建站
咨詢
售后
建站咨詢
新聞中心
Kali Nethunter是一款用于安全研究的手機固件包，可以使Android設備增加“無線破解”、“HID攻擊”、“偽造光驅(qū)”等的硬件功能以及metasploit等軟件工具，目前官方只支持少量的Android手機，然而，通過重新編譯Kali Nethunter源代碼，可以將其編譯到其他型號的手機上。
創(chuàng)新互聯(lián)是一家業(yè)務范圍包括IDC托管業(yè)務,雅安服務器托管、主機租用、主機托管，四川、重慶、廣東電信服務器租用,內(nèi)江機房主機托管，成都網(wǎng)通服務器托管,成都服務器租用,業(yè)務范圍遍及中國大陸、港澳臺以及歐美等多個國家及地區(qū)的互聯(lián)網(wǎng)數(shù)據(jù)服務公司。
本文將以Oneplus one為例講解Kali Nethunter代碼的移植方式，同時也在三星的i9100g手機上測試成功。
0x00 Kali Nethunter架構分析
Kali Nethunter大體分為三個部分
定制過的手機內(nèi)核：由于需要使用OTG外接usb網(wǎng)卡、用手機模擬HID設備、用手機模擬CDROM光驅(qū)，必須對手機內(nèi)核進行修改添加對應的驅(qū)動，以及patch相關的代碼，如果沒有這一部分修改過的內(nèi)核，Kali Nethunter將無法使用與硬件相關的所有功能
chroot環(huán)境的文件系統(tǒng)：所有相關的軟件程序以ARM架構的Kali為基礎集成在一個文件系統(tǒng)內(nèi)，通過linux的chroot功能可以在Android中跳轉至Kali文件系統(tǒng)，然后把內(nèi)核相關的東西mount進kali的文件系統(tǒng)，之后就可以在這個chroot后的Kali中執(zhí)行對應的命令了
用于提供界面的APK手機APP，僅僅是作為UI界面起展示作用，實際是通過調(diào)用chroot的Kali中的命令來實現(xiàn)所有功能的，當然這些APP也提供了一鍵掛載并啟用Kali chroot的功能
其中修改內(nèi)核要求手機內(nèi)核代碼必須開源，盡管內(nèi)核代碼根據(jù)GPL協(xié)議必須開源，國內(nèi)某些手機仍然不公開其內(nèi)核源代碼，這也是Kali Nethunter僅支持Oneplus、三星和谷歌Nexus的原因
0x01 準備CM 12.1源碼以及相關環(huán)境
首先，我們?yōu)榱撕喕薷膬?nèi)核的過程，可以直接編譯一份CyanogenMod 12.1的代碼，其中就包括了對應機型(Oneplus one、三星i9100g)的內(nèi)核代碼。而且鑒于Kali Nethunter本身采用的就是CM 12.1的ROM，為了避免其他ROM中可能存在的兼容性問題，建議選擇CyanogenMod支持的手機來進行移植
你可以參考CyanogenMod官方wiki上對應機型的編譯說明，這里在Ubuntu上以Oneplus和i9100g為例演示編譯過程
親測編譯時硬盤至少需要100G可用空間，虛擬機至少需要4GB內(nèi)存，不要問我如果達不到要求會發(fā)生什么……全是眼淚啊
在開始配置環(huán)境之前，先提示大家后文會有簡化的環(huán)境配置方式，不過建議大家還是按部就班地用“官方”方式配置，因為將來CM可能會有新的版本出現(xiàn)，而官方配置方式可以獲取到最新的代碼
比如對于Oneplus one的官方示范：http://wiki.cyanogenmod.org/w/Build_for_bacon
sudo apt-get install bison build-essential curl flex git gnupg gperf libesd0-dev
liblz4-tool libncurses5-dev libsdl1.2-dev libwxgtk2.8-dev libxml2 libxml2-utils lzop
openjdk-7-jdk openjdk-7-jre pngcrush schedtool squashfs-tools xsltproc zip zlib1g-dev
然后64位系統(tǒng)還需要：
sudo apt-get install g++-multilib gcc-multilib lib32ncurses5-dev lib32readline-gplv2-dev lib32z1-dev
如果遇到軟件包不存在，可以apt-cache search一下包名，看看是不是改名字了
之后同步Android代碼(代碼從google上拿，該怎么訪問google是你自己要解決的問題，下同，不再提示)
$ mkdir -p ~/bin $ mkdir -p ~/android/system $ curl https://storage.googleapis.com/git-repo-downloads/repo > ~/bin/repo $ chmod a+x ~/bin/repo
然后把~/bin加進PATH中：
添加到~/.profile中
# set PATH so it includes user's private bin if it exists if [ -d "$HOME/bin" ] ; then PATH="$HOME/bin:$PATH" fi
然后配置repo
$ cd ~/android/system/ $ repo init -u https://github.com/CyanogenMod/android.git -b cm-12.1
然后有兩種方式可以獲取特定設備(Oneplus One)的相關代碼文件，一種是按照CyanogenMod Wiki上的做，另一種可以去百度(來自一加社區(qū)的《玩機組出品，CyanogenMod12編譯教程》)，請自行百度自己設備的代碼獲取方式
mkdir ~/android/cm/.repo/local_manifests gedit ~/android/cm/.repo/local_manifests/local_manifests.xml
添加
之后就可以開始同步Android代碼了
$ repo sync
注意，到這步之后不需要再get prebuilt了，因為我們用的是CM 12.1，老版本的CM才需要get prebuilt
之后就是編譯了(先不要修改內(nèi)核，確保能夠編譯成功)，進入android/system文件夾
source build/envsetup.sh
使用CCACHE可以加快編譯速度，但會吃掉硬盤空間，為了速度推薦設置為50G到100G之間，非必須
export USE_CCACHE=1 prebuilts/misc/linux-x86/ccache/ccache -M 50G
之后就可以開始編譯了，bacon是設備名
$ croot $ brunch bacon
編譯成功后將會生成cm-12.1-20151127-UNOFFICIAL-bacon.zip，這個就是ROM的刷機包了。#p#
0x02 簡易的CM 12.1編譯環(huán)境及代碼
所有環(huán)境配置問題都可以用Woobuntu系統(tǒng)來解決，直接安裝Woobuntu后內(nèi)部已經(jīng)集成了Android編譯環(huán)境(包括adb)
代碼我給大家打包好了，27個G，解壓縮就好(已經(jīng)把內(nèi)核patch過了)，在Woobuntu中編譯命令如下：
tar -jxvf cm12_bacon_source.tar.bz2 cd android/system/ sudo su root source build/envsetup.sh export USE_CCACHE=1 prebuilts/misc/linux-x86/ccache/ccache -M 20G croot brunch bacon
簡單解釋一下，由于壓縮檔的文件屬主是我，而不是你，部分文件權限會有問題，所以建議直接root權限編譯(其實更優(yōu)雅的方式是chown -R，只不過27個G代碼都來chown一遍實在受不了)，sudo時會要求輸入你的密碼，而我CCACHE只用了20G是因為我的硬盤實在太小，我最后親自從安裝Woobuntu開始測試了一遍，確認可以編譯成功。
簡而言之，這個簡化版本只需要你自己處理設備相關代碼就好了，比如說i9100g就只需要重新按照wiki設置breakfast i9100g和extract-files(如果網(wǎng)上能搜到更簡單的方式更好)，之后brunch i9100g即可。
0x03 修改Android內(nèi)核
在修改Android內(nèi)核時，我們需要交叉編譯ARM架構的代碼
cd到對應機型的kernel文件夾下，例如演示的oneplus內(nèi)核目錄為 alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974
export ARCH=arm
之后在arch/arm/configs文件夾里面找到cm所用的defconfig，然后如下所示
make cyanogenmod_bacon_defconfig
之后就可以make menuconfig了
make menuconfig
然后就是根據(jù)Nethunter的github WIKI上的說明自由選擇驅(qū)動程序了，不過我只需要ATH9K的芯片驅(qū)動，所以直接在Device drivers -> Network device supports -> Wireless lan 里面選中Atheros Wireless Cards ，如果你使用其他芯片的無線網(wǎng)卡，請自己去選中對應的驅(qū)動程序
然后在networking support -> Wireless 里面把Generic IEEE 802.11 Networking Stack (mac80211) 選中
由于Oneplus自己默認選中了OTG驅(qū)動，如果您為別的機型編譯，請檢查device driver里面usb的otg選項有沒有選中
設置完畢后保存退出
make savedefconfig cp defconfig arch/arm/configs/cyanogenmod_bacon_defconfig make mrproper
您如果是第一次嘗試，可以重新編譯一遍CM看看有無錯誤，然后我們就可以開始patch內(nèi)核了
wget http://patches.aircrack-ng.org/mac80211.compat08082009.wl_frag+ack_v1.patch patch -p1 < mac80211.compat08082009.wl_frag+ack_v1.patch
然后到https://github.com/pelya/android-keyboard-gadget里面尋找自己內(nèi)核版本的patch，這里是3.4內(nèi)核
wget https://raw.githubusercontent.com/pelya/android-keyboard-gadget/master/kernel-3.4.patch patch -p1 < kernel-3.4.patch
如果不出意外的話，這個patch一定會報錯，因為kernel代碼是不斷更新著的，不過別擔心，我們可以手動去patch
報錯：
alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974$ patch -p1 < kernel-3.4.patch patching file drivers/usb/gadget/Makefile patching file drivers/usb/gadget/android.c Hunk #1 succeeded at 75 (offset 1 line). Hunk #2 succeeded at 2192 with fuzz 2 (offset 101 lines). Hunk #3 FAILED at 2156. Hunk #4 FAILED at 2481. 2 out of 4 hunks FAILED -- saving rejects to file drivers/usb/gadget/android.c.rej patching file drivers/usb/gadget/f_hid.c Hunk #7 succeeded at 403 (offset -9 lines). Hunk #8 succeeded at 422 (offset -9 lines). Hunk #10 succeeded at 594 (offset -4 lines). Hunk #11 succeeded at 614 (offset -6 lines). Hunk #12 succeeded at 662 (offset -8 lines). Hunk #13 succeeded at 713 (offset -8 lines). patching file drivers/usb/gadget/f_hid.h patching file drivers/usb/gadget/f_hid_android_keyboard.c patching file drivers/usb/gadget/f_hid_android_mouse.c alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974$
可以看到是android.c第3和第4處patch失敗，我們?nèi)ナ謩觩atch
前兩處都已經(jīng)patch成功了，所以跳過就好了
解釋一下：左邊是patch代碼，右邊是目前的android.c，patch的意思是要在&uasp_function,下面加一個&hid_function,，第四處也去找一下用大腦找到位置敲上代碼即可
然后就是重新編譯CM，然后生成的刷機包就是Nethunter超強定制內(nèi)核的CM 12.1了
i9100g編譯時直接成功，而Oneplus則會報個錯，是跟usb驅(qū)動有關的，找到報錯位置代碼，然后發(fā)現(xiàn)是一個結構體還有一個函數(shù)在使用前沒有定義，于是我無比瀟灑地把這個調(diào)用函數(shù)的代碼!刪!掉!了!，經(jīng)測試刪掉該代碼不影響手機正常功能，Nethunter功能也經(jīng)過測試非常穩(wěn)定。#p#
0x04 編譯Kali Nethunter的rootfs
在Kali Nethunter的github頁面內(nèi)有詳細的說明，強烈建議在Kali中進行Nethunter的編譯
mkdir ~/arm-stuff
cd ~/arm-stuff
git clone https://github.com/offensive-security/gcc-arm-linux-gnueabihf-4.7
export PATH=${PATH}:/root/arm-stuff/gcc-arm-linux-gnueabihf-4.7/bin
git clone https://github.com/offensive-security/kali-nethunter
cd ~/arm-stuff/kali-nethunter
./build-deps.sh
./androidmenu.sh在編譯時選擇僅編譯rootfs(因為我們要自己操心內(nèi)核的事情了)
0x05 刷機測試
如果你不會刷機，請先百度一下如何正常刷機，比如unlock bootloader啦，TWRP啦，這些百度去吧
刷機順序為：先刷CyanogenMod，再刷Kali Nethunter的rootfs
下圖是在測試HID攻擊的i9100g
檢查各項功能：
檢查DriveDroid能否模擬USB光驅(qū)
檢查UsbKeyboard能否偽造鼠標和鍵盤設備
插上OTG和USB無線網(wǎng)卡，看看能不能使用Wifite破解無線密碼
0x06 可能遇到的問題
在移植至三星i9100g手機時，由于手機內(nèi)存儲空間不夠大(Kali Nethunter刷機方式要求至少有2GB的可用空間)，因此一直刷機失敗，當終于定位到問題所在后，最終決定采用其他的方式加載Kali Nethunter的rootfs。首先把kali nethunter的rootfs編譯出來，然后做成一個img磁盤鏡像文件，之后把這個img文件放在sd卡中，動態(tài)掛載到/data/local/kali-armhf中，這樣就解決了內(nèi)存儲空間不夠的問題
如果編譯內(nèi)核出錯，您在debug的時候可以只編譯內(nèi)核，toolchains在prebuilt文件夾里面，自己設置cross_compile變量吧(常見是把亂選的驅(qū)動清除掉，能解決絕大部分報錯)
0x07 后話
以后我們就可以開始玩耍Nethunter了，比如把整個WooyunWifi都移植到手機上，再做上離線劫持釣魚的功能……不過這些都是編譯完Nethunter之后的事情了
結尾圖片：在手機上的WooyunWifi，開啟了熱點用于釣魚
當前題目：跟我把KaliNethunter編譯至任意手機
網(wǎng)頁URL：http://m.fisionsoft.com.cn/article/dhohdpg.html
