KingRoot 一键 root 的技术原理——它是怎么做到不解锁 BL 就提权的

核心思路

KingRoot 的 root 流程可以用一句话概括：在不解锁 bootloader、不修改分区表的前提下，通过 Android 内核或系统服务的已知 exploit 漏洞，临时拿到内核级权限，再把 su 二进制写入 /system/xbin/ 或通过 overlayfs 挂载生效。

整个过程中设备不会刷入任何第三方 boot image，原厂 boot.img 保持不变。这也是为什么它被业内归类为 "non-flash root"——不走刷机流程。

打开 KingRoot 后，它会先读取设备的以下信息：

然后用这些参数去云端服务器（KingRoot 的 exploit 数据库）查询匹配的方案。每个方案对应一个或多个 CVE 漏洞编号以及一份针对该机型的 exploit payload。如果找到了匹配方案，就会显示"可以 root"；找不到则提示"暂不支持此设备"。

用户点击"尝试 root"后，KingRoot 会把云端下发的 exploit 代码推送到设备的临时目录（通常是 /data/local/tmp/），通过 JNI 调用 root shell 执行。常见的 exploit 类型：

exploit 执行成功后，设备会短暂进入一个已经拿到 root 权限的 shell 环境。

拿到临时 root shell 之后，KingRoot 要做的就是把 su 二进制（一个体积很小的 native 程序）放到系统能找到的路径上，常见位置：

su 二进制就位后，还需要：

全部完成后 KingRoot 会提示重启。重启后如果 su 二进制和 KingUser 都正常加载，root 权限就稳定了——这是永久 root。如果重启后 root 权限消失，说明 exploit 只做了临时提权，这是临时 root（部分厂商在系统层面封堵了持久化路径）。

Android 版本	2.3 - 4.x	5.0 - 6.0	7.0 - 8.x	9.0+
KingRoot 成功率	很高	中高	中低	极低
主要原因	漏洞多、厂商管得松	厂商开始封堵	内核加固、PTMX	SELinux + AVB + 补丁

Android 7.0 之后 Google 引入了 Verified Boot（AVB）、PTMX 内核保护结构，加上厂商（华为、小米、三星）每月推送安全补丁，很多 KingRoot 利用的老漏洞已经被系统性封堵。

Magisk：走"修改 boot.img → fastboot 刷入 → 注入 su"的路线，需要解锁 bootloader。优点是能隐藏 root 状态、模块生态丰富；缺点是步骤多。
KingRoot：走"内存 exploit + su 注入"，不需要解锁 bootloader。优点是一键；缺点是只能在老机型上成功、自带 KingUser 有广告。