，國內(nèi)比較出名的Root軟件有360Root、Root精靈、KingRoot等軟件。

　　360Root

　　三、如何判定手機是否獲取到完整Root 權(quán)限

　　1.su文件判定

　　市面上絕大部分針對Root權(quán)限的獲取都是根據(jù)開源的su.c進行的修改，甚至某些軟件只是進行了界面重構(gòu)。所以判定智能手機是否Root，可以先通過該款手機中是否存在su文件，進行第一步篩選。

　　a：判斷su文件是否存在

　　su文件一般存在于智能手機系統(tǒng)目錄即system目錄下，只是由于使用不同的Root工具，造成su文件存放的子文件夾不同。大部分情況下，su文件都存在于bin目錄下;小部分情況下，存在xbin，sbin目錄下;其他特殊情況是，不存在system目錄下，而直接存在"/sbin/","/vendor/bin/"目錄下。

　　b：判定su是否具有執(zhí)行權(quán)限

　　如果通過以上步驟判定到su文件已經(jīng)存在，開啟Process進程，執(zhí)行l(wèi)s -l權(quán)限，通過Process.getInputStream，輸出Process中的結(jié)果，這個結(jié)果就是關(guān)于su文件的所有權(quán)限。在手機沒有Root時是-rw-rw-rw- ，Root之后將會開放給用戶可執(zhí)行的權(quán)限，當?shù)谒膫€位置的字符是x或者s時，代表設(shè)備具有su文件的執(zhí)行權(quán)限。

　　通過以上步驟，便完成了Root權(quán)限的初步判定。但這只是確認了智能手機擁有最高權(quán)限的可能性，需要通過第二步完成權(quán)限判定的優(yōu)化。

　　2.Root權(quán)限優(yōu)化判定

　　a：權(quán)限修改

　　權(quán)限優(yōu)化判定是在第一步判定了手機擁有su文件之后，對手機做進一步檢測。同樣開啟Process進程，執(zhí)行權(quán)限修改指令 chmod 777 data，執(zhí)行列表展示指令ls -l data。

　　chmod 指令是一個權(quán)限修改指令，這個指令是將目標文件修改777，這代表該目錄對所有用戶開放。ls -l data指令將會將data目錄下面所有的文件或者文件夾展示出來，同時展示這些目標的權(quán)限。

　　b：結(jié)果獲取

　　通過執(zhí)行指令process.waitFor()，獲取到執(zhí)行以上指令后的結(jié)果值，記為result。這個值將會是判定智能手機是否獲取到Root權(quán)限的標志。同時，讀取結(jié)果輸入流process.getInputStream()，結(jié)果記為successResult，以及讀取錯誤輸出流process.getErrorStream()，結(jié)果記為errorResult。并將result、successResultc、errorResult返回給數(shù)據(jù)處理界面。

　　c：邏輯處理

　　判斷result結(jié)果，當是0時，代表該智能設(shè)備具備最高權(quán)限，這時需要進一步判定是否開放了權(quán)限。

　　判斷errorMessage是否為空，是空時，代表已經(jīng)授權(quán)，對第三方開放了最高權(quán)限;當errorMessage不為空時，代表雖然獲取到了最高權(quán)限，但是卻并沒有授權(quán)給該應(yīng)用。這時需要提示用戶手動同意，允許目標應(yīng)用使用最高權(quán)限。

　　當result結(jié)果不是0的時候，代表該智能設(shè)備沒有獲取到Root權(quán)限，或者沒有對該應(yīng)用授權(quán)。

　　注意：當result結(jié)果不是0時，它的返回值無法精確判定，是因為經(jīng)過對多個Root工具的測試，當沒有授權(quán)或者沒有Root時各個工具返回的值都是不一樣的。就現(xiàn)在的結(jié)果而言，kingRoot在沒有授權(quán)給應(yīng)用時，返回值是固定的;其他工具并沒有完全確認，因此要進一步優(yōu)化的話，可以從這一方面繼續(xù)優(yōu)化。

　　【小結(jié)：只有判定智能手機是否成功Root，才能夠有效地選擇使用哪種方式對智能手機進行數(shù)據(jù)提取。本期，數(shù)據(jù)恢復(fù)四川省重點實驗室科研人員介紹的su文件判定及Root權(quán)限優(yōu)化判定方案，能有效判定智能手機是否成功Root。目前，此方法已經(jīng)成功在效率源MTF 手機可視化行蹤取證系統(tǒng)和SPA7100智能手機快速采集系統(tǒng)應(yīng)用，大幅提升了取證人員工作效率?！?/p>