1.1 鎖屏密碼方式

Android 中現(xiàn)在支持的鎖屏密碼主要有兩種：一種是手勢解鎖呼伸，也就是常見的九宮格密碼圖；一種是輸入密碼搂根，分為PIN密碼和復(fù)雜數(shù)字密碼，而PIN密碼就是數(shù)字密碼铃辖，比較簡單剩愧。當(dāng)然現(xiàn)在還有一個高級的指紋密碼娇斩，這不是本文分析的范圍穴翩，本章只分析手勢密碼和輸入密碼锦积。

1.2 密碼算法分析

在設(shè)置鎖屏密碼界面丰介，用Android SDK目錄\tools\bin\uiautomatorviewer.bat 工具分析獲取當(dāng)前的鎖屏View類LockPattern,然后一步步跟入，最終會跟到一個包名為com.android.internal.widget鎖屏密碼工具類：LockPatternUtils.java带膀，如下圖橙垢，這里以9.0為例：

image.png

1.2.1 輸入密碼算法分析

找到源碼之后钢悲，首先來分析一下輸入密碼算法:

legacyPasswordToHash

salt

getLong

getLockSettings

LockSettingsService-----getLong

getStringUnchecked

• 第一個條件:Settings.Secure.LOCK_PATTERN_ENABLED.equals(key)中,Settings.Secure.LOCK_PATTERN_ENABLED為lock_pattern_autolockkey為lockscreen.password_salt不相等
• 第二個條件:在LockPatternUtils中能看到USER_FRP為
  USER_FRP
  UserHandle中的USER_NULL如下圖:
  
  UserHandle-USER_NULL
  
  第二個條件也不滿足
• 第三個條件分別為:
  
  image.png
  ,key在上面已經(jīng)說過為lockscreen.password_salt,也不滿足
  其實到這里就已經(jīng)可以看出肯定是保存在數(shù)據(jù)庫中的了鸿秆，繼續(xù)跟蹤代碼來驗證我們的猜想
  看下LockSettingsService這個類的構(gòu)造方法
  
  image.png
  
  用到了Injector類卿叽，如下:
  
  Injector
  
  果然發(fā)現(xiàn)是保存在一個數(shù)據(jù)庫中附帽，繼續(xù)查看LockSettingsStorage類
  
  LockSettingsStorage
  
  
  LockSettingsStorage-readKeyValue
  
  
  DatabaseHelper
  
  看到了數(shù)據(jù)庫名字叫作locksettings.db蕉扮，那么它保存在哪里呢，繼續(xù)看這個類
  
  image.png
  
  可以看到有兩個key文件屁使，他們就是用來保存加密之后的手勢密碼和輸入密碼的蛮寂，將信息保存到本地，下次開機解鎖需要讀取這個文件內(nèi)容進行密碼對比及老》蹲ィ看到一個目錄是system，所以數(shù)據(jù)庫和這兩個key文件很有可能保存到目錄/data/system/下類僧鲁，為類再證實一下象泵，用find命令去根目錄下搜索這個數(shù)據(jù)庫文件也是可以的偶惠。最終確定是該目錄:
  
  image.png
  
  
  image.png
  
  由于中間輸出的其它目錄較多洲鸠，這里我就截取了有效的幾行

如果這里提示找不到find命令,這時需要安裝busybox工具馋缅，才能使用這個命令。

找到這個數(shù)據(jù)庫文件就好辦了瘾腰，直接取出來覆履，然后用SQLite工具進行查看即可硝全，當(dāng)然也可以直接在手機中查看，為了方便析藕，還是取出來凳厢，如下圖:

數(shù)據(jù)庫信息

private static final String SALT = Long.toHexString(7465477524050644896L);
    public static String legacyPasswordToHash(String password, int userId) {
        if (password == null) {
            return null;
        }

        try {
            byte[] saltedPassword = (password + SALT).getBytes();
            byte[] sha1 = MessageDigest.getInstance("SHA-1").digest(saltedPassword);
            byte[] md5 = MessageDigest.getInstance("MD5").digest(saltedPassword);

            byte[] combined = new byte[sha1.length + md5.length];
            System.arraycopy(sha1, 0, combined, 0, sha1.length);
            System.arraycopy(md5, 0, combined, sha1.length, md5.length);

            final char[] hexEncoded = HexEncoding.encode(combined);
            return new String(hexEncoded);
        } catch (NoSuchAlgorithmException e) {
            throw new AssertionError("Missing digest algorithm: ", e);
        }
    }

HexEncoding.java類如下:

/**
 * Hexadecimal encoding where each byte is represented by two hexadecimal digits.
 */
public class HexEncoding {

    /** Hidden constructor to prevent instantiation. */
    private HexEncoding() {}

    private static final char[] HEX_DIGITS = "0123456789ABCDEF".toCharArray();

    /**
     * Encodes the provided data as a sequence of hexadecimal characters.
     */
    public static char[] encode(byte[] data) {
        return encode(data, 0, data.length);
    }

    /**
     * Encodes the provided data as a sequence of hexadecimal characters.
     */
    public static char[] encode(byte[] data, int offset, int len) {
        char[] result = new char[len * 2];
        for (int i = 0; i < len; i++) {
            byte b = data[offset + i];
            int resultIndex = 2 * i;
            result[resultIndex] = (HEX_DIGITS[(b >>> 4) & 0x0f]);
            result[resultIndex + 1] = (HEX_DIGITS[b & 0x0f]);
        }

        return result;
    }

    /**
     * Decodes the provided hexadecimal string into a byte array. If {@code allowSingleChar}
     * is {@code true} odd-length inputs are allowed and the first character is interpreted
     * as the lower bits of the first result byte.
     *
     * Throws an {@code IllegalArgumentException} if the input is malformed.
     */
    public static byte[] decode(char[] encoded, boolean allowSingleChar) throws IllegalArgumentException {
        int resultLengthBytes = (encoded.length + 1) / 2;
        byte[] result = new byte[resultLengthBytes];

        int resultOffset = 0;
        int i = 0;
        if (allowSingleChar) {
            if ((encoded.length % 2) != 0) {
                // Odd number of digits -- the first digit is the lower 4 bits of the first result byte.
                result[resultOffset++] = (byte) toDigit(encoded, i);
                i++;
            }
        } else {
            if ((encoded.length % 2) != 0) {
                throw new IllegalArgumentException("Invalid input length: " + encoded.length);
            }
        }

        for (int len = encoded.length; i < len; i += 2) {
            result[resultOffset++] = (byte) ((toDigit(encoded, i) << 4) | toDigit(encoded, i + 1));
        }

        return result;
    }

    private static int toDigit(char[] str, int offset) throws IllegalArgumentException {
        // NOTE: that this isn't really a code point in the traditional sense, since we're
        // just rejecting surrogate pairs outright.
        int pseudoCodePoint = str[offset];

        if ('0' <= pseudoCodePoint && pseudoCodePoint <= '9') {
            return pseudoCodePoint - '0';
        } else if ('a' <= pseudoCodePoint && pseudoCodePoint <= 'f') {
            return 10 + (pseudoCodePoint - 'a');
        } else if ('A' <= pseudoCodePoint && pseudoCodePoint <= 'F') {
            return 10 + (pseudoCodePoint - 'A');
        }

        throw new IllegalArgumentException("Illegal char: " + str[offset] +
                " at offset " + offset);
    }
}

需要注意的是，這里的SALT值是我們從數(shù)據(jù)庫中得到的遮晚，不過要記得進行hex轉(zhuǎn)化
然后用1234原文密碼去生成加密之后的信息拦止，結(jié)果如下:

image.png

另外一種獲取SALT的方法是利用反射機制汹族，代碼如下:

private void getSalt() {
        try {
            Class<?> classz = Class.forName("com.android.internal.widget.LockPatternUtils");
            Object locakUtils = classz.getConstructor(Context.class).newInstance(this);
            Class<?> locakPatternUtils = locakUtils.getClass();
            Method getSaltM = locakPatternUtils.getDeclaredMethod("getsalt",int.class);
            getSaltM.setAccessible(true);
            Object saltObj = getSaltM.invoke(locakUtils,0);
            Log.i("sallt","salt:"+saltObj);
            
        } catch (Exception e) {
            Log.i("ZQ","error:"+Log.getStackTraceString(e));
        }
    }

到這里就分析完了鎖屏密碼算法，總結(jié)一點就是:md5(輸入明文密碼+設(shè)備的salt的值) + SHA1(輸入明文密碼+設(shè)備的salt值)夸政，拷貝到一個數(shù)組中后對數(shù)組進行HexEncoding.encode運算榴徐，轉(zhuǎn)成String就是最終加密后的內(nèi)容坑资，手勢密碼算法分析，請看下一個篇袱贮。