搜索

[27756] 2020-05-21_来自高纬的对抗：定制ART解释器脱所有一二代壳

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-19
2020-05-21_来自高纬的对抗：定制ART解释器脱所有一二代壳 来 自 高 纬 的 对 抗 ： 定 制 A R T 解 释 器 脱 所 有 一 二 代 壳 原 创   r 0 y s u e   O P P O 安 全 应 急 响 应 中 心   2 0 2 0 - 0 5 - 2 1 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 以 上 文 章 由 作 者 【 r 0 y s u e 】 的 连 载 有 赏 投 稿 ， 共 有 五 篇 ， 每 周 更 新 一 篇 ； 也 欢 迎 广 大 朋 友 继 续 投 稿 ， 详 情 可 点 击 O S R C 重 金 征 集 文 稿 ！ ！ ！ 了 解 ~ ~ 温 馨 提 示 ： 建 议 投 稿 的 朋 友 尽 量 用 m a r k d o w n 格 式 ， 特 别 是 包 含 大 量 代 码 的 文 章 缘 缘 · 起 起 拜 读 T h o m a s K i n g 的 那 篇 著 名 文 章 《 来 自 高 纬 的 对 抗   -   逆 向 T i n y T o o l 自 制 》 之 后 ， 对 编 译 源 码 和 修 改 源 码 来 进 行 高 维 度 对 抗 、 进 而 实 现 降 维 打 击 的 思 路 产 生 了 浓 厚 的 兴 趣 。 大 佬 在 文 中 修 改 安 卓 内 核 源 码 ， 实 现 了 在 内 核 层 面 对 的 内 存 数 据 进 行 ； 在 内 核 里 用 来 监 控 系 统 调 用 ， 即 使 加 固 厂 商 使 用 静 态 编 译 的 a p p d u m p j p r o b e s y s c a l l
文 件 或 通 过 汇 编 指 令 在 用 户 态 直 接 进 行 系 统 调 用 时 ， 用 户 态 已 经 失 效 并 且 没 有 意 义 的 情 况 下 ， 从 内 核 里 打 出 一 份 ， 为 分 析 的 行 为 提 供 依 据 。 据 。 < 6 > [ 3 4 7 2 8 . 2 8 3 5 7 5 ]   R E H e l p e r   d e v i c e   o p e n   s u c c e s s ! < 6 > [ 3 4 7 2 8 . 2 8 5 5 0 4 ]   S e t   m o n i t o r   p i d :   3 8 5 1 < 6 > [ 3 4 7 2 8 . 2 8 7 8 5 1 ]   [ o p e n a t ]   d i r f d :   - 1 0 0 ,   p a t h n a m e   / d e v / _ _ p r o p e r t i e s _ _ ,   f l a g s :   a 8 0 0 0 ,   m o d e :   0 < 6 > [ 3 4 7 2 8 . 2 8 9 3 4 8 ]   [ o p e n a t ]   d i r f d :   - 1 0 0 ,   p a t h n a m e   / p r o c / s t a t ,   f l a g s :   2 0 0 0 0 ,   m o d e :   0 < 6 > [ 3 4 7 2 8 . 2 9 1 3 2 5 ]   [ o p e n a t ]   d i r f d :   - 1 0 0 ,   p a t h n a m e   / p r o c / s e l f / s t a t u s ,   f l a g s :   2 0 0 0 0 ,   m o d e :   0 < 6 > [ 3 4 7 2 8 . 2 9 2 0 1 6 ]   [ i n o t i f y _ a d d _ w a t c h ] :   f d :   4 ,   p a t h n a m e :   / p r o c / s e l f / m e m ,   m a s k :   2 3 < 6 > [ 3 4 7 2 9 . 2 9 6 5 6 9 ]   P T R A C E _ P E E K D A T A :   [ s r c ] p i d   =   3 8 5 1   - - >   [ d s t ] p i d   =   3 8 5 2 ,   a d d r :   4 0 0 0 0 0 0 0 ,   d a t a :   b e 9 1 9 e 3 8 本 系 列 文 章 五 篇 的 核 心 灵 感 也 是 来 源 于 此 ， 从 高 纬 度 发 起 降 维 攻 击 ， 让 低 纬 度 手 段 无 法 或 难 以 对 抗 ， 分 别 立 意 于 ： 1 . 《 来 自 高 纬 的 对 抗 ： 定 制 解 释 器 脱 所 有 一 二 代 壳 》 2 . 《 来 自 高 纬 的 对 抗 ： 魔 改 过 框 架 检 测 ( 上 ) 》 3 . 《 来 自 高 纬 的 对 抗 ： 魔 改 过 框 架 检 测 ( 下 ) 》 4 . 《 来 自 高 纬 的 对 抗 ： 定 制 安 卓 内 核 过 反 调 试 》 5 . 《 来 自 高 纬 的 对 抗 ： 替 换 安 卓 内 核 解 封 内 核 命 令 》 接 下 来 我 们 来 逐 个 分 析 详 细 思 路 和 技 术 实 现 的 细 节 。 b i n s v c h o o k l o g a p p A R T X P O S E D X P O S E D L i n u x F A R T
简 介 简 介 如 果 还 有 人 不 知 道 是 啥 ， 在 这 里 稍 微 科 普 下 ， 是 环 境 下 基 于 主 动 调 用 的 自 动 化 脱 壳 方 案 的 创 新 主 要 在 两 个 方 面 ： 之 前 所 有 的 内 存 脱 壳 机 都 是 基 于 虚 拟 机 做 的 ， 比 如 大 佬 的 ， 只 能 在 安 卓 之 下 使 用 ， 开 创 了 虚 拟 机 内 存 脱 壳 的 “ 新 纪 元 ” ， 上 至 最 新 的 安 卓 甚 至 还 在 的 安 卓 都 可 以 。 在 虚 拟 机 中 彻 底 解 决 函 数 抽 取 型 壳 的 问 题 ； 构 造 主 动 调 用 链 ， 主 动 调 用 类 中 的 每 一 个 方 法 ， 并 实 现 对 应 的 F A R T F A R T A R T F A R T D a l v i k F 8 L E F T F U P K 3 4 . 4 F A R T A R T 1 0 p r e v i e w 1 1 A R T C o d e I t e m d u m p
， 最 终 实 现 完 整 的 修 复 和 重 构 。 详 细 的 介 绍 和 源 码 下 载 地 址 当 然 是 在 寒 冰 大 佬 的 ： h t t p s : / / g i t h u b . c o m / h a n b i n g l e n g y u e / F A R T ， 以 及 他 在 看 雪 的 三 篇 文 章 。 组 件 一 ： 可 以 整 体 目 前 已 知 的 所 有 整 体 型 壳 ， 也 就 是 通 杀 一 代 壳 ； 对 于 未 做 函 数 体 清 场 的 二 代 壳 也 被 整 体 扒 下 来 了 ， 这 部 分 也 占 很 大 比 例 ； 组 件 二 ： 构 造 主 动 调 用 链 ， 欺 骗 壳 去 自 己 解 密 函 数 体 ， 然 后 函 数 体 ， 通 杀 二 代 壳 ； 组 件 三 ： 将 解 密 出 来 的 函 数 体 与 类 和 函 数 名 索 引 一 一 对 应 ， 恢 复 函 数 体 可 读 性 ； 本 文 的 基 本 流 程 为 ： 介 绍 编 译 源 码 的 流 程 在 源 码 中 添 加 脱 壳 代 码 继 续 编 译 实 现 脱 壳 机 镜 像 并 刷 入 手 机 用 这 个 脱 壳 手 机 来 脱 壳 并 和 修 复 函 数 体 实 现 通 杀 一 代 整 体 型 壳 和 二 代 函 数 抽 取 型 壳 的 目 标 脱 壳 机 从 系 统 框 架 层 源 码 的 高 维 、 来 “ 降 维 ” 打 击 用 户 层 的 低 维 技 术 ， 对 于 实 际 逆 向 分 析 工 作 帮 助 重 大 ， 可 谓 在 虚 拟 机 上 的 一 项 重 大 突 破 。 本 文 所 涉 及 的 环 境 、 实 验 数 据 结 果 及 代 码 资 料 等 都 在 我 的 d u m p d e x g i t h u b d u m p d u m p A O S P F A R T d u m p F A R T A p p A R T G i t h u b
： h t t p s : / / g i t h u b . c o m / r 0 y s u e / A n d r o i d S e c u r i t y S t u d y 上 ， 欢 迎 大 家 取 用 和 ， 蟹 蟹 。 编 译 编 译 源 码 源 码 其 实 更 加 喜 欢 在 上 进 行 操 作 ， 显 得 更 像 一 名 “ 黑 客 ” ， 只 是 上 的 最 小 只 支 持 到 ， 而 我 们 编 译 安 卓 必 须 要 ， 所 以 只 能 选 择 了 。 在 官 网 上 下 载 注 意 下 载 完 成 后 检 查 下 G i t h u b s t a r A O S P K a l i   L i n u x K a l i o p e n j d k 8 6 o p e n j d k 7 U b u n t u   1 6 0 4   L T S m d 5
是 否 匹 配 。 使 用 该 镜 像 新 建 虚 拟 机 时 ， 有 一 点 就 是 硬 盘 要 给 ， 这 项 操 作 不 会 真 的 占 用 的 硬 盘 ， 真 实 占 用 空 间 会 随 着 虚 拟 机 内 部 系 统 占 用 空 间 大 小 而 浮 动 ， 笔 者 最 终 编 译 完 也 只 不 到 百 。 3 0 0 G 3 0 0 G G
其 余 建 议 给 宿 主 机 真 实 核 心 数 的 一 半 ， 内 存 建 议 及 以 上 即 可 。 如 果 内 存 还 不 够 ， 可 以 增 加 一 些 ， 详 见 这 篇 文 章 。 系 统 开 机 后 就 可 以 把 源 码 包 拷 贝 进 去 ， 源 码 包 位 于 百 度 云 盘 中 的 目 录 下 ， 解 压 完 成 后 有 文 件 的 ， 记 得 也 要 比 对 噢 。 C P U 1 0 G s w a p a o s p _ p u r e _ s o u c e _ c o d e m d 5 . t x t m d 5
解 压 要 用 到 ， 所 以 安 装 一 波 常 用 工 具 ： 安 装 完 成 后 进 行 解 压 ： 新 开 一 个 终 端 ， 准 备 编 译 的 环 境 ： 安 装 ： 在 源 码 目 录 中 ， 下 载 设 备 驱 动 ： 7 z $   s u d o   a p t   i n s t a l l   p 7 z i p - f u l l   h t o p   j n e t t o p   g i t $   7 z   x   a o s p 6 0 0 r 1 . 7 z $   a p t   i n s t a l l   b i s o n   t r e e   c u r l $   d p k g   - - a d d - a r c h i t e c t u r e   i 3 8 6 $   a p t   u p d a t e $   a p t   i n s t a l l   l i b c 6 : i 3 8 6   l i b n c u r s e s 5 : i 3 8 6   l i b s t d c + + 6 : i 3 8 6   l i b x m l 2 - u t i l s o p e n j d k - 7 s u d o   a d d - a p t - r e p o s i t o r y   p p a : o p e n j d k - r / p p a s u d o   a p t - g e t   u p d a t e s u d o   a p t - g e t   i n s t a l l   o p e n j d k - 7 - j d k
解 压 和 安 装 设 备 驱 动 ， 安 装 时 最 后 要 键 入 来 表 示 接 受 条 款 ： 最 后 就 是 设 置 编 译 环 境 变 量 、 选 择 编 译 设 备 、 开 始 编 译 三 板 斧 ： $   c d   / h o m e / v x - r 0 y s u e / D e s k t o p / a o s p 6 0 0 r 1 $   w g e t   h t t p s : / / d l . g o o g l e . c o m / d l / a n d r o i d / a o s p / b r o a d c o m - h a m m e r h e a d - m r a 5 8 k - b e d 5 b 7 0 0 . t g z $   w g e t   h t t p s : / / d l . g o o g l e . c o m / d l / a n d r o i d / a o s p / l g e - h a m m e r h e a d - m r a 5 8 k - 2 5 d 0 0 e 3 d . t g z $   w g e t   h t t p s : / / d l . g o o g l e . c o m / d l / a n d r o i d / a o s p / q c o m - h a m m e r h e a d - m r a 5 8 k - f f 9 8 a b 0 7 . t g z I   A C C E P T $   t a r   z x v f   b r o a d c o m - h a m m e r h e a d - m r a 5 8 k - b e d 5 b 7 0 0 . t g z $   . / e x t r a c t - b r o a d c o m - h a m m e r h e a d . s h $   t a r   z x v f   l g e - h a m m e r h e a d - m r a 5 8 k - 2 5 d 0 0 e 3 d . t g z $   . / e x t r a c t - l g e - h a m m e r h e a d . s h $   t a r   z x v f   q c o m - h a m m e r h e a d - m r a 5 8 k - f f 9 8 a b 0 7 . t g z $   . / e x t r a c t - q c o m - h a m m e r h e a d . s h $   s o u r c e   b u i l d / e n v s e t u p . s h $   l u n c h         （ 选 择 1 7 ` h a m m e r h e a d ， 也 就 是 N 5 ` ） $   m a k e   - j 8
然 后 就 会 开 始 编 译 ， 可 疑 使 用 命 令 来 查 看 、 内 存 等 信 息 。 h t o p C P U
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理