首页 > 影音图像 > android某加固脱壳(一)
2015
11-12

android某加固脱壳(一)

先来一张图对比下:加固前和脱壳后的dex文件比对:


android某加固脱壳(一) - 第1张  | 大白的小窝对比结果发现:将原有的dex文件头抹除,保留其它区段。将一个新的将“壳”的dex文件放到抹除文件头部分,在修复dex文件校检相关参数。(没仔细研究这个壳给出的步骤直接从Ida中拿到修复后的文件。)

具体操作过程:

  1. 首先查看:lib/armeabi/或x86文件夹下多了一个so文件libshella-0.0.0.so或libshellx-0.0.0.so:拖入Ida进行分析。发现so文件竟然没被处理过。。。
    android某加固脱壳(一) - 第2张  | 大白的小窝
  2. 具体分析思路略去,shift+F12查看字符,ctrl+f搜索字符串“classes.dex”(可下断点的地方有很多,这里选择classes.dex的地方)。
    android某加固脱壳(一) - 第3张  | 大白的小窝
  3. 附加到进程上去:首先debug模式打开进程:adb shell am start -D -n 包名/入口
    然后执行以下命令:
    adb shell su -c /data/local/tmp/android_server
    adb forward tcp:23946 tcp:23946
    转发
    adb forward tcp:8899 jdwp:5205
    第五:在执行此命令之前Ida要已经附加进程上去:
    jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8899
  4. 中间可能会有几次异常直接pass掉就行:我们来到了断点出 查看R0寄存器:
    android某加固脱壳(一) - 第4张  | 大白的小窝
  5. 此时F5 可以看到如下:图中sub_5F4EB0B0((int)&v46, (int)&s, 0x70u, 32);函数即为解密函数:有兴趣的可以跟进去看看。这里跳过此步骤。
    android某加固脱壳(一) - 第5张  | 大白的小窝
  6. 走玩解密步骤后任意地方即可dump(下面演示一个地方:)
    android某加固脱壳(一) - 第6张  | 大白的小窝

ok 某加固到此一在内存中dex文件头修复完成 然后再dump。

最后编辑:
作者:xiaowu
这个作者貌似有点懒,什么都没有留下。

android某加固脱壳(一)》有 1 条评论

  1. bateer 说:

    从百度点进来的,支持一下

留下一个回复

你的email不会被公开。