一些情况下即使已经通过获取ROOT权限或直接通过底层漏洞制作了手机镜像，但仍然希望拿到所屏幕解锁手机，以直观查看手机中的数据，特别是取证软件不支持解析的应用数据。
Android锁屏密码包括数字形式和手势，Android 4.1开始，Android系统的锁屏密码以哈希的形式机密保存在系统中。对于数字形式的密码，哈希值保存在“/data/ system/ password.key”文件中。生成哈希值的过程中添加了盐值，盐值保存在“/data/system/locksettings.db”数据库中。
例如用户锁屏密码为“2580”，盐值为“312507b260586652”（数据库中保存的是此值的十进制形式）。则password.key的内容为0D990824EC13FF14C7D95F2EA51361A7CAFD943262FB51FE06C92DF8361A148BA5459BC5。这是一个72位的字符，其实是由两个哈希值组成，一个SHA-1值（前40位）和一个MD5值（后32位）：
SHA-1值和MD5值都是由用户口令加上盐值后计算得到。即“2580312507b260586652”的SHA-1哈希值为0D990824EC13FF14C7D95F2EA51361A7CAFD9432，“2580312507b260586652”的MD5哈希值为62FB51FE06C92DF 8361A148BA5459BC5。SHA-1值与MD5值合起来即password.key文件的内容“0D990824EC13FF14C7D95F2EA51361A7CAFD943262FB51FE06C92DF8361A148BA5459BC5”。
下面针对一个实际例子进行演示。
使用取证神探加载手机镜像，对文件名进行过滤，过滤条件为“locksettings.db”和“password.key”，每个一行，如下图所示。
过滤后分别点击password.key和locksettings.db文件，使用取证神探的预览功能进行预览，如下图所示。locksettings.db是SQLite数据库，取证神探可以直接预览各表的内容。
locksettings.db文件的表locksettings中，第二条记录即记录了盐值“2457215315974541256”，该值转换成十六进制为“2219c84f9d4fcfc8”，即“<用户口令>+2219c84f9d4fcfc8”的SHA-1值为E7FF6946220EA968C026B9DE8B3BA4EEE99867E4，MD5值为5FAEBB2B23CF4C14B15836FC32E22076。
根据以上信息，使用hashcat即可进行暴力破解。打开命令提示符，定位到hashcat所在路径，执行以下指令对密码进行破解。
hashcat64.exe-m10-a3 5faebb2b23cf4c14b15836fc32e22076:2219c84f9d4fcfc8?d?d?d?d?d?d?d?d--increment--increment-min4--increment-max8--force
hashcat64.exe-m110-a3E7FF6946220EA968C026B9DE8B3BA4EEE99867E4:2219c84f9d4fcfc8?d?d?d?d?d?d?d?d--increment--increment-min4--increment-max8--force
结果如下图所示，按照MD5及SHA-1暴力破解均只花了5秒钟，破解结果为0080：
上述hashcat命令中各参数含义如下：
-m 10 加密模式为md5($pass.$salt)
-m 110 加密模式为sha1($pass.$salt)
-a 3 攻击模式为掩码暴力破解
--increment --increment-min 4 --increment-max 8 最少为4位，最多为8位
?d?d?d?d?d?d?d?d 8位数字
--force 忽略破解过程中的警告信息
手势密码保存方式更简单，将0~9分别记为00~09，密码手势经过的数字按照上述对应关系得到的数字序列计算SHA-1值保存在gesture.key文件中，该文件路径为“/data/system/gesture.key”中。本文就不继续探讨了。
网友评论