仅用Android手机拯救Linux主机，带你深入了解USB Gadget

1.1 拦路虎#

首先，绝对不是你想的「把数据线一接，然后打开 Gboard 就能输入」这么简单。
USB 协议有严格的主从关系，你插上主机后，大概率是被主机作为要被调试的设备，而不是反过去调试主机。
再者就是 BadUSB 风险，这里简单过一下基本知识

BadUSB

BadUSB是最经典的攻击手段之一，USB 协议有一个信任漏洞，主机会无条件信任设备对自己身份的声明，你说你是键盘他就会相信，没有额外的校验过程。一个简单的 BadUSB 攻击过程如下

1. 将攻击设备插入主机
2. 攻击设备向主机声明他是 U 盘，主机信任并加载
3. 攻击设备主动断开连接，并以 HID 的声明重新连接，主机并不会校验他到底是不是键盘，会直接加载驱动，无任何防备接受一切来自此设备的输入
4. 攻击设备开始向主机注入命令（如启动 powershell 下载木马），而在主机看来，这可能是一个打字飞快的人类，所以不会有任何阻拦

这和你的 android 手机又有什么关系？

如果你的 android 设备有完整的USB Gadget权限，他就能变成 OURWORLD 里最强大最隐蔽的 BadUSB，谁会怀疑一个毫无威胁的正在充电的手机呢？ 你可以使用 Termux 写攻击脚本来对目标设备注入，对方以为你在充电，实则模拟成键盘，甚至 USB 网卡劫持流量来发起中间人攻击，NetHunter就是一个专门为 Android 设备定制的渗透用 rom，可以随意控制手机 USB 接口，伪装成各种设备

OEM 厂商 Google Android 社区都明白，对于这么巨大的安全隐患，做决策就非常简单了，直接砍掉
因为对于普通消费者来说，他们用 USB 传输顶多就是互传照片文件和网络共享，直接干掉 Gadget 无疑是 OEM 厂商的必然选择，风险实在过于严重

那么，我是如何让 Android 设备成功模拟成 HID 对 Ubuntu 进行输入的呢

2.1 内核提供蓝图 而不是成品#

1
Where sysfs is a filesystem-based view of kernel objects, configfs is a filesystem-based manager of kernel objects

也就是说，sysfs 是让你看内核已经创建好的东西（比如你的 CPU 温度），而 configfs 是让你要求内核为你创建新的东西。 当 Android 内核被编译时，开启了 CONFIG_USB_GADGET 和 CONFIG_USB_HID 选项后，内核并不会立刻创建一个 USB 键盘设备。它只是在 /config/usb_gadget/ 目录下，准备好了基础工具，等着你来超级拼装

2.2 mkdir#

1
A configfs config_item is created via an explicit userspace operation: mkdir(2).

你在 configfs 里每创建一个目录，就等于在调用一个内核函数

比如

1
mkdir /config/usb_gadget/g1

• 这个命令执行时，configfs会通知 USB Gadget：用户想创建一个新的 Gadget 实例 g1
• 内核模块后在内存里分配了一块空间，用来描述这个即将被创建的 USB 设备

2.3 目录与文件#

1
The item's attributes will also appear at this time.

mkdir 成功后，内核会立刻在这个新目录里，为你生成一堆配置文件，这些文件就是这个新对象的可配置属性

比如我们 mkdir g1 之后，ls /config/usb_gadget/g1 可能会看到类似这样的东西：

1
idVendor     # 厂商 ID
2
idProduct    # 产品 ID
3
strings/     # 各种字符串描述，比如厂商名
4
functions/   # 定义了这个 Gadget 能扮演什么设备
5
configs/     # 具体的 USB 配置绑定
6
UDC          # 把配置好的 Gadget 绑定到物理 USB 控制器上

2.4 写入配置#

1
write(2) can store new values.

也就是你用 echo 往这些属性文件里写东西，就等于在设置内核里那个对象的参数

比如让它模拟成键盘

1
mkdir /config/usb_gadget/g1/functions/hid.usb0
2

3
# 配置参数
4
echo "..." > /config/usb_gadget/g1/functions/hid.usb0/report_desc
5

6
# 创建一个 USB 配置，绑定键盘功能
7
mkdir /config/usb_gadget/g1/configs/c.1
8
ln -s /config/usb_gadget/g1/functions/hid.usb0 /config/usb_gadget/g1/configs/c.1

2.5 激活#

1
[configfs handles] the filesystem representation... allowing the subsystem to ignore all but the basic show/store interaction.

内核模块本身不关心你是怎么创建和配置的，它只在最后一步，等待激活

例

1
# 找到你手机的 USB 控制器名称 ( 比如 a12345.dwc3)，然后把它写入 UDC 文件
2
echo "a12345.dwc3" > /config/usb_gadget/g1/UDC

当 UDC 文件被写入时，内核的 USB Gadget 模块会收到一个 Commit 信号
它会读取你刚才在 g1 目录下做的所有配置，把它们组装成一个完整的 USB 设备描述符
然后，它会命令物理 USB 控制器断开当前的连接，并以键盘身份重新连接到主机

这样，就完成了 Android 设备模拟成键盘输入设备的操作。