搜索

[12818] 2018-06-12_借你一双慧眼，鸟瞰二进制世界的秘密

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-06-12_借你一双慧眼，鸟瞰二进制世界的秘密 借 你 一 双 慧 眼 ， 鸟 瞰 二 进 制 世 界 的 秘 密 原 创   a n d r o i d d o n g j i a n   F r e e B u f   2 0 1 8 - 0 6 - 1 2 零 零 本 文 介 绍 了 一 款 用 以 提 升 逆 向 效 率 的 ， 可 在 真 机 上 查 看 二 进 制 代 码 运 行 逻 辑 信 息 的 小 工 具 。 本 文 介 绍 了 一 款 用 以 提 升 逆 向 效 率 的 ， 可 在 真 机 上 查 看 二 进 制 代 码 运 行 逻 辑 信 息 的 小 工 具 。 一 一 由 于 J a v a 世 界 的 特 性 所 致 ， 安 卓 应 用 在 代 码 自 身 保 护 方 面 一 直 乏 善 可 陈 。 所 谓 的 J a v a 混 淆 等 技 术 ， 也 不 过 是 一 层 簿 簿 的 面 纱 ， 极 易 被 撕 开 ， 毫 无 秘 密 可 言 。 所 以 ， 当 前 也 没 有 谁 敢 拿 “ 面 纱 ” 作 为 唯 一 保 护 措 施 。 既 然 J a v a 世 界 无 险 可 守 ， 大 家 只 好 纷 纷 往 底 层 退 守 ， 进 入 所 谓 的 “ 二 进 制 世 界 ” 。 在 二 进 制 世 界 里 ， 使 用 机 器 码 （ m a c h i n e c o d e ） 与 底 层 硬 件 和 操 作 系 统 直 接 沟 通 ， 可 用 的 技 术 和 技 巧 变 得 相 当 丰 富 ， 保 护 力 度 也 远 超 J a v a 世 界 。 与 其 它 系 统 不 大 一 样 ， 安 卓 系 统 的 功 能 多 以 J a v a 语 言 接 口 对 外 提 供 。 虽 然 也 提 供 N D K 模 式 ， 允 许 使 用 J N I 方 式 与 安 卓 系 统 交 互 ， 然 而 毕 竟 没 有 使 用 J a v a 语 言 那 么 直 接 方 便 。 所 以 很 多 应 用 的 数 字 财 产 — — 数 据 和 运 行 逻 辑 ， 依 旧 保 留 在 J a v a 世 界 。 因 而 ， 为 安 全 起 见 ， 有 必 要 把 这 些 “ 财 产 ” 迁 移 至 二 进 制 世 界 ， 各 种 安 卓 应 用 加 密 或 加 固 方 案 借 此 机 会 如 雨 后 春 笋 般 诞 生 。 在 加 固 技 术 上 ， 从 整 体 d e x 文 件 到 c l a s s 或 m e t h o d ， 再 到 D a l v i k 指 令 ， 加 密 粒 度 不 断 变 小 ， 安 全 性 也 得 以 持 续 提 升 。 把 D a l v i k 指 令 集 等 价 替 换 成 为 私 有 指 令 集 ， 运 行 时 解 释 私 有 指 令 ， 并 通 过 J N I 方 式 执 行 ， 这 种 技 术 在 目 前 普 遍 流 行 。 商 业 上 多 称 之 为 V M P （ 虚 拟 机 保 护 ） ， 不 过 我 个 人 倒 觉 得 若 按 技 术 分 类 ， 归 为 模 拟 器 （ E m u l a t o r ） 更 为 合 适 。 二 二 “ 源 码 面 前 ， 了 无 秘 密 ” 。 当 然 ， 在 逆 向 工 程 师 眼 里 ， 即 使 只 有 目 标 代 码 ， 也 能 探 个 究 竟 。 所 谓 攻 防 一 体 ， 简 单 介 绍 常 见 的 逆 向 思 路 与 对 抗 措 施 。 首 先 就 是 静 态 分 析 。 使 用 反 汇 编 工 具 把 目 标 代 码 转 换 为 汇 编 代 码 ， 甚 至 变 成 可 读 性 更 强 的 C 代 码 。 因 此 ， 合 格 的 加 固 方 案 必 须 拥 有 反 反 汇 编 特 性 。 清 除 各 种 符 号 （ S y m b o l ） 、 加 密 字 符 串 等 是 例 行 操 作 。 去 除 E L F 文 件 的 S e c t i o n   H e a d e r s 是 一 个 常 用 方 法 ， 当 然 遇 上 会 修 复 S e c t i o n H e a d e r s 的 人 ， 那 就 从 了 吧 。 还 有 加 入 “ 花 指 令 ” 也 是 个 不 错 的 方 法 ， 只 是 在 专 有 的 反 汇 编 工 具 面 前 会 真 的 沦 为 “ 花 瓶 ” 。 故 而 ， 加 壳 是 对 抗 静 态 分 析 的 杀 手 锏 。 然 而 ， 丑 媳 妇 总 得 见 公 婆 ， 壳 再 好 ， 运 行 时 也 得 卸 下 ， 露 出 核 心 代 码 的 真 容 。 通 过 动 态 调 试 ， 逐 一 审 查 每 条 机 器 指 令 ， 再 深 的 秘 密 也 无 法 藏 匿 。 所 以 ， 对 抗 动 态 分 析 也 必 不 可 少 。 动 态 调 试 的 技 术 原 理 和 其 运 行 时 暴 露 的 各 种 特 征 ， 是 制 定 反 动 态 调 试 措 施 的 依 据 。 常 见 的 有 获 取 当 前 应 用 是 否 处 于 调 试 连 接 状 态 ； 查 看 是 否 存 在 I D A 驻 留 程 序 ； 相 应 端 口 号 是 否 被 占 用 ； p t r a c e 功 能 是 否 启 用 ， 或 者 提 前 使 用 p t r a c e “ 占 位 ” ； 设 置 “ 哨 兵 ” 进 程 ； 某 段 代 码 运 行 时 长 是 否 异 常 等 等 ， 不 一 而 足 。 这 些 措 施 犹 如 一 个 个 碉 堡 ， 大 大 延 缓 了 进 攻 者 的 前 进 步 伐 。 可 是 ， 这 些 “ 碉 堡 ” 迟 早 要 被 一 个 个 拔 掉 。 为 了 进 一 步 迟 滞 进 攻 者 的 推 进 速 度 ， 还 可 以 布 下 巨 大 的 “ 八 卦 阵 ” — — 控 制 流 平 坦 化 （ C o n t r o l F l o w   F l a t t e n i n g ） 。 这 项 技 术 让 简 单 的 执 行 逻 辑 复 杂 N 倍 。 把 一 些 核 心 操 作 分 散 置 于 其 中 ， 可 以 起 到 相 当 不 错 的 保 护 效 果 ， 进 攻 者 很 容 易 深 陷 于 一 场 “ 人 民 战 争 ” 的 汪 洋 大 海 之 中 。 当 然 ， 没 有 攻 不 破 的 堡 垒 ， 也 没 有 完 美 的 保 护 。 只 要 能 延 缓 关 键 代 码 被 暴 露 的 措 施 ， 都 是 好 的 保 护 手 段 。 相 反 ， 进 攻 者 则 希 望 快 速 识 别 和 定 位 关 键 代 码 。 时 间 ， 成 了 攻 防 双 方 所 争 夺 的 焦 点 。 那 么 ， 有 没 有 比 较 好 的 方 法 可 以 加 速 关 键 代 码 的 定 位 呢 ？
三 三 显 然 ， 获 取 程 序 的 全 面 运 行 信 息 是 快 速 定 位 关 键 代 码 的 基 础 。 运 行 信 息 的 粒 度 大 小 决 定 了 其 作 用 大 小 。 从 用 户 角 度 看 到 的 程 序 行 为 过 于 粗 犷 ， 其 作 为 全 面 运 行 信 息 的 一 个 子 集 ， 偶 尔 能 起 辅 助 参 考 之 用 。 从 底 层 C P U 角 度 可 以 获 取 程 序 的 所 有 运 行 信 息 ， 可 惜 皆 为 指 令 级 别 ， 粒 度 过 于 细 小 ， 不 利 于 人 工 分 析 。 唯 有 函 数 级 别 的 运 行 信 息 粒 度 大 小 适 中 ， 且 忠 实 反 映 了 程 序 作 者 的 设 计 意 图 ， 是 快 速 了 解 程 序 整 体 运 行 逻 辑 的 最 佳 切 入 点 。 提 取 程 序 的 函 数 运 行 信 息 不 是 新 鲜 事 。 L i n u x 系 统 上 也 有 不 少 工 具 可 以 获 取 函 数 的 动 态 调 用 关 系 ， 例 如 S y s t e m t a p 、 F t r a c e r 、 g p r o f ， 还 有 G C C 的 i n s t r u m e n t a t i o n 功 能 等 等 。 不 过 ， 这 些 工 具 或 者 需 要 内 核 支 持 ， 或 者 要 有 源 码 ， 的 确 不 大 适 合 只 有 二 进 制 代 码 的 逆 向 工 程 。 当 然 ， 利 用 q e m u 等 模 拟 器 提 取 函 数 调 用 关 系 在 技 术 上 不 是 不 可 以 ， 只 是 感 觉 像 在 用 牛 刀 杀 鸡 。 再 者 ， 如 果 一 些 程 序 存 在 反 模 拟 器 检 测 ， 那 么 必 然 得 不 到 真 实 完 整 的 运 行 信 息 。 因 此 ， 若 能 在 真 机 上 获 得 二 进 制 代 码 的 函 数 调 用 关 系 信 息 ， 将 十 分 有 利 于 对 目 标 应 用 的 进 一 步 分 析 。 于 是 ， 本 文 作 者 写 了 一 个 小 工 具 ， 来 实 现 此 需 求 。 这 个 工 具 的 设 计 思 路 也 很 简 单 ： 接 管 目 标 代 码 所 有 函 数 的 序 言 （ p r o l o g u e ） 与 尾 声 （ e p i l o g u e ） ， 然 后 输 出 相 关 信 息 。 此 工 具 在 某 种 程 度 上 也 可 认 为 是 一 款 轻 量 级 的 准 虚 拟 机 。 四 四 下 面 ， 结 合 实 例 展 示 工 具 的 基 本 功 能 。 A P K 样 本 地 址 （ h t t p : / / z h u s h o u . 3 6 0 . c n / d e t a i l / i n d e x / s o f t _ i d / 3 1 0 4 6 1 4 # n o g o ） ， 包 名 ： c o m . f i n a n c i a l 3 6 0 . n i c a i f u ， 版 本 号 ： 2 . 2 . 9 。 静 态 分 析 就 此 略 过 ， 反 正 也 得 不 到 更 多 的 有 用 信 息 ， 不 如 直 接 让 它 在 真 机 上 跑 一 遍 。 图 1 展 示 了 工 具 所 捕 获 的 运 行 信 息 ， 不 同 线 程 对 应 不 同 文 件 。 文 件 名 的 格 式 为 ： 包 名 进 程 I D 线 程 I D 。 工 具 支 持 多 进 程 多 线 程 。 由 于 J a v a 世 界 也 会 创 建 许 多 线 程 ， 为 简 单 起 见 ， 这 里 只 展 示 有 二 进 制 代 码 （ 亦 即 s o 文 件 里 的 n a t i v e 代 码 ） 参 与 的 线 程 信 息 。 图 1 先 打 开 主 线 程 ， 见 图 2 。 每 一 行 数 据 表 示 进 入 （ + ） 或 退 出 （ - ） 某 个 函 数 ， 其 中 数 字 表 示 调 用 深 度 ， 方 便 后 续 图 形 化 等 处 理 （ 作 者 是 个 懒 人 ， 这 个 坑 十 有 八 九 是 填 不 了 ） 。 库 函 数 没 有 区 分 进 入 或 退 出 。 在 同 一 行 内 给 出 了 函 数 的 参 数 （ 位 于 函 数 名 后 的 括 号 内 ） 和 返 回 结 果 （ 位 于 * 符 号 后 面 ） 。 除 了 J N I _ O n L o a d 外 ， 其 它 n a t i v e 代 码 函 数 名 的 格 式 统 一 为 ： 偏 移 @ s o 文 件 名 。 当 然 ， 也 可 以 选 择 显 示 其 实 际 函 数 名 ， 前 提 是 没 有 被 去 除 。
图 2 从 图 2 可 以 看 到 D V M 加 载 s o 文 件 （ l i b j i a g u 1 0 4 5 6 9 8 2 4 . s o ） 后 首 先 调 用 J N I _ O n L o a d 函 数 。 注 意 看 J N I _ O n L o a d 退 出 时 左 侧 的 行 号 ， 说 明 在 整 个 初 始 化 阶 段 发 生 了 近 十 万 次 函 数 调 用 。 而 其 中 又 多 为 8 5 3 4 ， 8 3 f 0 ， 8 0 4 4 这 几 个 函 数 ， 见 图 3 。 各 种 反 动 态 调 试 检 测 和 核 心 初 始 化 操 作 都 被 分 散 于 这 几 个 函 数 调 用 之 间 ， 见 图 4 。 图 中 显 示 其 正 在 检 测 T r a c e r P i d ， 反 动 态 调 试 的 例 行 操 作 。 图 3
图 4 这 么 安 排 的 目 的 自 然 是 为 了 增 加 动 态 调 试 的 难 度 。 一 键 运 行 易 掉 坑 ， 单 步 执 行 又 费 时 费 力 。 如 此 复 杂 冗 长 的 调 用 逻 辑 估 计 不 是 靠 人 力 写 就 。 否 则 ， 这 位 程 序 员 的 经 历 够 写 上 N 篇 “ 凌 晨 三 点 … … ” 的 鸡 汤 文 。 编 译 器 O b f u s c a t o r - L L V M 的 控 制 流 平 坦 化 功 能 应 该 可 以 达 成 此 效 果 。 当 部 分 检 测 通 过 后 ， 开 始 解 压 并 加 载 主 s o ， 然 后 调 用 其 J N I _ O n L o a d 函 数 ， 见 图 5 。 工 具 支 持 多 s o 文 件 ， 包 括 显 式 和 隐 式 。 由 于 壳 s o 和 主 s o 文 件 里 的 l i b n a m e 名 称 往 往 一 致 ， 为 了 区 分 ， 主 s o 重 命 名 为 I n n e r L i b 。 图 5 图 5 说 明 二 进 制 代 码 正 在 通 过 J N I 操 纵 J a v a 世 界 ， 并 动 态 注 册 几 个 新 的 J N I 函 数 ， 为 两 个 “ 世 界 ” 搭 建 新 的 桥 梁 。 之 后 ， 创 建 入 口 函 数 相 同 的 两 个 线 程 ， 见 图 6 。 从 图 中 可 知 ， 两 个 线 程 操 作 的 参 数 各 异 ， 实 际 上 对 应 着 待 解 密 两 个 d e x 文 件 ， 不 同 地 址 不 同 大 小 。
图 6 J N I _ O n L o a d 执 行 完 毕 ， 就 由 J a v a 代 码 发 起 调 用 刚 才 注 册 的 动 态 J N I 接 口 ， 见 图 7 。 同 样 是 完 成 一 些 必 要 的 初 始 化 工 作 。 图 7 所 有 准 备 工 作 就 绪 ， 执 行 权 交 还 给 原 来 的 业 务 代 码 。 由 于 D a l v i k 指 令 已 被 替 换 ， 所 以 仍 需 由 C 代 码 来 解 释 ， 并 通 过 J N I 方 式 执 行 ， 见 图 8 。
图 8 图 9 是 应 用 自 身 创 建 的 线 程 ， 由 l i b s m s d k . s o 文 件 负 责 处 理 一 些 “ 清 场 ” 措 施 ， 例 如 检 查 是 否 R O O T ， 是 否 存 在 两 大 主 流 h o o k 框 架 — — X p o s e d 和 C y d i a   S u b s t r a t e ， 提 取 包 括 c a c h e 在 内 的 硬 件 、 软 件 及 手 机 周 围 环 境 等 大 量 数 据 。 由 于 本 文 作 者 太 懒 ， 没 有 过 滤 这 些 个 人 数 据 ， 所 以 暂 时 无 法 提 供 这 些 运 行 信 息 文 件 的 下 载 。 图 9 从 这 也 可 以 看 出 ， 安 卓 系 统 对 隐 私 数 据 的 保 护 存 在 架 构 上 的 缺 陷 。 即 使 其 权 限 管 理 日 趋 细 化 ， 实 际 上 还 是 防 君 子 不 防 小 人 ， 很 多 数 据 无 需 权 限 也 可 以 通 过 n a t i v e 代 码 获 取 。 这 种 方 法 目 前 已 成 惯 例 ， 不 管 正 规 商 业 应 用 还 是 恶 意 软 件 ， 都 喜 欢 绕 过 安 卓 系 统 ， 直 接 与 底 层 操 作 系 统 对 话 。 把 大 量 安 全 相 关 操 作 置 于 二 进 制 世 界 ， 的 确 提 升 了 应 用 的 安 全 性 ， 但 同 时 也 使 得 恶 意 软 件 的 检 测 变 得 更 为 困 难 。 从 技 术 角 度 看 ， 除 非 深 度 改 造 操 作 系 统 ， 否 则 目 前 根 本 无 法 在 客 户 端 （ 用 户 侧 ） 自 动 检 测 到 新 的 恶 意 样 本 。 五 五 如 果 工 具 加 上 预 处 理 （ 去 冗 余 信 息 等 ） 以 及 图 形 化 等 功 能 ， 相 信 可 以 在 短 时 间 内 纵 览 程 序 运 行 逻 辑 全 局 ， 为 后 续 逆 向 操 作 指 引 方 向 。 此 工 具 的 优 点 也 是 缺 点 ， 只 能 像 侦 察 机 在 空 中 侦 察 。 若 要 “ 打 击 ” 一 些 关 键 堡 垒 — — 破 解 译 码 逻 辑 、 加 解 密 过 程 、 协 议 等 等 ， 还 得 靠 重 装 部 队 （ 动 态 调 试 ） 。 二 者 自 然 可 以 配 合 行 动 ， 在 关 键 点 处 暂 停 运 行 ， 加 入 动 态 调 试 。 这 一 切 ， 都 是
为 了 提 升 逆 向 效 率 ， 争 夺 时 间 。 当 然 ， 也 可 以 用 作 他 途 ， 譬 如 与 “ 蜜 罐 ” 配 合 ， 自 动 收 集 、 检 测 、 分 析 各 类 恶 意 应 用 。 P S : 请 允 许 在 此 打 个 小 广 告 ， 近 期 打 算 换 个 环 境 ， 如 有 合 适 职 位 提 供 ， 请 与 我 联 系 ， 谢 谢 ！ *   本 文 作 者 ： a n d r o i d d o n g j i a n ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理