1.1 锁屏密码方式

Android 中现在支持的锁屏密码主要有两种：一种是手势解锁，也就是常见的九宫格密码图；一种是输入密码，分为PIN密码和复杂数字密码，而PIN密码就是数字密码，比较简单。当然现在还有一个高级的指纹密码，这不是本文分析的范围，本章只分析手势密码和输入密码。

1.2 密码算法分析

在设置锁屏密码界面，用Android SDK目录\tools\bin\uiautomatorviewer.bat 工具分析获取当前的锁屏View类LockPattern,然后一步步跟入，最终会跟到一个包名为com.android.internal.widget锁屏密码工具类：LockPatternUtils.java，如下图，这里以9.0为例：

image.png

1.2.1 输入密码算法分析

找到源码之后，首先来分析一下输入密码算法:

legacyPasswordToHash

salt

getLong

getLockSettings

LockSettingsService-----getLong

getStringUnchecked

• 第一个条件:Settings.Secure.LOCK_PATTERN_ENABLED.equals(key)中,Settings.Secure.LOCK_PATTERN_ENABLED为lock_pattern_autolockkey为lockscreen.password_salt不相等
• 第二个条件:在LockPatternUtils中能看到USER_FRP为
  USER_FRP
  UserHandle中的USER_NULL如下图:
  
  UserHandle-USER_NULL
  
  第二个条件也不满足
• 第三个条件分别为:
  
  image.png
  ,key在上面已经说过为lockscreen.password_salt,也不满足
  其实到这里就已经可以看出肯定是保存在数据库中的了，继续跟踪代码来验证我们的猜想
  看下LockSettingsService这个类的构造方法
  
  image.png
  
  用到了Injector类，如下:
  
  Injector
  
  果然发现是保存在一个数据库中，继续查看LockSettingsStorage类
  
  LockSettingsStorage
  
  
  LockSettingsStorage-readKeyValue
  
  
  DatabaseHelper
  
  看到了数据库名字叫作locksettings.db，那么它保存在哪里呢，继续看这个类
  
  image.png
  
  可以看到有两个key文件，他们就是用来保存加密之后的手势密码和输入密码的，将信息保存到本地，下次开机解锁需要读取这个文件内容进行密码对比。看到一个目录是system，所以数据库和这两个key文件很有可能保存到目录/data/system/下类，为类再证实一下，用find命令去根目录下搜索这个数据库文件也是可以的。最终确定是该目录:
  
  image.png
  
  
  image.png
  
  由于中间输出的其它目录较多，这里我就截取了有效的几行

如果这里提示找不到find命令,这时需要安装busybox工具，才能使用这个命令。

找到这个数据库文件就好办了，直接取出来，然后用SQLite工具进行查看即可，当然也可以直接在手机中查看，为了方便，还是取出来，如下图:

数据库信息

private static final String SALT = Long.toHexString(7465477524050644896L);
    public static String legacyPasswordToHash(String password, int userId) {
        if (password == null) {
            return null;
        }

        try {
            byte[] saltedPassword = (password + SALT).getBytes();
            byte[] sha1 = MessageDigest.getInstance("SHA-1").digest(saltedPassword);
            byte[] md5 = MessageDigest.getInstance("MD5").digest(saltedPassword);

            byte[] combined = new byte[sha1.length + md5.length];
            System.arraycopy(sha1, 0, combined, 0, sha1.length);
            System.arraycopy(md5, 0, combined, sha1.length, md5.length);

            final char[] hexEncoded = HexEncoding.encode(combined);
            return new String(hexEncoded);
        } catch (NoSuchAlgorithmException e) {
            throw new AssertionError("Missing digest algorithm: ", e);
        }
    }

HexEncoding.java类如下:

/**
 * Hexadecimal encoding where each byte is represented by two hexadecimal digits.
 */
public class HexEncoding {

    /** Hidden constructor to prevent instantiation. */
    private HexEncoding() {}

    private static final char[] HEX_DIGITS = "0123456789ABCDEF".toCharArray();

    /**
     * Encodes the provided data as a sequence of hexadecimal characters.
     */
    public static char[] encode(byte[] data) {
        return encode(data, 0, data.length);
    }

    /**
     * Encodes the provided data as a sequence of hexadecimal characters.
     */
    public static char[] encode(byte[] data, int offset, int len) {
        char[] result = new char[len * 2];
        for (int i = 0; i < len; i++) {
            byte b = data[offset + i];
            int resultIndex = 2 * i;
            result[resultIndex] = (HEX_DIGITS[(b >>> 4) & 0x0f]);
            result[resultIndex + 1] = (HEX_DIGITS[b & 0x0f]);
        }

        return result;
    }

    /**
     * Decodes the provided hexadecimal string into a byte array. If {@code allowSingleChar}
     * is {@code true} odd-length inputs are allowed and the first character is interpreted
     * as the lower bits of the first result byte.
     *
     * Throws an {@code IllegalArgumentException} if the input is malformed.
     */
    public static byte[] decode(char[] encoded, boolean allowSingleChar) throws IllegalArgumentException {
        int resultLengthBytes = (encoded.length + 1) / 2;
        byte[] result = new byte[resultLengthBytes];

        int resultOffset = 0;
        int i = 0;
        if (allowSingleChar) {
            if ((encoded.length % 2) != 0) {
                // Odd number of digits -- the first digit is the lower 4 bits of the first result byte.
                result[resultOffset++] = (byte) toDigit(encoded, i);
                i++;
            }
        } else {
            if ((encoded.length % 2) != 0) {
                throw new IllegalArgumentException("Invalid input length: " + encoded.length);
            }
        }

        for (int len = encoded.length; i < len; i += 2) {
            result[resultOffset++] = (byte) ((toDigit(encoded, i) << 4) | toDigit(encoded, i + 1));
        }

        return result;
    }

    private static int toDigit(char[] str, int offset) throws IllegalArgumentException {
        // NOTE: that this isn't really a code point in the traditional sense, since we're
        // just rejecting surrogate pairs outright.
        int pseudoCodePoint = str[offset];

        if ('0' <= pseudoCodePoint && pseudoCodePoint <= '9') {
            return pseudoCodePoint - '0';
        } else if ('a' <= pseudoCodePoint && pseudoCodePoint <= 'f') {
            return 10 + (pseudoCodePoint - 'a');
        } else if ('A' <= pseudoCodePoint && pseudoCodePoint <= 'F') {
            return 10 + (pseudoCodePoint - 'A');
        }

        throw new IllegalArgumentException("Illegal char: " + str[offset] +
                " at offset " + offset);
    }
}

需要注意的是，这里的SALT值是我们从数据库中得到的，不过要记得进行hex转化
然后用1234原文密码去生成加密之后的信息，结果如下:

image.png

另外一种获取SALT的方法是利用反射机制，代码如下:

private void getSalt() {
        try {
            Class<?> classz = Class.forName("com.android.internal.widget.LockPatternUtils");
            Object locakUtils = classz.getConstructor(Context.class).newInstance(this);
            Class<?> locakPatternUtils = locakUtils.getClass();
            Method getSaltM = locakPatternUtils.getDeclaredMethod("getsalt",int.class);
            getSaltM.setAccessible(true);
            Object saltObj = getSaltM.invoke(locakUtils,0);
            Log.i("sallt","salt:"+saltObj);
            
        } catch (Exception e) {
            Log.i("ZQ","error:"+Log.getStackTraceString(e));
        }
    }

到这里就分析完了锁屏密码算法，总结一点就是:md5(输入明文密码+设备的salt的值) + SHA1(输入明文密码+设备的salt值)，拷贝到一个数组中后对数组进行HexEncoding.encode运算，转成String就是最终加密后的内容，手势密码算法分析，请看下一个篇。