安卓/手游逆向交流群963612891

先直接看这个so库:

拖入IDA静态看一下:发现看不到什么信息,原因很简单,因为被处理了;

怎么办呢?通过010进行对so简单修改:
拖入IDA,使用ELF.b进行识别:

识别效果:

头里面描述了有关节的信息:

先修改节的偏移:

这个三个:

保存之后,然后继续拖入IDA:发现没报异常,可以识别一些东西:

为什么这样就能成功呢?因为我们把节有关的信息去除之后,他开始解析段的信息;
看导出函数列表,发现函数名称也是被处理过的,但是JNI_Load还是可以看到的:

双击过来,还是可以看到一些信息的;

ctrl+S ,来到这里,看一下:

点击sub_1AD8:发现也没什么信息~

直接F5,看JNI_Load的信息:

修改一下参数:

点进去看一下下面的那个函数也看不出来什么;

双击进去后
继续跟
发现是一个switch循环;

F5一下:

分支挺长的,看不出来啥;直接动态分析;

这个函数的分析,同样的在open函数下断:
F9之后,加载进来这个so:

linker处下断:

libdvm下断:

F9后,linker处断下:

F7进去,发现没什么;

继续F9linker断下,然后F7:

F7往下走,发现有个函数:

进入后来到libdvm.so,与getenv有关;

回来后,继续F7,这里有个函数:

F7进去:往下跟:

过来后:

F7往下,这里有个函数,

进去:F7往下,发现这里是一个循环:一直比较R2和R3的值;

F4后F7往下走,来到了跳转表这里:

继续F7往下,来到了case26分支:

一路F7往下,这里有一个BLX函数:

F7往下,同步R1寄存器;发现有关键字眼;

再往下是一个循环,同时同步R3寄存器,是在解密字符串:

再往下,又一个亦或循环:通过R2寄存器

继续F7,

继续F8往下:来到这里:

继续F7往下;这里是一个循环,一直在读取,然后一直比较R0的值;

如果这里BEQ相等的话,就会直接跳到这里:

上面的是从linker到JNI_Load,说明在linker里面没有进行操作,所以,可以换一种,直接在libdvm哪里找到JNI_onload也行;

重新使用一种方法,使用open函数,往上回溯;
跳到open函数, 然后F2下断,然后F9运行,然后Ctrl+F7回溯:
同步R0窗口,出现这个,说明在遍历tracepid,

继续回溯:

继续回溯:

为什么之前又一次运行道这里程序就崩溃了?
原因是程序此时R0寄存器的值:

这个值什么意思?
我们先把4A24转化成10进制:‭18980‬
执行一个adb命令:这个就是当前as的进程;说明他当前已经检测到我们在调试该程序;

所以我们需要把这个反调试干掉:

也就是说,case26就是反调试的分支;

改了之后继续往上回溯:

继续回溯,此时来到这个位置;

继续 往上回溯:
此时R0和0进行比较,此时R0的值依然是as的进程号;

如果不相等,就跳转到这里

点进去,发现是kill:

会来,往上p一下,是一个函数,

进去:p一下:
明显和这个就是反调试的逻辑,这个分支代码比较多;

我们怎么修改呢,只需要让这个函数返回固定的值即可;
修改代码之前,先把这里置零;

同步一下反汇编窗口,点击前面的这里会显示下面对应的十六进制:

这个是arm指令,
执修改指令:第一条:

选取后8位,F2进行修改:

继续修改第二条:

修改后效果:

过掉反调试后,在mmap处下断:mmap尾部处也下一个断点;

好,F9运行程序:使其在mmap处函数段下来;

这里mmap如何查看呢?至二级F9运行到mmap函数尾部,然后F7进去下一步,就是不同的函数调用的地方、遇到libdvm.so的不用管,h直接F9继续在mmap处蹲下,只观察jiagu.so;

注意在mmap处的操作:不能直接F9从头部执行尾部断下,要单步跟一下,即将进去的so也要单步跟一半,然后在F9;
继续执行上面操作首先会在这里出现apk信息:

继续操作,出现了这个:

继续:下面R0窗口出现了dey036;

继续操作,这里出现了与dex有关的信息:

看他地址,我们来到他的区间:

过来后,这几就是他解密后的dex

这里是这个dex文件的大小:

知道起始地址和大小后,使用脚本:

dump可能需要时间;

也就是说,出现相关dex文件的时候,如果没有出现太多信息,我们可以ctrl+s查看模块信息,一般他会把dex相关信息放到其他区域;

一般会把解密后的dex放到内存里面,比如这个是放在debug里面:

好,找到dump出来的文件;

拖入jdax,这就是一些相关的代码;

点看看一下相关的逻辑,发现都有,说明脱壳挺成功的;

技术
©2019-2020 Toolsou All rights reserved,
人工智能算法总结2年前出厂的小天才电话手表无法使用 联通:2G网已关闭Fiddler模拟请求发送和修改响应数据使用mt-range实现一个数字随着滑动杆变化的效果vue 获取el-select选中项的label值Vue 中获取下拉框的文本及选项值airflow问题系列2 —— task保持running假死状态 艾伟也谈项目管理,基层管理杂谈Python 读取Excel某一列|转存jsonLED 滚动文字