S60智能手机证书破解原理分析.doc

S60智能手机证书破解分析如果要说证书，那就不得不提到Symbian操作系统，以Symbian操作系统为基础的智能手机的用户界面有许多种，包括开放平台像UIQ、诺基亚的Series 60（S60）、Series 80、Series 90系列等。其中Series 60是智能手机中应用最广泛的系统版本，目前最常见的有第2版（2nd Edition）和第3版（3rd Edition）。Series 60 第3版（以下简称S60 3rd）作为第2版的升级，为了增强手机系统的安全性，加入了证书机制。这就意味着Symbian对在系统中安装运行的第三方软件有更为严格的规定。某些涉及手机软硬件安全、个人信息安全等方面的操作被做了特别的权限限制，比如随手机开机自动启动就是被限制的功能之一。应用程序要实现这些被特别限制了的功能就必须获得“签名”，也就是说要有人来为这些操作的安全性负责，未经任何签名的程序不能安装运行。而“签名”就是把需要签名的软件和“证书”打包在一起的过程，没有“证书”就无法签名，也就无法安装该软件了。相关链接现在给软件签名的方式主要有三种：1.Symbian签名Symbian手机操作系统官方签名，想要获得Symbian的签名必须通过 Symbian 的安全认证。而该类软件有最高的安全级别，在手机上能正常安装、运行，且能实现软件提供的所有功能。2.作者签名软件作者在发布软件的时候就对软件进行了签名。这类软件可以在手机上安装运行（可能会遇到安全性警告，可跳过），但不能实现那些被特别限制了的功能（如开机自启动），如果软件根本不涉及这类功能就完全没有影响。3.用户签名严格来说这个应该是属于“开发者签名”。因为 Symbian 为软件开发者提供了一种“开发证书”，原意本来是让软件开发者作软件测试用的。这个“开发证书”是与作为测试用的机器的IMEI码挂钩的。使用这种证书签名的软件只能在该 IMEI 码对应的机器上使用，不能用于别的机器。我们所谓的“自签名”其实就是利用了这个方式。其实如果可以方便地申请到“开发证书”，那么我们在使用S60操作系统时就不会有太大的困难。毕竟签名过程虽然比较复杂，但是并不影响智能手机的开放性。但前段时间Symbian signed网站暂停S60第3版软件个人证书的申请，所以普通用户无法申请到证书给那些需要特殊权限的软件签名，致使一些重要的软件无法安装。这令一些S60第3版系统的手机用户极为头疼，尤其是众多新买了诺基亚智能手机的用户。2月21日，当Symbian signed再次开放注册的时候，我们发现个人证书已经无法申请。只有原本针对开发者（Publisher ID）用户的“Publisher证书”（或叫“PID证书”）可以申请，但要每年支付200美元的费用。这样看来关于个人用户证书的使用问题还是没有得到很好的解决。虽然Symbian signed在3月20日推出了在线签名的服务，在一定程度上缓解了证书问题给用户带来的影响，但由于在线签名操作比较复杂，所以并没有被广大用户接受。而就在这个时候，网络上曝出S60证书系统的破解方法。传言只要使用该方法破解后，安装任何手机软件都无需签名，且没有功能限制。不过这个消息是否真实，以及破解过程中是否暗藏什么“陷阱”，还有待我们进一步验证。惊人！三步破解S60证书系统比较让人意外的是，通过测试验证，居然发现网络上流传的这个方法确实可以破解S60手机的证书系统。虽然该破解方法有一定操作难度，但最终还是可以达到不用任何个人证书就可以对软件签名并正常安装的目的。究竟是如何实现的呢？下面就为大家介绍一下验证的过程。一、突破系统权限校验1.在手机上安装X-plore_S60_3rd_1.21.sisx程序，这是一个第三方的文件管理程序，以后的操作中会一直使用它。将Freepack.sisx和HelloCarbide.exe两个软件复制到手机存储卡中。启动X-plore，选中HelloCarbide.exe并点击“菜单编辑移动”（图1），然后使用手机向上方向键将屏幕向上拉，选中“C:”，然后点击确定键即可将HelloCarbide.exe文件移动到手机C盘根目录中。图1小提示：如果X-plore安装完成后是英文界面，则在X-plore主界面下按手机数字“0”键，将“Language”设置为“Chinese”即可。一般情况下我们无法通过电脑或者是手机自带的文件管理器将HelloCarbide.exe文件直接移动到手机C盘根目录中，所以必须通过X-plore这样的文件管理工具“曲线”解决问题。2.在X-plore中找到Freepack.sisx并按确定键进行安装。安装过程很简单，一路点击“继续”就可以了，过程中会弹出一系列“免责声明”，不用管它，按“确认”即可。程序安装路径要选择在“手机存储”上，安装完成后在程序列表中便会多出名为“TRK”和“HelloCarbide”的程序图标（图2）。图23.将手机和电脑通过USB数据线连接，在“选择模式”中选择“PC套件”。运行刚才安装好的TRK程序，弹出“蓝牙现处于关闭状态。启动？”的提示框，选择“否”。小提示：要完成此步操作请确保电脑上已经安装了“诺基亚PC套件”程序。4.点击“选项Settings”，将“Connection”设置为“USB”，其他选项不用修改。设置完成后点击“返回”。5.点击“选项Connect”，TRK程序界面中会显示“Status：Connected”即表示连接成功（图3）。图36.在电脑上，右键点击“我的电脑属性硬件设备管理”，在设备管理器中点击“端口（COM和LPT）”，这里会看到类似“Nokia 6120 classic USB（COM4）”的选项（手机型号视具体情况而定），记住手机型号后面显示的端口号，比如这里就是COM4（图4）。图47.在电脑上运行hacks60.exe，会弹出一个DOS窗口和名为“S60 3rd XX Tool”的对话框，从中选择符合自己手机型号的选项和端口号，比如这里小编就选择“Nokia 6120 classic”和“COM4”两个选项（图5）。确定选择无误后点击最下面的“XX”按钮，随即就开始破解了。当DOS窗口中显示“End+Exit”即表示破解成功了，此时可以关闭“S60 3rd XX Tool”对话框了。图5小提示：如果DOS窗口中的显示停在了“sending message number 00”，则是因为没有安装“诺基亚PC套件”程序或者没有正确移动HelloCarbide.exe到相应位置。那么如何确定此时已经成功破解系统了呢？在手机上启动X-plore，点击“菜单工具设置”，将其中的“显示隐藏文件”和“显示系统文件/文件夹”两项全部勾上，设置好后按“返回”。进入到手机C盘中，此时我们可以查看C盘sys目录中的文件夹和文件了，如果没有破解成功是不能显示的。还有一种更为直观的检验方法，我们都知道由于权限的问题，A4输入法只能在短信中使用而无法在记事本等程序中使用，但通过上述步骤破解后就可以在记事本等程序中使用A4输入法输入文字，这也表示破解成功，突破了系统权限限制。二、永久性突破系统权限校验刚才我们对权限限制的突破只是暂时的，因为一旦重启手机后一切又会恢复到未破解的状态。要想保持手机重启后还是处在破解状态，就要继续下面的操作。在进行这一操作前，首先要确认自己的手机是属于FP1机型还是非FP1机型，因为它们对应了不同的破解程序和文件。小知识：这里所说的FP1即指Series60于2006年6月初正式发布的针对于S60 第3版平台的第一个补丁包Feature Pack 1（简称为FP1）。这个补丁包增加了老平台所不具备的一些特性，如支持VGA分辨率的屏幕、支持更高规格的中央处理器、支持屏幕旋转以及缓存优化等特性。测试使用的是6120c，对应FP1机型，所以使用“FP1_CapsOnOff”文件夹下的文件和程序，如果你的手机属于非FP1机型，则使用“非FP1_CapsOnOff” 文件夹下的文件和程序。两者只有选择的文件有所区别，操作还是一致的。1.完成第一步破解操作后不要重启手机，保证手机依然处于破解状态。将“FP1_CapsOnOff”文件夹下的CProfDriver_SISX.ldd文件复制到手机“c:sysbin”目录中，方法依然是先将CProfDriver_SISX.ldd文件复制到手机存储卡中，然后使用X-plore程序将其移动到“c:sysbin”目录中。2.在手机上安装CapsOff.sisx和CapsOn.sisx两个程序，程序列表中会多出“CapsOff”和“CapsOn”两个程序图标（图6），然后重启手机。图63.重启后默认情况下系统已经恢复到了原始状态，也就是非破解状态。找到刚才安装好的“CapsOff”程序，点击运行，屏幕会闪烁一下但是不会出现任何界面。此时手机就又实现了突破权限限制，不信？打开记事本看看A4输入法是否可用，肯定是可以使用的啦。小提示：在完成了上述操作后就可以将“TRK”和“HelloCarbide”两个程序从手机上删除了。要注意的是即使有了“CapsOff”程序，重启以后手机还是会恢复原状，但是只要运行一次“CapsOff”程序就可以迅速进入无权限限制状态，还是比较方便的。运行“CapsOn”程序就可即时关闭破解状态。有了“CapsOff”和“CapsOn”就相当于我们拥有了系统权限的钥匙和锁，想开就开想关就关。三、替换根证书至此，我们已经实现了对系统权限校验的破解，但是离最后对证书校验的破解还差一步。为了加深大家对这两个概念的理解，破解者给出了一个恰当的比喻：S60第3版系统就如一间大屋，而20个权限代表大屋里的20个房间，平时一些敏感权限房间是被锁住的，而我们前面所做的破解相当于把这些房间全部打开，使得进入了这间大屋子的程序可以畅通无阻，这也是为什么破解后A4输入法可以在记事本等原本不支持的程序中使用的原因。但一个程序要进入这间大房子，还必须通过大屋的大门，而证书就像大门的钥匙。要进入这间大屋，钥匙是不可少的。但是没有证书这把钥匙，程序应该如何通过大门呢？那只有将大门的锁换掉，这便是根证书的替换了。同时我们用此根证书生成配对证书（钥匙），交给程序，程序就可以进入这间大屋了，也就达到了软件免签的目的。下面我们就来看看如何替换根证书。1.在手机上安装好signsis.sisx程序，安装路径选择“手机存储”。安装完成后程序列表中会有一个名为“手机签名”的程序。运行一下“CapsOff”程序确保手机处于破解状态，否则后面将无法访问手机C盘的sys和resource文件夹。2.在电脑上将“keycer.rar”解压，得到名为“cert.cer”和“key.key”的两个文件，并将它们复制到手机存储卡中，然后通过X-plore将它们复制到手机“c:privateEC696702”目录下，手机会提示“文件已存在”，选择“全部覆盖”即可。3.使用X-plore打开手机C盘，并定位到resource文件夹下，点击“菜单文件新建文件夹”，并命名为“swicertstore”，接着在“swicertstore”文件夹下按上述操作新建名为“dat”的文件夹，如果已经有这两个文件夹的话就不用新建了。4.在电脑上解压“00000001.rar”得到名为“00000001”的文件（注意，文件无后缀名），将其复制到手机存储卡中。使用X-plore将此文件复制到手机“c:resourceswicertstoredat”目录下（就是刚才新建的文件夹）。5.操作到这一步我们已经成功地替换了根证书，但是对于FP1机型，重启后根证书又会还原到原来的样子。需要进一步操作，如果是非FP1机型可以跳过此步骤。使用X-plore定位到“c:resourceswicertstoredat”目录下，并将光标选中“00000001”，点击“菜单文件文件属性”，将“只读”选项勾上，点击手机左键“更改”保存设置。这样在手机重启后替换的根证书也不会消失。至此Symbian S60操作系统的证书系统就全部破解成功了。就算碰到未经签名的软件也可以顺利安装，并实现全部功能。安装方法也非常简单：首先将不能安装的未签名软件复制到手机存储卡中，任意目录都可以，只要你找得到。运行刚才安装的“手机签名”程序，在“需要签名的文件”中按确定键，选择“存储卡”，找到刚才复制进来的未签名软件（图7）。图7然后点击“选项自签名”，提示“操作成功”。自签名后的软件会和原软件放在一个目录下，但是其后缀会多加一个“x”，比如原软件名为“ZTA4.sis”，自签名后在同一文件夹中会有一个名为“ZTA4.sisx”的软件。这个“ZTA4.sisx”就是我们最终的成果，直接点击安装，是不是不会再提示“证书错误”了！注意！破解=解除自我防卫通过我们的验证，已经证实了S60手机证书系统破解的真实性。进行上述的破解操作后，确实可以无需证书就使用需要签名的软件，并享受到高权限的功能。但这是不是就意味着Symbian公司引入的证书系统完全无用了呢？当然不是！毕竟破解后的手机还存在着一些安全隐患。因为通过破解，我们突破了系统的权限限制，使得原本无法查看和删除的系统文件暴露在外，如果对系统目录和文件不是很了解，有可能误删掉重要的文件而导致手机发生严重的错误，系统崩溃。而且证书机制的引入本来是为了防止非法软件，比如病毒等程序对