脚本的root功能是怎么实现的——不是魔法是系统设计的漏洞
本文由 和平精英外挂官网 提供：
脚本的root功能完整链路。
第一环：Magisk的su二进制。Magisk在boot.img的ramdisk里植入了一个su可执行文件。系统启动时su被加载到/system/bin/——系统以为它是原生系统工具。任何进程调用su就能获得root权限。
第二环：脚本调用su。脚本启动时通过system()或execve()调用su。su的UID从0变成root。脚本现在有了root权限。
第三环：ptrace附加。脚本用ptrace(PTRACE_ATTACH)附加到游戏进程。ptrace是Linux内核的调试接口——允许一个进程读写另一个进程的内存。游戏进程不知道被附加了——因为ptrace是内核功能不是应用层功能。
第四环：内存搜索。脚本在游戏进程的地址空间里搜索特定的数据模式。比如后坐力参数的固定偏移0x12345678。找到后修改数值——比如把后坐力从100改成0。
第五环：隐藏痕迹。脚本删除/system/bin/su的访问日志——删除/proc/日志里的ptrace记录——让系统管理员看不到root操作的痕迹。
这个链路的弱点：任何一环被系统修补——整个链路失效。Android新版本开始限制ptrace对非调试进程的使用——Magisk也在不断更新绕过。
