RootExplorer怎么样获取root权限的

 Android系统上面有名的RootExplorer很强大，可以操作任何目录下的文件，包括像/data/data这样需要root权限才能访问的地方。它是怎么样做到的呢？

这里要先提一个开源项目，地址是：
http://code.google.com/p/superuser/
大家可以用SVN把源码下载到本地，与系统源码一起编译就可以了。编译完成后会生成两个文件，一个是二进制可执行文件su，另一个是Superuser.apk。把su复制到系统的/system/bin目录，再把Superuser.apk复制到系统的/system/app目录。
这样，就可以用下面的代码执行su命令时，就会启动Superuser.apk中的Activity弹出标题为“以下程序要求授予最高权限...”的对话框，用户同意之后，APK就有ROOT权限了。

下面看看APK里面的代码。

ProcessBuilder pb = new ProcessBuilder("/system/bin/sh");
pb.directory(new File("/"));//设置shell的当前目录。
try {
    Process proc = pb.start();
//获取输入流，可以通过它获取SHELL的输出。
    BufferedReader in = new BufferedReader(new InputStreamReader(proc.getInputStream()));
    BufferedReader err = new BufferedReader(new InputStreamReader(proc.getErrorStream()));
//获取输出流，可以通过它向SHELL发送命令。
    PrintWriter out = new PrintWriter(new BufferedWriter(new OutputStreamWriter(proc
                    .getOutputStream())), true);
    out.println("pwd");
    out.println("su root");//执行这一句时会弹出对话框（以下程序要求授予最高权限...），要求用户确认。
    out.println("cd /data/data");//这个目录在系统中要求有root权限才可以访问的。
    out.println("ls -l");//这个命令如果能列出当前安装的APK的数据文件存放目录，就说明我们有了ROOT权限。
out.println("exit");
    // proc.waitFor();
String line;
while ((line = in.readLine()) != null) {
  System.out.println(line);
}
while ((line = err.readLine()) != null) {
  System.out.println(line);
}
in.close();
out.close();
proc.destroy();
} catch (Exception e) {
System.out.println("exception:" + e);
}

有了root权限，再结合ls,cp,mv等命令，整个系统的所有目录都可以操作了。

有一些问题目前还没有找到答案：
如果我用ADB从Ubuntu上面执行su root，用户在弹出的对话框上选同意的话，命令会很快返回，接下面提示符就变成＃了。
但是，我用代码在APK里面测试的时候，只是偶尔会成功，发现大部分时候会卡死在out.println("su root");这一句上。即，用户在对话框上面选同意后程序没有响应，DDMS也看不到输出。再等上一会儿，程序无响应需要强制关闭的对话框就出来了。这个项目还是不完善的地方，不过思路真的不错。

su程序和Superuser.apk是如何配合让APK运行时具有root权限的。

1、APK中调用su命令
2、su检索数据库（/data/data/com.koushikdutta.superuser/databases/superuser.sqlite），如果找到记录的话，说明当前进程已经被用户允许获取ROOT权限，则进行第4步。
3、如果没有检索到的话，su会通过am start命令打开Superuser.apk中的SuperuserRequestActivity： 

sprintf(sysCmd, "am start -a android.intent.action.MAIN -n com.koushikdutta.superuser/com.koushikdutta.superuser.SuperuserRequestActivity --ei uid %d --ei pid %d > /dev/null", g_puid, ppid);
if (system(sysCmd))
    return executionFailure("am.");

 然后进入循环等待，每隔一秒检索一次数据库是否有更新，等待的时间是10秒：

for (i = 0; i < 10; i++)
{
sleep(1);
// 0 means waiting for user input
// > 0 means yes/always
// < 0 means no
int checkResult = checkWhitelist();
... ...
}

 而SuperuserRequestActivity会显示界面要求用户选择是否同意进程获取ROOT权限。用户同意的话，就会把当前进程ID加入数据库，并退出Activity。否则，跳到第5步。
4、su在数据库中检索到进程ID的话，说明当前进程已经被用户允许获取ROOT权限，则改变当前进程的用户ID和组ID： 

if(setgid(gid) || setuid(uid)) 
return permissionDenied();

 5、命令执行完毕，进程结束。

另外，安装在系统中的APK每次运行时所使用的进程ID号是固定的。

 http://www.surfaceflinger.com/forum.php?mod=viewthread&tid=6&page=1