RootRoot

Sungwuk Jung

Az alkalmazásról

A RootRoot egy nyílt forráskódú Android biztonsági észlelő eszközkészlet, amelyet biztonsági kutatók, penetrációs tesztelők és Android-rajongók számára készítettek. Bemutatja, hogyan észlelik a mobilalkalmazások valós időben a rootolt eszközöket, a Magisk telepítéseket és a Frida instrumentációs keretrendszereket.

Az alkalmazás 13 biztonsági ellenőrzést végez 4 különböző észlelési stratégiával, átfogó képet adva az eszköz biztonsági állapotáról. ▌ ÉRZÉKELÉSI MÓDSZEREK
◆ Java réteg detektálása
• Root csomag vizsgálata — 48 ismert root alkalmazás aláírás alapján ellenőrzi a PackageManager-t, beleértve a Magisk, SuperSU, KingRoot és Xposed fájlokat.
• SU bináris keresés — 14 könyvtárban keres su, busybox és magisk bináris fájlokat.
◆ Natív statikus regisztráció
Az .so szimbólumtáblában látható exportált JNI szimbólumokat használja:
• Su bináris ellenőrzés natív fájlhozzáférésen keresztül.
• Magisk csatolás detektálása a /proc/mounts segítségével.
• Frida folyamat szkennelése a /proc/cmdline segítségével.
• Frida könyvtár detektálása a /proc/self/maps segítségével.
◆ Natív dinamikus regisztráció
Függvények futásidőben regisztrálva a RegisterNatives() metódussal a JNI_OnLoad-ban — nem láthatók exportált szimbólumok a szimbólumtáblában. Ugyanazok az ellenőrzések, nehezebb visszafejteni.
◆ Natív Dlsym (rejtett regisztráció)
A dlsym() metóduson keresztül betöltött függvények egy külön megosztott könyvtárból – a leginkább obfuszkált észlelési stratégia, amely a valós biztonsági SDK viselkedését szimulálja.
▌ FŐBB JELLEMZŐK
✦ 13 észlelési ellenőrzés 4 JNI regisztrációs stratégián keresztül
✦ Terminál stílusú sötét felhasználói felület kibontható eredménykártyákkal
✦ Valós idejű vizsgálati eredmények végrehajtási időzítéssel
✦ Az egyes észlelési technikák részletes leírása
✦ Tiszta natív C kód – nulla C++ STL függőség
✦ Oktatóeszköz a mobilbiztonság megértéséhez
✦ Támogatja az armeabi-v7a, arm64-v8a, x86 és x86_64 szabványokat
▌ KINEK SZÓL EZ? • Biztonsági kutatók, akik Android root-észlelési technikákat tanulmányoznak
• Behatolástesztelők értékelik az eszközök biztonsági helyzetét
• Android fejlesztők, akik illetéktelen hozzáférést biztosító intézkedéseket vezetnek be vagy auditálnak
• Diákok, akik a JNI-ről, a natív kódról és a mobilbiztonságról tanulnak
• ROM/Magisk rajongók tesztelik az észlelés megkerülésének módszereit
▌ OKTATÁSI CÉL
A RootRoot biztonsági kutatási és oktatási eszközként készült. Bemutatja mind a támadó, mind a védekező mobilbiztonsági technikákat. Minden észlelési módszer teljes mértékben dokumentált és nyílt forráskódú a GitHubon.
A root-észlelés működésének megértése segít mind a védőknek erősebb védelem kiépítésében, mind a kutatóknak a meglévő implementációk gyengeségeinek azonosításában.
forráskód: https://github.com/John-Jung/RootRoot