钱庄

最近部分用户反馈打不开 Kotak Neo，研究后发现，其实是检测到了 LSPosed。

检测方法弱智且有效：LSPosed 为了确保日志记录成功，会启动一个 watchdog thread，重置一些系统属性，从而确保有足够的日志缓冲区。

问题在于，重置 prop 的条件写的过于宽泛，导致一些并不常见的 prop（如 persist.log.tag.crash 和 persist.log.tag）也被赋值。虽然这些 prop 在正常设备中完全可能存在，但出现的概率很低。因此，若这几个 prop 同时存在，基本可以认定为安装了 LSPosed。

https://github.com/LSPosed/LSPosed/blob/master/daemon%2Fsrc%2Fmain%2Fjni%2Flogcat.cpp#L266-L270

GitHub

LSPosed/daemon/src/main/jni/logcat.cpp at master · LSPosed/LSPosed

LSPosed Framework. Contribute to LSPosed/LSPosed development by creating an account on GitHub.

www.tgoop.com/qianqianzhuang/69

5.1K views钱钱, edited  Aug 21 at 02:46

最近部分用户反馈打不开 Kotak Neo，研究后发现，其实是检测到了 LSPosed。

检测方法弱智且有效：LSPosed 为了确保日志记录成功，会启动一个 watchdog thread，重置一些系统属性，从而确保有足够的日志缓冲区。

问题在于，重置 prop 的条件写的过于宽泛，导致一些并不常见的 prop（如 persist.log.tag.crash 和 persist.log.tag）也被赋值。虽然这些 prop 在正常设备中完全可能存在，但出现的概率很低。因此，若这几个 prop 同时存在，基本可以认定为安装了 LSPosed。

https://github.com/LSPosed/LSPosed/blob/master/daemon%2Fsrc%2Fmain%2Fjni%2Flogcat.cpp#L266-L270

BY 钱庄