搜索

[19275] 2018-04-11_【移动逆向】脱壳系列——揭开sosection加密的美丽外衣

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-18
2018-04-11_【移动逆向】脱壳系列——揭开sosection加密的美丽外衣 【 移 动 逆 向 】   脱 壳 系 列 — —   揭 开 s o   s e c t i o n 加 密 的 美 丽 外 衣 i 春 秋   2 0 1 8 - 0 4 - 1 1 作 者 ： H A I _ i 春 秋 社 区 0 x 0 0   前 言 前 言 对 s o 的 加 密 （ h t t p s : / / b b s . p e d i y . c o m / t h r e a d - 1 9 1 6 4 9 . h t m ） 大 神 的 帖 子 里 已 经 有 很 详 细 的 说 明 了 。 当 然 加 密 不 是 我 们 研 究 的 重 点 ， 如 何 搞 掉 这 个 s o 的 加 密 才 是 我 们 的 要 事 。 0 x 0 1   s o 静 态 分 析 静 态 分 析 1 . 未 加 密 之 前 的 未 加 密 之 前 的 s o 2 . 加 密 之 后 的 加 密 之 后 的 s o 我 们 使 用 i d a 打 开 的 时 候 ， i d a 进 行 了 报 错 提 示 。
可 能 在 平 时 很 多 时 候 都 会 发 现 s o 是 被 加 密 了 的 ， i d a 就 会 报 这 个 错 误 ， 我 们 忽 略 这 个 ， 然 后 进 入 。 这 个 就 是 我 们 加 密 过 后 的 内 容 。 3 . 结 论 结 论 s o 文 件 进 行 加 密 之 后 效 果 很 明 显 ， 无 法 在 加 密 之 后 的 s o 得 出 有 用 信 息 。 也 相 当 于 是 对 s o 进 行 了 加 壳 ， 再 详 细 一 点 就 是 加 密 壳 。 而 我 们 最 主 要 做 的 就 是 脱 掉 这 个 加 密 壳 。
0 x 0 2   动 态 脱 壳 动 态 脱 壳 又 到 了 我 们 最 好 玩 的 脱 壳 环 节 了 。 利 用 一 个 最 原 理 就 是 ， 不 管 你 加 密 成 什 么 样 子 ， 在 内 存 中 ， 你 总 是 要 还 原 的 ， 不 还 原 系 统 怎 么 运 行 。 所 以 我 们 需 要 进 行 一 个 动 态 脱 壳 。 连 接 手 机 ， 开 启 服 务 ， 连 接 手 机 ， 开 启 服 务 ， a t t a c h s u c d   d a t a / l o c a l / t m p . / z h u   - p 2 3 3 3 3 a d b   f o r w a r d   t c p : 2 3 3 3 3   t c p : 2 3 3 3 3 / / 可 能 会 用 到 a d b   s h e l l   a m   s t a r t   - D   - n   c o m . e x a m p l e . s h e l l d e m o / . M a i n A c t i v i t y a d b   f o r w a r d   t c p : 8 7 0 0   j d w p : 7 7 2 8 j d b   - c o n n e c t   c o m . s u n . j d i . S o c k e t A t t a c h : h o s t n a m e = 1 2 7 . 0 . 0 . 1 , p a r t = 8 7 0 0 成 功 附 加 。 这 个 时 候 程 序 已 经 在 运 行 了 。 所 以 我 们 需 要 找 到 d e m o 里 的 s o 文 件 。
文 件 偏 移 是 ： 7 5 A 0 0 0 0 0 大 小 是 ： 5 0 0 0 我 们 来 d u m p 一 下 。 程 序 的 话 还 是 用 之 前 的 程 序 吧 。 s t a t i c   m a i n ( v o i d ) {         a u t o   f p ,   b e g i n ,   e n d ,   d e x b y t e ;         / / 打 开 或 创 建 一 个 文 件         f p   =   f o p e n ( " d : d u m p . d e x " ,   " w b " ) ;         / / d e x 基 址         b e g i n   =     0 x F 3 4 C 6 3 2 0 ;         / / d e x 基 址   +   d e x 文 件 大 小 e n d   =   b e g i n   +   0 x 0 0 0 1 3 5 7 0 ;         f o r   (   d e x b y t e   =   b e g i n ;   d e x b y t e   <   e n d ;           d e x b y t e   + +   ) { / / 按 字 节 将 其 d u m p 到 本 地 文 件 中 f p u t c ( B y t e ( d e x b y t e ) ,   f p ) ;                 } } 稍 稍 的 更 改 一 下 就 可 以 使 用 了 。 好 了 我 们 成 功 d u m p 。 测 试 测 试 使 用 i d a 打 开 。 发 现 i d a 还 是 报 错 。
先 忽 略 ， 进 去 。
这 个 时 候 发 现 关 键 函 数 已 经 出 来 了 。 但 是 我 们 还 是 想 要 追 求 一 下 完 美 。 0 x 0 3   修 复 修 复 我 们 这 里 修 复 使 用 工 具 进 行 。 然 后 使 用 i d a 进 行 测 试 。
修 复 成 功 。 编 辑 ： 海 州 责 任 编 辑 ： 小 南 瓜 校 对 ： 小 林 龙 马 、 山 雾 草 野 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理