搜索

[27774] 2020-07-20_《来自高纬的对抗：定制安卓内核过反调试》

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-07-20_《来自高纬的对抗：定制安卓内核过反调试》 《 来 自 高 纬 的 对 抗 ： 定 制 安 卓 内 核 过 反 调 试 》 原 创   r 0 y s u e   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 7 - 2 0 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 以 上 文 章 由 作 者 【 r 0 y s u e 】 的 连 载 有 赏 投 稿 ， 共 有 五 篇 ， 本 文 为 第 四 篇 ； 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章 《 来 自 高 纬 的 对 抗 ： 定 制 安 卓 内 核 过 反 调 试 》 传 统 的 反 调 试 及 绕 过 反 调 试 的 实 现 原 理 用 来 反 反 调 试 安 卓 内 核 编 译 流 程 源 码 中 的 内 核 文 件 下 载 内 核 源 码 查 看 手 机 中 系 统 的 内 核 版 本 设 置 编 译 环 境 开 始 编 译 并 处 理 报 错 重 新 生 成 刷 机 镜 像 修 改 内 核 源 码 源 码 修 改 效 果 展 示 进 一 步 反 反 反 调 试 首 先 强 调 一 下 ， 反 调 试 种 类 非 常 多 ， 比 如 这 里 有 一 篇 《 【 S O 壳 】 1 7 种 安 卓 n a t i v e 反 调 试 收 集 》 。 本 文 所 介 绍 的 检 测 点 仅 为 诸 多 检 测 点 中 的 一 种 ， 意 在 抛 砖 引 玉 ， 旨 在 介 绍 通 过 修 改 内 核 源 码 、 重 新 从 源 码 编 译 安 卓 内 核 ， 将 内 核 打 包 进 刷 机 包 并 刷 入 手 机 ， 从 而 实 现 特 定 功 能 的 完 整 流 程 。 在 本 文 中 ， 这 个 特 定 功 能 在 本 文 中 就 是 指 实 现 T r a c e r P i d F r i d a t r a c e r p i d t r a c e r p i d
检 测 点 的 。 而 且 其 实 绕 过 该 检 测 点 的 方 法 也 比 较 多 ： 比 如 最 基 本 的 找 到 检 测 的 代 码 ， 其 指 令 ； 但 是 难 点 也 正 是 如 果 该 加 了 较 强 的 混 淆 ， 会 难 以 找 到 代 码 的 位 置 ， 强 混 淆 有 多 麻 烦 大 家 都 懂 ； 或 者 对 文 件 加 了 校 验 ， 直 接 文 件 会 导 致 校 验 失 败 进 入 退 出 流 程 。 比 如 通 过 ， 下 文 会 介 绍 一 种 来 绕 过 检 测 的 方 法 ， 使 其 读 取 的 状 态 返 回 ； 但 是 缺 点 也 非 常 明 显 ， 首 先 如 果 对 框 架 做 了 检 测 ， 那 么 首 先 得 要 先 过 框 架 的 反 调 试 ， 非 常 麻 烦 ； 或 者 说 如 果 检 测 的 代 码 是 绕 过 ， 而 是 通 过 软 中 断 直 接 执 行 的 话 ， 这 种 检 测 也 会 失 效 ， 而 且 从 用 户 层 是 永 远 无 法 直 接 系 统 调 用 的 。 怎 样 才 能 系 统 调 用 呢 ？ 最 直 截 了 当 的 做 法 就 是 把 代 码 注 入 到 内 核 空 间 去 ， 覆 盖 原 先 的 内 核 函 数 执 行 流 程 ， 只 是 如 果 使 用 的 是 常 规 安 卓 发 行 版 的 话 ， 为 了 保 护 内 核 安 全 ， 默 认 的 内 核 是 带 参 数 编 译 的 ， 不 允 许 将 代 码 注 入 到 标 记 为 只 读 的 内 存 空 间 去 ， 这 条 路 是 行 不 通 的 。 只 有 自 己 编 译 内 核 ， 移 除 掉 这 个 参 数 重 新 编 译 并 替 代 原 来 的 内 核 来 刷 机 ， 才 能 进 行 系 统 调 用 的 。 等 等 ， 如 果 都 重 新 编 译 内 核 了 ， 那 么 直 接 修 改 相 关 代 码 ， 使 其 永 远 返 回 ， 不 就 可 以 一 劳 永 逸 ， 省 去 系 统 调 用 的 环 节 了 么 ？ 答 案 是 肯 定 的 。 t r a c e r p i d b y p a s s p a t c h a r m s o s o p a t c h h o o k f r i d a   h o o k   n a t i v e t r a c e r p i d 0 h o o k l i b c S V C s y s c a l l h o o k h o o k h o o k C O N F I G _ S T R I C T _ M E M O R Y _ R W X h o o k t r a c e r p i d 0 h o o k
接 下 来 实 际 动 手 实 现 一 下 ， 本 文 最 后 编 译 成 功 打 包 刷 机 的 反 调 试 镜 像 ， 也 放 在 ： w w w . g i t h u b . c o m / r 0 y s u e / A n d r o i d S e c u r i t y S t u d y 上 的 百 度 网 盘 中 了 ， 文 件 名 为 ， 欢 迎 取 用 。 传 统 的 传 统 的 反 调 试 及 绕 过 反 调 试 及 绕 过 反 调 试 的 实 现 原 理 反 调 试 的 实 现 原 理 正 常 状 态 下 ， 查 看 某 个 进 程 的 状 态 ， 字 段 为 。 当 使 用 附 加 上 该 进 程 之 后 ， T r a c e r P i d G i t h u b p i x e l _ a o s p 8 . 1 . 0 _ A n t i D e b u g C u s t o m K e r n e l _ a n t i P t r a c e / s a i l f i s h - o p m 1 . 1 7 1 0 1 9 . 0 1 1 - f a c t o r y - 5 6 d 1 5 3 5 0 . a o s p 8 1 0 r 1 a n t i P t r a c e C u s t o m K e r n e l . z i p T r a c e r P i d P I D T r a c e r P i d 0 I D A T a c e r P i d
字 段 会 变 成 调 试 进 程 的 ， 这 里 也 就 是 的 。 也 就 是 说 ， 只 要 读 取 字 段 ， 如 果 发 现 不 为 ， 说 明 正 在 被 调 试 ， 杀 死 自 己 、 结 束 进 程 即 可 。 代 码 来 自 于 ： h t t p s : / / g i t h u b . c o m / g n a i x x / a n t i - d e b u P I D I D A P I D T r a c e r P i d 0
v o i d   t a r c e _ p i d ( c h a r *   p a t h ) {         c h a r   b u f [ B U F F _ L E N ] ;         F I L E   * f p ;         i n t   t r a c e _ p i d   =   0 ;         f p   =   f o p e n ( p a t h ,   " r " ) ;         i f   ( f p   = =   N U L L )   {                 L O G E ( " s t a t u s   o p e n   f a i l e d : [ e r r o r : % d ,   d e s c : % s ] " ,   e r r n o ,   s t r e r r o r ( e r r n o ) ) ;                 r e t u r n ;         }         w h i l e   ( f g e t s ( b u f ,   B U F F _ L E N ,   f p ) )   {                 i f   ( s t r s t r ( b u f ,   " T r a c e r P i d " ) )   {                         c h a r   * s t r o k _ r P t r ,   * t e m p ;                         t e m p   =   s t r t o k _ r ( b u f ,   " : " ,   & s t r o k _ r P t r ) ;                         t e m p   =   s t r t o k _ r ( N U L L ,   " : " ,   & s t r o k _ r P t r ) ;                         t r a c e _ p i d   =   a t o i ( t e m p ) ;                         L O G D ( " % s ,   T a r c e P i d : % d " ,   p a t h ,   t r a c e _ p i d ) ;                 }         }         f c l o s e ( f p ) ;         r e t u r n ; } J N I E X P O R T   v o i d   t a r c e _ p i d _ m o n i t o r ( ) {         L O G D ( " t a r c e _ p i d _ m o n i t o r " ) ;         i n t   p i d   =   g e t p i d ( ) ;         c h a r   p a t h [ B U F F _ L E N ] ;         s p r i n t f ( p a t h ,   " / p r o c / % d / s t a t u s " ,   p i d ) ;         t a r c e _ p i d ( p a t h ) ;         s p r i n t f ( p a t h ,   " / p r o c / % d / t a s k / % d / s t a t u s " ,   p i d ,   p i d ) ;         t a r c e _ p i d ( p a t h ) ; } 用 用 来 反 反 调 试 来 反 反 调 试 在 上 述 代 码 中 最 核 心 的 是 ， 在 下 一 句 则 判 断 遍 历 得 到 中 是 否 包 含 字 符 串 ， 所 以 我 们 可 以 用 来 这 个 函 数 ， 预 先 判 断 下 中 有 没 有 字 符 串 ， 有 的 话 则 将 其 内 容 替 换 成 。 这 样 既 可 绕 过 的 判 断 ， 实 现 反 反 调 试 。 v a r   a n t i _ f g e t s   =   f u n c t i o n   ( )   {         / / 找 到 f g e t s 符 号 地 址         v a r   f g e t s P t r   =   M o d u l e . f i n d E x p o r t B y N a m e ( " l i b c . s o " ,   " f g e t s " ) ;         / / 定 义 主 动 调 用         v a r   f g e t s   =   n e w   N a t i v e F u n c t i o n ( f g e t s P t r ,   ' p o i n t e r ' ,   [ ' p o i n t e r ' ,   ' i n t ' ,   ' p o i n t e r ' ] ) ;         / / h o o k 住 该 符 号 ， 替 换 参 数         I n t e r c e p t o r . r e p l a c e ( f g e t s P t r ,   n e w   N a t i v e C a l l b a c k ( f u n c t i o n   ( b u f f e r ,   s i z e ,   f p )   {                 / / 保 存 原 始 的 返 回 值                 v a r   r e t v a l   =   f g e t s ( b u f f e r ,   s i z e ,   f p ) ;                 / / 判 断 b u f f e r 中 是 否 存 在 " T r a c e r P i d : " ， 有 则 将 其 值 替 换 为 " T r a c e r P i d : t 0 " ， 无 则 不 作 任 何 行 动                 v a r   b u f s t r   =   M e m o r y . r e a d U t f 8 S t r i n g ( b u f f e r ) ;                 i f   ( b u f s t r . i n d e x O f ( " T r a c e r P i d : " )   >   - 1 )   {                         M e m o r y . w r i t e U t f 8 S t r i n g ( b u f f e r ,   " T r a c e r P i d : t 0 " ) ;                 }                 r e t u r n   r e t v a l ;         } ,   ' p o i n t e r ' ,   [ ' p o i n t e r ' ,   ' i n t ' ,   ' p o i n t e r ' ] ) ) ; } ; 这 是 使 用 进 行 绕 过 的 方 式 ， 当 然 其 实 也 可 以 使 用 、 F r i d a f g e t s ( b u f ,   B U F F _ L E N ,   f p ) b u f " T r a c e r P i d " F r i d a h o o k b u f " T r a c e r P i d " " T r a c e r P i d : t 0 " i f   ( s t r s t r ( b u f ,   " T r a c e r P i d " ) ) F r i d a C y d i a S u b s t r a t e h o o k z z
等 层 框 架 均 可 ， 只 是 最 为 方 便 而 已 。 其 弊 端 也 很 明 显 ， 那 就 是 如 果 针 对 也 做 了 反 调 试 的 话 ， 那 么 就 跑 不 起 来 了 ， 还 得 先 去 解 决 的 反 调 试 。 或 者 反 调 试 代 码 中 没 有 采 用 ， 而 是 用 的 内 联 汇 编 直 接 调 用 的 方 式 ， 用 再 去 勾 住 也 是 白 搭 。 当 然 如 果 对 文 件 进 行 搜 索 和 枚 举 ， 找 到 指 令 的 位 置 然 后 硬 编 码 修 改 执 行 流 程 从 而 改 变 运 行 流 程 可 以 绕 过 这 种 检 测 方 式 ， 但 如 果 在 其 他 地 方 对 又 进 行 了 文 件 完 整 性 校 验 的 话 ， 事 情 又 变 得 复 杂 起 来 。 所 以 说 ， 在 应 用 层 的 对 抗 会 非 常 复 杂 ， 但 如 果 下 沉 到 内 核 层 ， 一 切 将 变 得 简 单 起 来 。 可 以 通 过 修 改 内 核 源 码 ， 更 改 内 核 的 机 制 设 定 ， 使 得 这 个 值 ， 不 管 有 没 有 被 调 试 ， 都 永 远 为 。 安 卓 内 核 编 译 流 程 安 卓 内 核 编 译 流 程 在 这 里 我 们 以 谷 歌 手 机 的 安 卓 版 本 为 例 ， 来 介 绍 编 译 和 替 换 内 核 的 方 法 。 然 后 再 进 行 内 核 源 码 的 修 改 ， 再 次 编 译 和 替 换 即 可 。 首 先 编 译 原 版 的 流 程 就 不 介 绍 了 ， 可 以 参 照 本 系 列 的 第 一 篇 《 来 自 高 纬 的 对 抗 ： 定 制 A R T 解 释 器 脱 所 有 一 二 代 壳 》 或 者 我 的 另 一 篇 文 章 《 2 0 2 0 年 安 卓 源 码 编 译 指 南 及 F A R T 脱 壳 机 谷 歌 全 设 备 镜 像 发 布 》 来 进 行 编 译 。 n a t i v e h o o k F r i d a F r i d a F r i d a F r i d a f g e t s S V C s y s c a l l F r i d a f g e t s s o S V C h a r d   c o d e s o T r a c e r P i d 0 P i x e l ( s a i l f i s h ) A O S P 8 . 1 . 0 _ r 1 A O S P 8 . 1 . 0 _ r 1
编 译 完 成 后 ， 直 接 刷 入 手 机 中 即 可 正 常 工 作 ， 那 么 说 明 最 终 的 刷 机 包 中 ， 是 包 含 着 内 核 文 件 的 ， 其 实 我 们 可 以 直 接 在 源 码 包 中 ， 找 到 这 些 内 核 文 件 。 源 码 中 的 内 核 文 件 源 码 中 的 内 核 文 件 这 些 格 式 结 尾 的 内 核 文 件 位 于 目 录 下 ： 的 一 代 有 两 个 版 本 ， 分 别 是 和 ， 二 者 共 用 的 内 核 。 二 代 也 有 两 个 版 本 ， 分 别 是 和 ， 二 者 共 用 A O S P d t b a o s p 8 1 0 r 1 / d e v i c e p i x e l s a i l f i s h m a r l i n m a r l i n p i x e l w a l l e y e w a h o o
的 内 核 ， 他 们 的 版 本 号 和 对 应 关 系 ， 在 谷 歌 官 方 的 B u i l d i n g   K e r n e l s 网 站 上 有 明 确 的 记 载 ： 但 是 仅 仅 按 照 官 网 的 流 程 来 实 践 ， 并 不 能 实 验 成 功 ， 还 是 得 多 方 参 考 ， 比 如 笔 者 就 参 考 了 多 篇 文 章 ： 《 记 一 次 安 卓 内 核 源 码 编 译 刷 机 过 程 ( 修 改 反 调 试 标 志 位 ) 》 《 N e x u s 6 P   7 . 1 . 2   内 核 编 译 修 改   T r a c e r P i d   》 《 安 卓 源 码 + 内 核 修 改 编 译 ( 修 改 内 核 调 试 标 志 绕 过 反 调 试 ) 》 《 编 译 l i b c . s o 过 t i m e 函 数 反 调 试 》 经 过 多 方 实 践 和 总 结 ， 最 终 摸 索 出 一 条 可 以 实 践 的 、 稳 定 复 现 也 能 一 直 成 功 的 方 法 ， 在 这 里 跟 大 家 分 享 。 下 载 内 核 源 码 下 载 内 核 源 码 首 先 我 们 肯 定 是 要 下 载 内 核 源 码 ， 内 核 源 码 其 实 是 一 个 跟 源 码 相 互 独 立 的 文 件 夹 ， 可 疑 哪 怕 完 全 单 独 编 译 都 没 有 关 系 ， 当 然 我 们 也 可 以 放 在 文 件 夹 中 。 同 时 下 载 源 码 也 有 两 个 选 择 ， 可 以 选 择 国 内 的 清 华 镜 像 ， 也 可 以 是 谷 歌 官 方 源 ( 需 要 科 学 上 网 ) 。 最 终 下 载 完 成 后 ， 大 概 大 小 为 左 右 。 下 载 完 成 后 进 入 目 录 。 w a h o o a o s p a o s p 8 1 0 r 1 / k e n e r l / /   清 华 #   g i t   c l o n e   h t t p s : / / a o s p . t u n a . t s i n g h u a . e d u . c n / a n d r o i d / k e r n e l / m s m . g i t / /   谷 歌 #   g i t   c l o n e   h t t p s : / / a n d r o i d . g o o g l e s o u r c e . c o m / k e r n e l / m s m . g i t 1 . 5 G m s m #   c d   m s m         / / 进 入 m s m 工 程 目 录
可 以 发 现 里 面 是 空 的 ， 我 们 需 要 知 道 想 要 编 译 的 内 核 的 版 本 ， 然 后 检 出 那 个 版 本 。 查 看 手 机 中 系 统 的 内 核 版 本 查 看 手 机 中 系 统 的 内 核 版 本 可 以 看 手 机 中 进 入 手 机 设 置 → 系 统 → 关 于 手 机 → 内 核 版 本 来 查 看 。
也 可 以 进 入 手 机 终 端 ， 运 行 切 换 到 权 限 下 ， 使 用 查 看 手 机 版 本 ， 可 以 看 到 与 手 机 中 看 到 的 版 本 是 一 致 的 ， a d b s u r o o t c a t / p r o c / v e r s i o n g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理