检测车机中ADB远程调试控制Android系统攻击

检测车机中ADB远程调试控制Android系统攻击
2022-7-13 08:33:44 Author: 哆啦安全(查看原文) 阅读量:59 收藏

0x01 前言

【注：CSDN博客文章随着知识面的增加，会不断重构。微信公众号已发的文章，重构CSDN原文章后不会再做修改，更多精彩内容，请关注橙留香博客导读：https://orangey.blog.csdn.net/article/details/123788957】

我们常说的adb，也称为Android 调试桥 (adb) 是一种功能多样的命令行工具，可让您与设备进行通信。adb 命令可用于执行各种设备操作（例如安装和调试应用），并提供对 Unix shell（可用来在设备上运行各种命令）的访问权限。它是一种客户端-服务器程序，包括以下三个组件：

客户端（adb）：用于发送命令。客户端在开发机器上运行，您可以通过发出 adb 命令从命令行终端调用客户端
守护程序 (adbd)：用于在设备上运行命令，守护程序在每个设备上作为后台进程运行
服务器（adb server）：用于管理客户端与守护程序之间的通信，服务器在开发机器上作为后台进程运行

注：Android adb源码路径为：system⁩/⁨core⁩/⁨adb，根据adb运行的地方不同，可以分为PC端和Android 手机设备端两部分

PC端： adb client和adb server是运行在PC端，adb就是控制台命令adb，adb server是由adb fork出的一个常驻后台的子进程，作为adb的server进程，adb kill-server就是kill掉这个进程。adb与adb server通过local socket进行通信
Android 手机设备端：adbd运行在Android 手机设备端，是在内核初始化完毕之后，由init进程启动

adb 包含在 Android SDK 平台工具软件包中。您可以使用 SDK 管理器下载此软件包，该管理器会将其安装在 android_sdk/platform-tools/下。也可以单独下载独立的 Android SDK 平台工具软件包

1）adb工作原理

当用户启动某个 adb 客户端时，客户端会先检查是否有 adb 服务器进程正在运行。如果没有，它将启动服务器进程。服务器在启动后会与本地 TCP 端口 5037 绑定，并监听 adb 客户端发出的命令，所有 adb 客户端均通过端口 5037 与 adb 服务器通信，adb原理图如下：

然后，服务器会与所有正在运行的设备建立连接。它通过扫描 5555 到 5585 之间（该范围供前 16 个模拟器使用）的奇数号端口查找模拟器。服务器一旦发现 adb 守护进程 (adbd)，便会与相应的端口建立连接。注意，每个模拟器都使用一对按顺序排列的端口 - 用于控制台连接的偶数号端口和用于 adb 连接的奇数号端口。例如，如下：

模拟器 A，控制台：5554

模拟器 A，adb：5555

模拟器 B，控制台：5556

模拟器 B，adb：5557

注：以此类推，如上所示，在端口 5555 处与 adb 连接的模拟器与控制台监听端口为 5554 的模拟器是同一个

服务器与所有设备均建立连接后，用户就可以使用 adb 命令访问这些设备。由于服务器管理与设备的连接，并处理来自多个 adb 客户端的命令，因此您可以从任意客户端（或从某个脚本）控制任意设备

2）Android APK 的root 权限和USB ADB 权限的区别

USB adb 权限是指，当adb 连接手机时，手机中的守护进程adbd 的权限为root 权限，从而它的子进程也具有root 权限，通常如果adb shell 看到是：

Android 10版本 (以树莓派为例):

D:\>adb shell
rpi4:/ #

即表明adb 的连接是root 权限的，相反如果看到是$ 即表明是shell 权限。Android 的APK 本身都是不具备root 权限的，如果想启用root 权限，那么就必须借助具有root 权限的进程或者具有s bit 的文件，目前比较通用的手法是，手机root 后，内置了su到system/bin, 然后普通APP 即可借助su 命令来达到root 权限切换。

网络上已经有同仁修改su 命令，并通过一个APK 来控制su 命令的权限控制。如常见的Superuser 即可人为的控制root 权限的使用（Superuser 因很久都没有更新了，只能用于ICS 以及以前的版本，不推荐使用）， SuperSU (也老了，不推荐使用)，推荐使用Magisk （更新速度快，推荐使用）

1.1 Android 设备端开启USB调试

进程列表

无需特殊权限，部分高版本设备无法获取进程列表

检测init.svc.adbd属性取值是否running

1.2 adbd启动流程简介

adbd守护进程：只要是操作系统，就肯定会运行着一些守护进程（daemon）来完成重复或繁琐的工作。通过Android系统中的init.rc文件可以发现，其中每个service中就包含着系统后台服务进程。而这些服务被分为：

core类服务（adbd/servicemanager/healthd/lmkd/logd/vold）和main类服务

网络类服务（netd/mdnsd/mtpd/rild）、图形及媒体类服务（surfaceflinger/bootanimation/mediaserver/dnnserver）、其他类服务（installd/keystore/debuggerd/sdcard/Zygote）
main类服务又分为：

注：

init.rc：Android在启动过程中读取的启动脚本文件，主要完成一些初级的初始化，在/system/core/init/init.c中解析。rc 经常被用作程序之启动脚本的文件名。它是“run commands”（运行命令）的缩写
init.xx.rc：与具体CPU相关的启动脚本，比如对于MTK的CPU，名字为init.usb.rc，init.trace.rc。在init.rc之后得到解析

Android adbd：Android 系统特有的ADB功能中运行在Android设备端的守护进程，其在根目录下的/init.rc或/init.usb.rc中的启动配置如下

下面是该文件的一些注释信息：

# Copyright (C) 2012 The Android Open Source Project## IMPORTANT: Do not create world writable files or directories.# This is a common source of Android security bugs.# 
"【import <filename>一个init配置文件，扩展当前配置。】"import /init.environ.rc
import /init.usb.rc
import /init.${ro.hardware}.rc
import /init.${ro.zygote}.rc
import /init.trace.rc 
"【触发条件early-init，在early-init阶段调用以下行】"on early-init    # Set init and its forked children's oom_adj.
    write /proc/1/oom_score_adj -1000
    "【打开路径为<path>的一个文件，并写入一个或多个字符串】"
    # Apply strict SELinux checking of PROT_EXEC on mmap/mprotect calls.
    write /sys/fs/selinux/checkreqprot 0     # Set the security context for the init process.
    # This should occur before anything else (e.g. ueventd) is started.
    "【这段脚本的意思是init进程启动之后就马上调用函数setcon将自己的安全上下文设置为“u:r:init:s0”，即将init进程的domain指定为init。】"
    setcon u:r:init:s0 
    # Set the security context of /adb_keys if present.
    "【恢复指定文件到file_contexts配置中指定的安全上线文环境】"
    restorecon /adb_keys 
    "【执行start ueventd的命令。ueventd是一个service后面有定义】 "
    start ueventd 
    "【mkdir <path> [mode] [owner] [group]   //创建一个目录<path>，可以选择性地指定mode、owner以及group。如果没有指定，默认的权限为755，并属于root用户和root组。】"
    # create mountpoints
    mkdir /mnt 0775 root system
 on init    "【设置系统时钟的基准,比如0代表GMT,即以格林尼治时间为准】"
    sysclktz 0
 "【设置kernel日志等级】"loglevel 6 ####
    write /proc/bootprof "INIT: on init start" ####    
    "【symlink <target> <path>    //创建一个指向<path>的软连接<target>。】"
    # Backward compatibility
    symlink /system/etc /etc
    symlink /sys/kernel/debug /d 
    # Right now vendor lives on the same filesystem as system,
    # but someday that may change.
    symlink /system/vendor /vendor 
    "【创建一个目录<path>，可以选择性地指定mode、owner以及group。】"
    # Create cgroup mount point for cpu accounting
    mkdir /acct
    mount cgroup none /acct cpuacct
    mkdir /acct/uid 
    "【mount <type> <device> <dir> [ <mountoption> ]   //在目录<dir>挂载指定的设备。<device> 可以是以 [email protected] 的形式指定一个mtd块设备。<mountoption>包括 ro、rw、remount、noatime、 ...】"
    # Create cgroup mount point for memory
    mount tmpfs none /sys/fs/cgroup mode=0750,uid=0,gid=1000
    mkdir /sys/fs/cgroup/memory 0750 root system
    mount cgroup none /sys/fs/cgroup/memory memory
    write /sys/fs/cgroup/memory/memory.move_charge_at_immigrate 1
    "【chown <owner> <group> <path>   //改变文件的所有者和组。】"
        "【后面的一些行因为类似，就省略了】"
    .....
 # Healthd can trigger a full boot from charger mode by signaling this# property when the power button is held.on property:sys.boot_from_charger_mode=1
    "【停止指定类别服务类下的所有已运行的服务】"
    class_stop charger    "【触发一个事件,将该action排在某个action之后(用于Action排队)】"
    trigger late-init 
# Load properties from /system/ + /factory after fs mount.on load_all_props_action    "【从/system，/vendor加载属性。默认包含在init.rc】"
    load_all_props 
# Indicate to fw loaders that the relevant mounts are up.on firmware_mounts_complete    "【删除指定路径下的文件】"
    rm /dev/.booting 
# Mount filesystems and start core system services.on late-init    "【触发一个事件。用于将一个action与另一个 action排列。】"
    trigger early-fs
    trigger fs
    trigger post-fs
    trigger post-fs-data 
    # Load properties from /system/ + /factory after fs mount. Place
    # this in another action so that the load will be scheduled after the prior
    # issued fs triggers have completed.
    trigger load_all_props_action 
    # Remove a file to wake up anything waiting for firmware.
    trigger firmware_mounts_complete
     trigger early-boot
    trigger boot
  on post-fs    ...
    "【一些创造目录，建立链接，更改权限的操作，这里省略】"
 on post-fs-data    ...
    "【一些创造目录，建立链接，更改权限的操作，这里省略】"
     "【恢复指定文件到file_contexts配置中指定的安全上线文环境】"
    restorecon /data/mediaserver 
    "【将系统属性<name>的值设置为<value>,即以键值对的方式设置系统属性】"
    # Reload policy from /data/security if present.
    setprop selinux.reload_policy 1
     "【以递归的方式恢复指定目录到file_contexts配置中指定的安全上下文中】"
    # Set SELinux security contexts on upgrade or policy update.
    restorecon_recursive /data 
    # If there is no fs-post-data action in the init.<device>.rc file, you
    # must uncomment this line, otherwise encrypted filesystems
    # won't work.
    # Set indication (checked by vold) that we have finished this action
    #setprop vold.post_fs_data_done 1
 on boot    "【初始化网络】"
    # basic network init
    ifup lo    "【设置主机名为localhost】"
    hostname localhost    "【设置域名localdomain】"
    domainname localdomain 
    "【设置资源限制】"
    # set RLIMIT_NICE to allow priorities from 19 to -20
    setrlimit 13 40 40
     "【这里省略了一些chmod,chown,等操作，不多解释】"
   ...
        # Define default initial receive window size in segments.
    setprop net.tcp.default_init_rwnd 60
        "【重启core服务】"
    class_start core
 on nonencrypted
    class_start main
    class_start late_start
 on property:vold.decrypt=trigger_default_encryption
    start defaultcrypto
 on property:vold.decrypt=trigger_encryption
    start surfaceflinger
    start encrypt
 on property:sys.init_log_level=*
    loglevel ${sys.init_log_level}
 on charger
    class_start charger
 on property:vold.decrypt=trigger_reset_main
    class_reset main
 on property:vold.decrypt=trigger_load_persist_props
    load_persist_props
 on property:vold.decrypt=trigger_post_fs_data
    trigger post-fs-data
 on property:vold.decrypt=trigger_restart_min_framework
    class_start main
 on property:vold.decrypt=trigger_restart_framework
    class_start main
    class_start late_start
 on property:vold.decrypt=trigger_shutdown_framework
    class_reset late_start
    class_reset main
 on property:sys.powerctl=*
    powerctl ${sys.powerctl}
 # system server cannot write to /proc/sys files,# and chown/chmod does not work for /proc/sys/ entries.# So proxy writes through init.on property:sys.sysctl.extra_free_kbytes=*
    write /proc/sys/vm/extra_free_kbytes ${sys.sysctl.extra_free_kbytes}
 # "tcp_default_init_rwnd" Is too long!on property:sys.sysctl.tcp_def_init_rwnd=*
    write /proc/sys/net/ipv4/tcp_default_init_rwnd ${sys.sysctl.tcp_def_init_rwnd}
 "【守护进程】"## Daemon processes to be run by init.##
service ueventd /sbin/ueventd
    class core
    critical
    seclabel u:r:ueventd:s0 
"【日志服务进程】"service logd /system/bin/logd
    class core
    socket logd stream 0666 logd logd
    socket logdr seqpacket 0666 logd logd
    socket logdw dgram 0222 logd logd
    seclabel u:r:logd:s0 
"【Healthd是android4.4之后提出来的一种中介模型，该模型向下监听来自底层的电池事件，向上传递电池数据信息给Framework层的BatteryService用以计算电池电量相关状态信息】"service healthd /sbin/healthd
    class core
    critical
    seclabel u:r:healthd:s0 
"【控制台进程】"service console /system/bin/sh    "【为当前service设定一个类别.相同类别的服务将会同时启动或者停止,默认类名是default】"
    class core    "【服务需要一个控制台】"
    console    "【服务不会自动启动,必须通过服务名显式启动】"
    disabled    "【在执行此服务之前切换用户名,当前默认的是root.自Android M开始,即使它要求linux capabilities,也应该使用该选项.很明显,为了获得该功能,进程需要以root用户运行】"
    user shell
    seclabel u:r:shell:s0
 on property:ro.debuggable=1
    start console 
# adbd is controlled via property triggers in init.<platform>.usb.rcservice adbd /sbin/adbd --root_seclabel=u:r:su:s0
    class core    "【创建一个unix域下的socket,其被命名/dev/socket/<name>. 并将其文件描述符fd返回给服务进程.其中,type必须为dgram,stream或者seqpacke,user和group默认是0.seclabel是该socket的SELLinux的安全上下文环境,默认是当前service的上下文环境,通过seclabel指定】"
    socket adbd stream 660 system system
    disabled
    seclabel u:r:adbd:s0 
# adbd on at boot in emulatoron property:ro.kernel.qemu=1
    start adbd 
"【内存管理服务，内存不够释放内存】"service lmkd /system/bin/lmkd
    class core
    critical
    socket lmkd seqpacket 0660 system system
 "【ServiceManager是一个守护进程，它维护着系统服务和客户端的binder通信。
在Android系统中用到最多的通信机制就是Binder，Binder主要由Client、Server、ServiceManager和Binder驱动程序组成。其中Client、Service和ServiceManager运行在用户空间，而Binder驱动程序运行在内核空间。核心组件就是Binder驱动程序了，而ServiceManager提供辅助管理的功能，无论是Client还是Service进行通信前首先要和ServiceManager取得联系。而ServiceManager是一个守护进程，负责管理Server并向Client提供查询Server的功能。】"
service servicemanager /system/bin/servicemanager
    class core
    user system
    group system
    critical
    onrestart restart healthd    "【servicemanager 服务启动时会重启zygote服务】"
    onrestart restart zygote
    onrestart restart media
    onrestart restart surfaceflinger
    onrestart restart drm 
"【Vold是Volume Daemon的缩写,它是Android平台中外部存储系统的管控中心,是管理和控制Android平台外部存储设备的后台进程】"service vold /system/bin/vold
    class core
    socket vold stream 0660 root mount
    ioprio be 2
 "【Netd是Android系统中专门负责网络管理和控制的后台daemon程序】"service netd /system/bin/netd
    class main
    socket netd stream 0660 root system
    socket dnsproxyd stream 0660 root inet
    socket mdns stream 0660 root system
    socket fwmarkd stream 0660 root inet 
"【debuggerd是一个daemon进程，在系统启动时随着init进程启动。主要负责将进程运行时的信息dump到文件或者控制台中】"service debuggerd /system/bin/debuggerd
    class main
 service debuggerd64 /system/bin/debuggerd64
    class main 
"【Android RIL (Radio Interface Layer)提供了Telephony服务和Radio硬件之间的抽象层】"# for using TK init.modem.rc rild-daemon setting#service ril-daemon /system/bin/rild#    class main#    socket rild stream 660 root radio#    socket rild-debug stream 660 radio system#    user root#    group radio cache inet misc audio log
 "【提供系统 范围内的surface composer功能，它能够将各种应用 程序的2D、3D surface进行组合。】"service surfaceflinger /system/bin/surfaceflinger
    class core
    user system
    group graphics drmrpc
    onrestart restart zygote 
"【DRM可以直接访问DRM clients的硬件。DRM驱动用来处理DMA，内存管理，资源锁以及安全硬件访问。为了同时支持多个3D应用，3D图形卡硬件必须作为一个共享资源，因此需要锁来提供互斥访问。DMA传输和AGP接口用来发送图形操作的buffers到显卡硬件，因此要防止客户端越权访问显卡硬件。】"#make sure drm server has rights to read and write sdcard ####service drm /system/bin/drmserver
    class main
    user drm    # group drm system inet drmrpc ####
    group drm system inet drmrpc sdcard_r #### 
"【媒体服务，无需多说】"service media /system/bin/mediaserver
    class main
    user root #####   google default #####   user media    ####
    group audio camera inet net_bt net_bt_admin net_bw_acct drmrpc mediadrm media sdcard_r system net_bt_stack #####   google default #####   group audio camera inet net_bt net_bt_admin net_bw_acct drmrpc mediadrm ####
     ioprio rt 4
 "【设备加密相关服务】"# One shot invocation to deal with encrypted volume.service defaultcrypto /system/bin/vdc --wait cryptfs mountdefaultencrypted
    disabled    "【当服务退出时,不重启该服务】"
    oneshot    # vold will set vold.decrypt to trigger_restart_framework (default
    # encryption) or trigger_restart_min_framework (other encryption)
 # One shot invocation to encrypt unencrypted volumesservice encrypt /system/bin/vdc --wait cryptfs enablecrypto inplace default
    disabled
    oneshot    # vold will set vold.decrypt to trigger_restart_framework (default
    # encryption)
 "【开机动画服务】"service bootanim /system/bin/bootanimation
    class core
    user graphics#    group graphics audio ####
    group graphics media audio ####
    disabled
    oneshot 
"【在Android系统中，PackageManagerService用于管理系统中的所有安装包信息及应用程序的安装卸载，但是应用程序的安装与卸载并非PackageManagerService来完成，而是通过PackageManagerService来访问installd服务来执行程序包的安装与卸载的。】"service installd /system/bin/installd
    class main
    socket installd stream 600 system system
 service flash_recovery /system/bin/install-recovery.sh
    class main
    seclabel u:r:install_recovery:s0
    oneshot 
"【vpn相关的服务】"service racoon /system/bin/racoon
    class main
    socket racoon stream 600 system system    # IKE uses UDP port 500. Racoon will setuid to vpn after binding the port.
    group vpn net_admin inet
    disabled
    oneshot 
"【android中有mtpd命令可以连接vpn】"service mtpd /system/bin/mtpd
    class main
    socket mtpd stream 600 system system
    user vpn
    group vpn net_admin inet net_raw
    disabled
    oneshot
 service keystore /system/bin/keystore /data/misc/keystore
    class main
    user keystore
    group keystore drmrpc 
"【可以用dumpstate 获取设备的各种信息】"service dumpstate /system/bin/dumpstate -s
    class main
    socket dumpstate stream 0660 shell log
    disabled
    oneshot 
"【mdnsd 是多播 DNS 和 DNS 服务发现的守护程序。】"service mdnsd /system/bin/mdnsd
    class main
    user mdnsr
    group inet net_raw
    socket mdnsd stream 0660 mdnsr inet
    disabled
    oneshot 
"【触发关机流程继续往下走】"service pre-recovery /system/bin/uncrypt
    class main
    disabled    "【当服务退出时,不重启该服务】"
    oneshot

注：

在默认情况下，adbd是以uid root的权限启动的。不过它还会通过函数drop_privileges()主动把自己降到uid shell: shell和几个GID权限，源码地址

在user-debug版本的系统中(系统属性为ro.debuggable=0)，或通过adb root命令让adbd恢复root权限（通过修改系统属性service.adb.root=1）

手机端的adbd是在init解析rc文件的时候启动的，具体可以查看init.rc中的配置信息。根据注释，可以了解到adbd的启动是根据一个属性触发器来控制的，具体的触发器在init.<platform>.usb.rc文件中，如下：

# adbd is controlled via property triggers in init.<platform>.usb.rcservice adbd /sbin/adbd --root_seclabel=u:r:su:s0
    class core    "【创建一个unix域下的socket,其被命名/dev/socket/<name>. 并将其文件描述符fd返回给服务进程.其中,type必须为dgram,stream或者seqpacke,user和group默认是0.seclabel是该socket的SELLinux的安全上下文环境,默认是当前service的上下文环境,通过seclabel指定】"
    socket adbd stream 660 system system
    disabled
    seclabel u:r:adbd:s0

接着，跟进去根目录/init.usb.rc看看，看看在init.<platform>.usb.rc文件中如何定义触发器。触发器根据sys.usb.config的值来决定是否启动adbd，其实就是仅当sys.usb.config的值中包含adb选项时才会启动adbd

# adb only USB configuration# This is the fallback configuration if the# USB manager fails to set a standard configurationon property:sys.usb.config=adb && property:sys.usb.configfs=0
    write /sys/class/android_usb/android0/enable 0
    write /sys/class/android_usb/android0/idVendor 18d1
    write /sys/class/android_usb/android0/idProduct 4EE7
    write /sys/class/android_usb/android0/functions ${sys.usb.config}
    write /sys/class/android_usb/android0/enable 1
    start adbd
    setprop sys.usb.state ${sys.usb.config}

注：Android O新增的关于usb的三个属性【sys.usb.configfs、sys.usb.ffs.ready、sys.usb.ffs.mtp.ready】：

sys.usb.configfs：该属性默认为0，通过判断kernel是否支持configfs，即判断/config/usb_gadget存在设置为1，代码在init.qcom.usb.sh中（高通平台下）
sys.usb.ffs.ready：当sys.usb.config设置为none时，设置sys.usb.ffs.ready为0。每次设置的属性有adb时，会先start adbd。如sys.usb.config=mtp,adb时,在init.usb.configfs.rc中有（如下代码），然后在system/core/adb/daemon/main.cpp中，会调用usb_init，进而调用system/core/adb/daemon/usb.cpp的usb_ffs_open_thread()函数中，然后调用init_functionfs()初始化该属性为1。只有sys.usb.ffs.ready=1时，才能开启adb端口：

sys.usb.config=mtp,adb && sys.usb.configfs=1start adbd

sys.usb.ffs.mtp.ready：当设置为none时，设置sys.usb.ffs.mtp.ready为0。android O新增，当功能为mtp或者ptp时，在 trySetEnableFuntction()函数中会先发送一次广播给mtpReceiver

给数据库添加mtp_connected
调用mtpServer.configure()，最后调用mtpServer.cpp设置sys.usb.ffs.mtp.ready属性为1，才能响应on property:sys.usb.config=mtp(ptp也是)，然后收到kernel发送的uevent后，再发一次广播

Android 手机设备端USB模式：

PTP：“图像传输协议【Picture Transfer Protocol】”(PTP)，为文件传输模式（PTP）

在接入Windows系统之后可以更好地被系统和应用程序所共享，尤其在网络传输方面，系统可以直接访问这些设备用于建立网络相册时图片的上传、网上聊天时图片的传送等
PTP适合多播消息的分布式网络通信系统，同时提供单播消息的支持

MTP：“媒体传输协议【Media Transfer Protocol】”，是基于PTP(Picture Transfer Protocol)协议的扩展，主要用于传输媒体文件。如果选择MTP模式连接的话，电脑上和手机上都可以读取内置和外置SD卡

其应用分两种角色，一个是作为Initiator，另一个作为Responder。Responder都是被动的回复Initiator的命令，不会主动发命令。主要的用途是传输媒体文件，并从设备关联元数据，对设备的远程控制有可选的额外支持，读取和设置设备参数，如特别的DRM相关的受限内容设备参数
MTP既可以实现在USB协议上，也可以实现在TCP/IP协议上，它属于上层的应用协议，而不关心底层传输协议

adbd的启动代码在system/core/adb/daemon/main.cpp中，其中main函数在获取了selinux标签、banner名称、版本信息参数以及设置一些调试信息后，调用了adbd_main完成启动过程。adbd是一个linux程序，通过tcp或者usb与PC端的adb server通信，调用logcat shell等等程序实现各种调试功能，源码地址如下

int adbd_main(int server_port) {
    umask(0);
    signal(SIGPIPE, SIG_IGN);
    // 负责完成adbd接受PC端adb server连接功能的初始化工作
    init_transport_registration();
    // We need to call this even if auth isn't enabled because the file
    // descriptor will always be open.
    adbd_cloexec_auth_socket();
    if (ALLOW_ADBD_NO_AUTH && property_get_bool("ro.adb.secure", 0) == 0) {
        auth_required = false;
    }	    // 负责完成对连入的PC端身份验证功能的初始化工作
    adbd_auth_init();
    // Our external storage path may be different than apps, since
    // we aren't able to bind mount after dropping root.
    const char* adb_external_storage = getenv("ADB_EXTERNAL_STORAGE");
    if (adb_external_storage != nullptr) {
        setenv("EXTERNAL_STORAGE", adb_external_storage, 1);
    } else {
        D("Warning: ADB_EXTERNAL_STORAGE is not set.  Leaving EXTERNAL_STORAGE"
          " unchanged.\n");
    }
	    // 负责是否要去掉adbd的root权限，降级为shell权限
    drop_privileges(server_port);
    bool is_usb = false;
    if (access(USB_ADB_PATH, F_OK) == 0 || access(USB_FFS_ADB_EP0, F_OK) == 0) {  
        // 如果可以usb调试，初始化usb，等待连接
        // Listen on USB.
        usb_init();
        is_usb = true;
    }
    // If one of these properties is set, also listen on that port.
    // If one of the properties isn't set and we couldn't listen on usb, listen
    // on the default port.
    char prop_port[PROPERTY_VALUE_MAX];
    property_get("service.adb.tcp.port", prop_port, "");
    if (prop_port[0] == '\0') {
        property_get("persist.adb.tcp.port", prop_port, "");
    }
    int port;
    if (sscanf(prop_port, "%d", &port) == 1 && port > 0) {
        D("using port=%d", port);
        // Listen on TCP port specified by service.adb.tcp.port property.
        // 如果开启了网络调试，初始化端口，等待连接
        local_init(port);
    } else if (!is_usb) {
        // Listen on default port.
        local_init(DEFAULT_ADB_LOCAL_TRANSPORT_PORT);
    }
    D("adbd_main(): pre init_jdwp()");
    // 初始化 java 调试框架
    init_jdwp();
    D("adbd_main(): post init_jdwp()");
    // 对监听的fd进行消息处理（死循环）
    D("Event loop starting");
    fdevent_loop();
    return 0;}int main(int argc, char** argv) {
    while (true) {
        static struct option opts[] = {
            {"root_seclabel", required_argument, nullptr, 's'},
            {"device_banner", required_argument, nullptr, 'b'},
            {"version", no_argument, nullptr, 'v'},
        };
        int option_index = 0;
        int c = getopt_long(argc, argv, "", opts, &option_index);
        if (c == -1) {
            break;
        }
        switch (c) {
        case 's':
            root_seclabel = optarg;
            break;
        case 'b':
            adb_device_banner = optarg;
            break;
        case 'v':
            printf("Android Debug Bridge Daemon version %d.%d.%d %s\n",
                   ADB_VERSION_MAJOR, ADB_VERSION_MINOR, ADB_SERVER_VERSION,
                   ADB_REVISION);
            return 0;
        default:
            // getopt already prints "adbd: invalid option -- %c" for us.
            return 1;
        }
    }
    close_stdin();
    debuggerd_init(nullptr);
    adb_trace_init(argv);
    D("Handling main()");
    return adbd_main(DEFAULT_ADB_PORT);}

1.3 adbd权限

adbd启动过程中的权限处理，在adbd_main函数中调用了drop_privileges进行降权处理。因为由init启动的进程启动，所以同样拥有和init一样的root权限。root权限过高，如果不是非必要，就要进行降权处理。如果当ro_debuggable && adb_root为true时，可以不用降权，维持root权限。简而言之就是当ro.debuggable为1且ro.secure为0的时候不用降权

static void drop_privileges(int server_port) {
  ScopedMinijail jail(minijail_new());  // Add extra groups:
  // AID_ADB to access the USB driver
  // AID_LOG to read system logs (adb logcat)
  // AID_INPUT to diagnose input issues (getevent)
  // AID_INET to diagnose network issues (ping)
  // AID_NET_BT and AID_NET_BT_ADMIN to diagnose bluetooth (hcidump)
  // AID_SDCARD_R to allow reading from the SD card
  // AID_SDCARD_RW to allow writing to the SD card
  // AID_NET_BW_STATS to read out qtaguid statistics
  // AID_READPROC for reading /proc entries across UID boundaries
  gid_t groups[] = {AID_ADB,      AID_LOG,       AID_INPUT,
                    AID_INET,     AID_NET_BT,    AID_NET_BT_ADMIN,
                    AID_SDCARD_R, AID_SDCARD_RW, AID_NET_BW_STATS,
                    AID_READPROC};
  minijail_set_supplementary_gids(jail.get(), arraysize(groups), groups);
  // Don't listen on a port (default 5037) if running in secure mode.
  // Don't run as root if running in secure mode.
  if (should_drop_privileges()) {
    drop_capabilities_bounding_set_if_needed(jail.get());
    minijail_change_gid(jail.get(), AID_SHELL);
    minijail_change_uid(jail.get(), AID_SHELL);
    // minijail_enter() will abort if any priv-dropping step fails.
    minijail_enter(jail.get());
    D("Local port disabled");
  } else {
    // minijail_enter() will abort if any priv-dropping step fails.
    minijail_enter(jail.get());
    if (root_seclabel != nullptr) {
      if (selinux_android_setcon(root_seclabel) < 0) {
        LOG(FATAL) << "Could not set SELinux context";
      }
    }
    std::string error;
    std::string local_name =
      android::base::StringPrintf("tcp:%d", server_port);
    if (install_listener(local_name, "*smartsocket*", nullptr, 0, nullptr, &error)) {
      LOG(FATAL) << "Could not install *smartsocket* listener: " << error;
    }
  }}static bool should_drop_privileges() {#if defined(ALLOW_ADBD_ROOT)
  // The properties that affect `adb root` and `adb unroot` are ro.secure and
  // ro.debuggable. In this context the names don't make the expected behavior
  // particularly obvious.
  //
  // ro.debuggable:
  //   Allowed to become root, but not necessarily the default. Set to 1 on
  //   eng and userdebug builds.
  //
  // ro.secure:
  //   Drop privileges by default. Set to 1 on userdebug and user builds.
  bool ro_secure = android::base::GetBoolProperty("ro.secure", true);
  bool ro_debuggable = __android_log_is_debuggable();
  // Drop privileges if ro.secure is set...
  bool drop = ro_secure;
  // ... except "adb root" lets you keep privileges in a debuggable build.
  std::string prop = android::base::GetProperty("service.adb.root", "");
  bool adb_root = (prop == "1");
  bool adb_unroot = (prop == "0");
  if (ro_debuggable && adb_root) {
    drop = false;
  }
  // ... and "adb unroot" lets you explicitly drop privileges.
  if (adb_unroot) {
    drop = true;
  }
  return drop;#else
  return true; // "adb root" not allowed, always drop privileges.#endif // ALLOW_ADBD_ROOT}

1.4 user版本默认开启adb以及root权限

1.4.1 修改ro.adb.secure和ro.secure属性

修改build/core/main.mk，修改ro.secure和ro.adb.secure位0，注释掉enable_target_debugging或者将其设置为true

--- a/core/main.mk+++ b/core/main.mk
@@ -239,11 +239,11 @@ enable_target_debugging := true
tags_to_install :=ifneq (,$(user_variant))# Target is secure in user builds.-  ADDITIONAL_DEFAULT_PROPERTIES += ro.secure=1+  ADDITIONAL_DEFAULT_PROPERTIES += ro.secure=0ADDITIONAL_DEFAULT_PROPERTIES += security.perf_harden=1ifeq ($(user_variant),user)-    ADDITIONAL_DEFAULT_PROPERTIES += ro.adb.secure=1+    ADDITIONAL_DEFAULT_PROPERTIES += ro.adb.secure=0endififeq ($(user_variant),userdebug)@@ -251,7 +251,7 @@ ifneq (,$(user_variant))tags_to_install += debugelse# Disable debugging in plain user builds.-    enable_target_debugging :=+   # enable_target_debugging :=endif# Disallow mock locations by default for user builds

1.4.2 修改selinux

修改system/core/init/init.cpp，将selinux_is_enforcing的返回值调整为false。这里还有另外一种改法，就是在Boardconfig.mk里面对BOARD_KERNEL_CMDLINE进行编辑，添加androidboot.selinux=permissive

static bool selinux_is_enforcing(void){
   return false;}

1.4.3 修改adb模块的android.mk文件

修改system/core/adb/Android.mk中的编译选项，允许adb root，如下：

--- a/adb/Android.mk+++ b/adb/Android.mk
@@ -350,9 +350,9 @@ LOCAL_CFLAGS := \-D_GNU_SOURCE \-Wno-deprecated-declarations \-LOCAL_CFLAGS += -DALLOW_ADBD_NO_AUTH=$(if $(filter userdebug eng,$(TARGET_BUILD_VARIANT)),1,0)+LOCAL_CFLAGS += -DALLOW_ADBD_NO_AUTH=$(if $(filter user userdebug eng,$(TARGET_BUILD_VARIANT)),1,0-ifneq (,$(filter userdebug eng,$(TARGET_BUILD_VARIANT)))+ifneq (,$(filter user userdebug eng,$(TARGET_BUILD_VARIANT)))LOCAL_CFLAGS += -DALLOW_ADBD_DISABLE_VERITY=1LOCAL_CFLAGS += -DALLOW_ADBD_ROOT=1endif

1.4.4 设置默认打开adb端口

配置device.mk或者devicecommon.mk，设置USB配置选项，添加adb功能

--- a/common/DeviceCommon.mk+++ b/common/DeviceCommon.mk
@@ -153,7 +153,7 @@ PRODUCT_DEFAULT_PROPERTY_OVERRIDES += \# Set default USB interfacePRODUCT_DEFAULT_PROPERTY_OVERRIDES += \-    persist.sys.usb.config=ptp+    persist.sys.usb.config=ptp,adbPRODUCT_PROPERTY_OVERRIDES += \
persist.sys.modem.diag=,gser \

1.5 adb安全认证

大家在通过adb连接设备的时候，是否会有提示让确认是否允某台设备要进行USB调试的确认框（如下）：

ADB具有功能非常强大的调试和跟踪功能，尽管它是以shell这个UID的身份运行，但由于shell这个UID是好几个组（log、graphic等）的成员，这也使得它具有很强的能力。使用ADB可以访问到用户的个人数据，也能把任意APP、Native层可执行文件上传到设备中。因此，在Android 4.3 以后的Android系统中引入了公钥认证机制（前提条件ro.adb.secure=1），让ADB的安全性进一步提高

AUTH消息将作为对OPEN消息的响应，发送到电脑端，要求在其执行任何命令之前，先完成认证。AUTH消息的参数总是一个TOKEN，它是由移动设备中的随机数发生器(/dev/urandom）生成的一个大小为20个字节的随机数数组。移动设备端将等待电脑端用自己的私钥（该私钥应该己经生成，并存放在$HOME/.android/adbkey这个文件中）对这个TOKEN 进行签名，然后回复一个AUTH SIGNATURE消息，把用私钥签名过的随机数数组放在这个消息里返回给移动设备端。如果移动设备知道相应的公钥，那么验证就能继续，而且如过验证通过了，该会话就会切换到online状态上去

因为，所有这些操作都依赖于公钥，比如怎么让Android 手机设备端提前就知道这个公钥，并将其用于验证呢？

答：允许电脑端响应一个AUTHRSAPUBLICKEY消息。因为此时这个公钥是不可信的，ADB将把这个公钥通过/dev/socket/adbd这个UDS传递给system_server（特别是由com.android.server.usb.UsbDeviceManager启动的UsbDebuggingManager），然后，system_server将会弹出一个对话框(com.android.server.usb.UsbDebuggingActivity），要求用户确认该公钥的指纹（MD5 Hash）。如果用户选择信任该公钥，这个公钥就会被添加到adb的key store（位于／data/misc/adb/adb_key）中去。作为厂商的话可以重新编译adbd，删掉这一功能（相关代码位于adb_auth_client.c中的adb_auth_confirm_key()函数中），源码地址

输入dumpsys usb命令，就能查看当前USB调试状态以及当前使用的adb_keys，如下：

USB调试者，可直接在PC上使用adb命令对设备进行调试，也可通过DDMS命令间接调试。在调试之前，要在系统开发者模式中打开“USB调试”的开关，其在底层（不太理解的话，可以看看0x01中的内容）其实是通过修改系统属性sys.usb.config的值为adb时打开，大家看到这里可能想问通过sys.usb.config里是否存在adb调试来判断是否开启，那么怎么判断Android 设备端是否有adb连入呢？

先用usb.config来搜索看看，有几个能匹配：

getprop |  grep usb.config

匹配到如下几个，具体啥意思，就是字面意思：

[persist.sys.usb.config]: [mtp,adb]：设置当前ADB开启状态的值
[sys.usb.config]: [mtp,adb]：设置当前USB功能的值
[sys.usb.configfs]: [1]

如果sys.usb.configfs其值为1，则会使用init.usb.configfs.rc文件中相关条目，否则将使用init.usb.rc文件中的相关条目

对于Android系统，和应用，要改变usb gadget通过配置如下两个prop属性： persist.sys.usb.config【设置当前ADB开启状态的值】和sys.usb.configfs【设置当前USB功能的值】，persist.sys.usb.config【设置当前ADB开启状态的值】和sys.usb.configfs【设置当前USB功能的值】该属性的值包含adb这个字段则会触发打开adb功能，即可实现关闭或打开USB调试和文件传输功能，其中mtp表示文件传输，adb表示adb调试，none表示都不启用

进程检测分为两种方式：

【不推荐】进程对应的端口号，比如adb无线调试默认端口5555【此方法比较适合Wi-Fi adb无线调试，加上判断service.adb.tcp.port+是否默认端口来检测，跟我们后面要讲的通过网络流量形式检测adbd是否接入的规则类似】

注：此端口是可更改的，单独以端口来判断，会超多误报，因为不能保障5555端口会不会被其它进程占用

【推荐】进程名，比如监视进程里面匹配上的adbd名字的进程

1）进程对应的端口号

先在PC端用tasklist命令查询adb相关的进程：

此处第一个标红的地方有一个3172号进程，再通过netstat命令查询3172号进程对应的端口，发现3172号进程占用的端口是5037。根据adb原理图1，得知此adb是服务端

taskliste | findstr adb
netstat -ano | findstr 3172

此处第二个标红的地方有一个22344号进程，再通过netstat命令查询22344号进程对应的端口，发现22344号进程占用的端口是22630。根据adb原理图2，得知此adb是客户端

taskliste | findstr adb
netstat -ano | findstr 22344

注：由上可知，adb服务端和客户端都是sdk下的adb.exe

接下来，我们进入adb shell后使用netstat命令，发现有一个2014号进程（adbd）占用5555端口，此进程即为守护进程

netstat -anp | grep 5555

通过上面的了解，可以发现可通过netstat -anp | grep adb来定位，可以看到会有一个adbd socket连接的进程，这里就是后面要讲的域套接字形式的检测。在介绍下面一种之前，同学们肯定有一个疑问，咋是5555端口？其实这里是Wi-Fi 连接adb默认配置的端口，你配置什么端口就是什么端口，所以，就衍生到第二种通过adbd子进程来检测

2）进程名

聊聊通过进程名来判断adbd来确定是否有adb接入Android 设备，执行如下命令：

netstat -anp | grep adbd

注：上面这里大家可能看到有个socket链接的进程，就是下面要讲的通过域套接字形式来检测adb是否连入Android 设备

域套接字的概念：进程与进程之间通讯的一种方式，客户端与服务端建立连接，需要有相同的套接字，和相应的服务端端口号，套接字处于监控状态，监听客户端发送的请求

这里没什么好讲的，直接晒出结果吧，如下：

通过检测adbd是否有子进程来确定是否有客户端连入

为了有明显区别对比，此处我们再次新开一个cmd窗口，然后执行如下命令：

ps  | grep adb
ps  | grep 7873

再次查看adb的子进程，其中已经少了一个adbd的子进程，如下：

ps  |grep adb
ps  |grep 7873

最后，我们检测/proc/net/unix 中是否有dev/socket/adbd

3.3 网络流量形式检测

3.3.1 Wi-Fi 调试（Android 11 及更高版本，无需借助 USB）

从 Android 11 开始支持 ADB 以无线方式连接手机调试，可以彻底摆脱 USB 线：

1）手机和电脑需连接在同一 Wi-Fi 下
2）保证 SDK 为最新版本（adb --version ≥ 30.0.0）
3）手机启用开发者选项和无线调试模式（会提示确认）
4）允许无线调试后，选择使用配对码配对。记下显示的配对码、IP 地址和端口号
5）运行adb pair ip:port，使用第 4 步中的 IP 地址和端口号
6）根据提示，输入第 3 步中的配对码，系统会显示一条消息，表明您的设备已成功配对
7）（仅适用于 Linux 或 Windows）运行 adb connect ip:port

3.3.2 WLAN 调试（Android 10 及更低版本，需要借助 USB）

做过Android 开发的基本都知道，平常一般都是直接通过 USB 线或者 Type C线的方式连接，来完成日常的开发和调试，这种开发模式存在几个问题点，是一个极简主义者所不能忍受的

电脑的 USB 口比较少，特别是 MAC 电脑，新版的就更是少得可怜
有时候有些功能模块比较耗电的时候，手机耗电的速度会比电脑充电的速度慢，比如开发直播间模块，要长时间开摄像头的情况下

Android 10以及更低的版本，必须通过 USB 连接后，才可实现同一 WLAN 下无线调试：

手机和电脑需连接在同一 WiFi 下；
手机开启开发者选项和 USB 调试模式，并通过 USB 连接电脑（即adb devices -l，可以查看到手机）
设置手机的监听adb tcpip 5555
拔掉 USB 线，找到手机的 IP 地址
通过 IP 连接到手机adb connect ip（端口默认：5555）
adb devices -l命令查看

注：Android 8 以上默认是开启Wi-Fi调试模式的，Android 4~Android 8默认是不开启Wi-Fi调试模式的

1）手机和电脑通过USB方式连接

输入adb tcpip PORT，PORT表示要开启WI-FI调试的端口，建议使用默认端口5555

adb tcpip 5555

或

使用adb shell在手机端执行setprop service.adb.tcp.port PORT命令，port表示要开启WI-FI调试的端口，建议使用默认端口5555
使用adb shell在手机端执行stop adbd
使用adb shell在手机端执行start adbd。执行adb shell会默认启动adbd，所以adbd start不是必须执行的

adb shell
# ">"为在手机端shell模式中> setprop service.adb.tcp.port 5555> stop adbd # 执行完会断开"adb shell"adb shell adbd start

2）不需要adb的方式

root的手机不需要用usb链接电脑使用adb的方式来开启WI-FI调试模式。不过需要安装一个可以执行命令的App
手机需要Root，且安装了可以执行命令的App。下载安装Android-Terminal-Emulator，然后打开“模拟终端”，然后执行以下命令

Android-Terminal-Emulator下载地址：https://jackpal.github.io/Android-Terminal-Emulator/

TCP/IP方式：

# 执行如下命令来，使用WI-FI调试模式
su
setprop service.adb.tcp.port 5555stop adbd
start adbd

或

su && setprop service.adb.tcp.port 5555 && stop adbd && start adbd

USB方式：

su
setprop service.adb.tcp.port -1 # 表示打开adb的usb调试功能
stop adbd
start adbd

保证手机和电脑在同一个局域网内，查看手机Wi-Fi的IP地址，并且手机开启了Wi-Fi调试功能
使用adb connect HOST[:PORT]与手机进行连接，port默认5555

# 以下两个命令都可以，不输入端口号则默认使用":5555"adb connect 192.168.9.5adb connect 192.168.9.5:5555

断开WI-FI调试连接的命令

# 以下两个命令都可以，不输入端口号则默认使用":5555"adb disconnect 192.168.9.5adb disconnect 192.168.9.5:5555

3.3.3 网络流量形式检测是否攻击者adb接入Android 设备方法

网络形式的ADB会监听一个端口，那有一个非常简单的方法就是判断这个端口是不是有TCP连接，只要有连接，我们就认为被ADB控制了（很简单的判断，没去管有无数据传输，就算没得数据传输，但是连接了，说明这个设备其实也被ADB控制过）

注：service.adb.tcp.port表示网络无线ADB要配置的默认端口

回到检测规则上来，如果没设置service.adb.tcp.port的话，得到的应该是空值或啥也没有回显

先用getprop命令去得到adb监听的端口，如果为空的话就是5555，然后就可以看adb监听的端口是否有连接，下面是统计5555端口连接次数，来判断当前有几个掉毛接入进来

setprop service.adb.tcp.port 5555getprop | grep adb.tcp.port
netstat -an | grep 5555

统计adb已连接的次数，状态为"established"

netstat -nat | grep -i "5555" | grep ESTABLISHED | wc -l

补充：还有一个方法，是获取TCP流量data数据的二进制流，来检测adbd接收到的TCP数据包中是否包含”host:version”，且相应回去的TCP数据包中包含有："OKAY"，就告警。但许多时候Android 终端因为隐私问题，数据采集受限，感兴趣的可以自行尝试一下，博主同学这里没有没有去尝试

参考链接：

https://www.jianshu.com/p/790b29b80117

https://cloud.tencent.com/developer/article/1809910

https://blog.csdn.net/Xiaoma_Pedro/article/details/103919142

https://blog.csdn.net/u014135607/article/details/80011192

https://www.jianshu.com/p/a47e1c90b9bf

https://zhuanlan.zhihu.com/p/472198430

https://cczheng.blog.csdn.net/article/details/103434756

http://www.shibaking.com/blog/2020-04-08-Android源码编译user版本默认开启adb调试.html

推荐阅读

远程入侵控制安卓手机实战

干货|物联网安全(基础入门篇)

车联网安全常见安全术语(基础篇)

零基础学编程/零基础学安全/零基础学逆向实战速成培训班

文章来源: http://mp.weixin.qq.com/s?__biz=Mzg2NzUzNzk1Mw==&mid=2247493014&idx=1&sn=0c21f1d346fd65775a2002a932c723cc&chksm=ceb8a0d8f9cf29ceb022ad3c45e7eb475653dd0462d276d3c93e2c4ef7613d6d3b0c416d9c8d#rd
如有侵权请联系:admin#unsafe.sh