跟我把Kali Nethunter編譯至任意手機
Kali Nethunter是一款用于安全研究的手機固件包，可以使Android設備增加“無線破解”、“HID攻擊”、“偽造光驅”等的硬件功能以及metasploit等軟件工具，目前官方只支持少量的Android手機，然而，通過重新編譯Kali Nethunter源代碼，可以將其編譯到其他型號的手機上。
本文將以Oneplus one為例講解Kali Nethunter代碼的移植方式，同時也在三星的i9100g手機上測試成功。
0x00 Kali Nethunter架構分析
Kali Nethunter大體分為三個部分
定制過的手機內核：由于需要使用OTG外接usb網卡、用手機模擬HID設備、用手機模擬CDROM光驅，必須對手機內核進行修改添加對應的驅動，以及patch相關的代碼，如果沒有這一部分修改過的內核，Kali Nethunter將無法使用與硬件相關的所有功能
chroot環境的文件系統：所有相關的軟件程序以ARM架構的Kali為基礎集成在一個文件系統內，通過linux的chroot功能可以在Android中跳轉至Kali文件系統，然后把內核相關的東西mount進kali的文件系統，之后就可以在這個chroot后的Kali中執行對應的命令了
用于提供界面的APK手機APP，僅僅是作為UI界面起展示作用，實際是通過調用chroot的Kali中的命令來實現所有功能的，當然這些APP也提供了一鍵掛載并啟用Kali chroot的功能
其中修改內核要求手機內核代碼必須開源，盡管內核代碼根據GPL協議必須開源，國內某些手機仍然不公開其內核源代碼，這也是Kali Nethunter僅支持Oneplus、三星和谷歌Nexus的原因
0x01 準備CM 12.1源碼以及相關環境
首先，我們為了簡化修改內核的過程，可以直接編譯一份CyanogenMod 12.1的代碼，其中就包括了對應機型(Oneplus one、三星i9100g)的內核代碼。而且鑒于Kali Nethunter本身采用的就是CM 12.1的ROM，為了避免其他ROM中可能存在的兼容性問題，建議選擇CyanogenMod支持的手機來進行移植
你可以參考CyanogenMod官方wiki上對應機型的編譯說明，這里在Ubuntu上以Oneplus和i9100g為例演示編譯過程
親測編譯時硬盤至少需要100G可用空間，虛擬機至少需要4GB內存，不要問我如果達不到要求會發生什么……全是眼淚啊
在開始配置環境之前，先提示大家后文會有簡化的環境配置方式，不過建議大家還是按部就班地用“官方”方式配置，因為將來CM可能會有新的版本出現，而官方配置方式可以獲取到最新的代碼
比如對于Oneplus one的官方示范：http://wiki.cyanogenmod.org/w/Build_for_bacon
sudo apt-get install bison build-essential curl flex git gnupg gperf libesd0-dev
liblz4-tool libncurses5-dev libsdl1.2-dev libwxgtk2.8-dev libxml2 libxml2-utils lzop
openjdk-7-jdk openjdk-7-jre pngcrush schedtool squashfs-tools xsltproc zip zlib1g-dev
然后64位系統還需要：
sudo apt-get install g++-multilib gcc-multilib lib32ncurses5-dev lib32readline-gplv2-dev lib32z1-dev
如果遇到軟件包不存在，可以apt-cache search一下包名，看看是不是改名字了
之后同步Android代碼(代碼從google上拿，該怎么訪問google是你自己要解決的問題，下同，不再提示)
$ mkdir -p ~/bin $ mkdir -p ~/android/system $ curl https://storage.googleapis.com/git-repo-downloads/repo > ~/bin/repo $ chmod a+x ~/bin/repo
然后把~/bin加進PATH中：
添加到~/.profile中
# set PATH so it includes user's private bin if it exists if [ -d "$HOME/bin" ] ; then PATH="$HOME/bin:$PATH" fi
然后配置repo
$ cd ~/android/system/ $ repo init -u https://github.com/CyanogenMod/android.git -b cm-12.1
然后有兩種方式可以獲取特定設備(Oneplus One)的相關代碼文件，一種是按照CyanogenMod Wiki上的做，另一種可以去百度(來自一加社區的《玩機組出品，CyanogenMod12編譯教程》)，請自行百度自己設備的代碼獲取方式
mkdir ~/android/cm/.repo/local_manifests gedit ~/android/cm/.repo/local_manifests/local_manifests.xml
添加
- <?xml version="1.0" encoding="UTF-8"?>
- <manifest>
- <project name="CyanogenMod/android_device_oneplus_bacon" path="device/oneplus/bacon" remote="github" />
- <project name="CyanogenMod/android_device_qcom_common" path="device/qcom/common" remote="github" />
- <project name="CyanogenMod/android_device_oppo_msm8974-common" path="device/oppo/msm8974-common" remote="github" />
- <project name="CyanogenMod/android_device_oppo_common" path="device/oppo/common" remote="github" revision="cm-12.0" />
- <project name="CyanogenMod/android_kernel_oneplus_msm8974" path="kernel/oneplus/msm8974" remote="github" />
- <project name="TheMuppets/proprietary_vendor_oppo" path="vendor/oppo" remote="github" />
- <project name="TheMuppets/proprietary_vendor_oneplus" path="vendor/oneplus" remote="github" />
- <project name="CyanogenMod/android_frameworks_opt_connectivity" path="frameworks/opt/connectivity" remote="github" revision="cm-11.0" />
- </manifest>
之后就可以開始同步Android代碼了
$ repo sync
注意，到這步之后不需要再get prebuilt了，因為我們用的是CM 12.1，老版本的CM才需要get prebuilt
之后就是編譯了(先不要修改內核，確保能夠編譯成功)，進入android/system文件夾
source build/envsetup.sh
使用CCACHE可以加快編譯速度，但會吃掉硬盤空間，為了速度推薦設置為50G到100G之間，非必須
export USE_CCACHE=1 prebuilts/misc/linux-x86/ccache/ccache -M 50G
之后就可以開始編譯了，bacon是設備名
$ croot $ brunch bacon
編譯成功后將會生成cm-12.1-20151127-UNOFFICIAL-bacon.zip，這個就是ROM的刷機包了。#p#
0x02 簡易的CM 12.1編譯環境及代碼
所有環境配置問題都可以用Woobuntu系統來解決，直接安裝Woobuntu后內部已經集成了Android編譯環境(包括adb)
代碼我給大家打包好了，27個G，解壓縮就好(已經把內核patch過了)，在Woobuntu中編譯命令如下：
tar -jxvf cm12_bacon_source.tar.bz2 cd android/system/ sudo su root source build/envsetup.sh export USE_CCACHE=1 prebuilts/misc/linux-x86/ccache/ccache -M 20G croot brunch bacon
簡單解釋一下，由于壓縮檔的文件屬主是我，而不是你，部分文件權限會有問題，所以建議直接root權限編譯(其實更優雅的方式是chown -R，只不過27個G代碼都來chown一遍實在受不了)，sudo時會要求輸入你的密碼，而我CCACHE只用了20G是因為我的硬盤實在太小，我最后親自從安裝Woobuntu開始測試了一遍，確認可以編譯成功。
簡而言之，這個簡化版本只需要你自己處理設備相關代碼就好了，比如說i9100g就只需要重新按照wiki設置breakfast i9100g和extract-files(如果網上能搜到更簡單的方式更好)，之后brunch i9100g即可。
0x03 修改Android內核
在修改Android內核時，我們需要交叉編譯ARM架構的代碼
cd到對應機型的kernel文件夾下，例如演示的oneplus內核目錄為 alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974
export ARCH=arm
之后在arch/arm/configs文件夾里面找到cm所用的defconfig，然后如下所示
make cyanogenmod_bacon_defconfig
之后就可以make menuconfig了
make menuconfig
然后就是根據Nethunter的github WIKI上的說明自由選擇驅動程序了，不過我只需要ATH9K的芯片驅動，所以直接在Device drivers -> Network device supports -> Wireless lan 里面選中Atheros Wireless Cards ，如果你使用其他芯片的無線網卡，請自己去選中對應的驅動程序
然后在networking support -> Wireless 里面把Generic IEEE 802.11 Networking Stack (mac80211) 選中
由于Oneplus自己默認選中了OTG驅動，如果您為別的機型編譯，請檢查device driver里面usb的otg選項有沒有選中
設置完畢后保存退出
make savedefconfig cp defconfig arch/arm/configs/cyanogenmod_bacon_defconfig make mrproper
您如果是第一次嘗試，可以重新編譯一遍CM看看有無錯誤，然后我們就可以開始patch內核了
wget http://patches.aircrack-ng.org/mac80211.compat08082009.wl_frag+ack_v1.patch patch -p1 < mac80211.compat08082009.wl_frag+ack_v1.patch
然后到https://github.com/pelya/android-keyboard-gadget里面尋找自己內核版本的patch，這里是3.4內核
wget https://raw.githubusercontent.com/pelya/android-keyboard-gadget/master/kernel-3.4.patch patch -p1 < kernel-3.4.patch
如果不出意外的話，這個patch一定會報錯，因為kernel代碼是不斷更新著的，不過別擔心，我們可以手動去patch
報錯：
alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974$ patch -p1 < kernel-3.4.patch patching file drivers/usb/gadget/Makefile patching file drivers/usb/gadget/android.c Hunk #1 succeeded at 75 (offset 1 line). Hunk #2 succeeded at 2192 with fuzz 2 (offset 101 lines). Hunk #3 FAILED at 2156. Hunk #4 FAILED at 2481. 2 out of 4 hunks FAILED -- saving rejects to file drivers/usb/gadget/android.c.rej patching file drivers/usb/gadget/f_hid.c Hunk #7 succeeded at 403 (offset -9 lines). Hunk #8 succeeded at 422 (offset -9 lines). Hunk #10 succeeded at 594 (offset -4 lines). Hunk #11 succeeded at 614 (offset -6 lines). Hunk #12 succeeded at 662 (offset -8 lines). Hunk #13 succeeded at 713 (offset -8 lines). patching file drivers/usb/gadget/f_hid.h patching file drivers/usb/gadget/f_hid_android_keyboard.c patching file drivers/usb/gadget/f_hid_android_mouse.c alkaid@alkaid-VirtualBox:~/android/system/kernel/oneplus/msm8974$
可以看到是android.c第3和第4處patch失敗，我們去手動patch
前兩處都已經patch成功了，所以跳過就好了
解釋一下：左邊是patch代碼，右邊是目前的android.c，patch的意思是要在&uasp_function,下面加一個&hid_function,，第四處也去找一下用大腦找到位置敲上代碼即可
然后就是重新編譯CM，然后生成的刷機包就是Nethunter超強定制內核的CM 12.1了
i9100g編譯時直接成功，而Oneplus則會報個錯，是跟usb驅動有關的，找到報錯位置代碼，然后發現是一個結構體還有一個函數在使用前沒有定義，于是我無比瀟灑地把這個調用函數的代碼!刪!掉!了!，經測試刪掉該代碼不影響手機正常功能，Nethunter功能也經過測試非常穩定。#p#
0x04 編譯Kali Nethunter的rootfs
在Kali Nethunter的github頁面內有詳細的說明，強烈建議在Kali中進行Nethunter的編譯
mkdir ~/arm-stuff cd ~/arm-stuff git clone https://github.com/offensive-security/gcc-arm-linux-gnueabihf-4.7 export PATH=${PATH}:/root/arm-stuff/gcc-arm-linux-gnueabihf-4.7/bin git clone https://github.com/offensive-security/kali-nethunter cd ~/arm-stuff/kali-nethunter ./build-deps.sh ./androidmenu.sh
在編譯時選擇僅編譯rootfs(因為我們要自己操心內核的事情了)
0x05 刷機測試
如果你不會刷機，請先百度一下如何正常刷機，比如unlock bootloader啦，TWRP啦，這些百度去吧
刷機順序為：先刷CyanogenMod，再刷Kali Nethunter的rootfs
下圖是在測試HID攻擊的i9100g
檢查各項功能：
檢查DriveDroid能否模擬USB光驅
檢查UsbKeyboard能否偽造鼠標和鍵盤設備
插上OTG和USB無線網卡，看看能不能使用Wifite破解無線密碼
0x06 可能遇到的問題
在移植至三星i9100g手機時，由于手機內存儲空間不夠大(Kali Nethunter刷機方式要求至少有2GB的可用空間)，因此一直刷機失敗，當終于定位到問題所在后，最終決定采用其他的方式加載Kali Nethunter的rootfs。首先把kali nethunter的rootfs編譯出來，然后做成一個img磁盤鏡像文件，之后把這個img文件放在sd卡中，動態掛載到/data/local/kali-armhf中，這樣就解決了內存儲空間不夠的問題
如果編譯內核出錯，您在debug的時候可以只編譯內核，toolchains在prebuilt文件夾里面，自己設置cross_compile變量吧(常見是把亂選的驅動清除掉，能解決絕大部分報錯)
0x07 后話
以后我們就可以開始玩耍Nethunter了，比如把整個WooyunWifi都移植到手機上，再做上離線劫持釣魚的功能……不過這些都是編譯完Nethunter之后的事情了
結尾圖片：在手機上的WooyunWifi，開啟了熱點用于釣魚
