搜索

[10131] 2016-05-24_一种常规Android脱壳技术的拓展（附工具）

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2016-05-24_一种常规Android脱壳技术的拓展（附工具） 一 种 常 规 A n d r o i d 脱 壳 技 术 的 拓 展 （ 附 工 具 ） D r i z z l e . R i s k   F r e e B u f   2 0 1 6 - 0 5 - 2 4 最 近 在 做 移 动 安 全 测 试 的 项 目 时 ， 遇 到 了 最 新 的 某 数 字 壳 ， 好 久 都 没 脱 壳 了 ， 记 得 上 次 脱 壳 还 是 最 近 在 做 移 动 安 全 测 试 的 项 目 时 ， 遇 到 了 最 新 的 某 数 字 壳 ， 好 久 都 没 脱 壳 了 ， 记 得 上 次 脱 壳 还 是 z j d r o i d 通 杀 的 时 通 杀 的 时 候 。 秉 着 安 全 研 究 的 精 神 ， 趁 此 机 会 ， 又 把 最 新 的 加 固 与 脱 壳 技 术 过 了 一 遍 ， 然 而 并 没 有 成 功 脱 掉 。 候 。 秉 着 安 全 研 究 的 精 神 ， 趁 此 机 会 ， 又 把 最 新 的 加 固 与 脱 壳 技 术 过 了 一 遍 ， 然 而 并 没 有 成 功 脱 掉 。 郁 闷 之 际 ， 我 索 性 沉 下 心 来 ， 好 好 看 看 当 前 脱 壳 技 术 的 原 理 ， 就 这 样 我 在 G i t h u b 上 看 了 几 个 脱 壳 工 具 的 代 码 。 其 中 一 个 我 感 觉 很 有 趣 ，   正 是 s t r a z z e r e 大 神 的 a n d r o i d - u n p a c k e r ， 这 是 一 款 n d k 写 的 动 态 A n d r o i d 脱 壳 的 工 具 ， 原 理 简 单 来 说 就 是 p t r a c e ， 然 后 在 内 存 中 匹 配 特 征 码 和 o d e x 的 m a g i c ， 最 后 d u m p 到 文 件 。 我 当 然 自 己 编 译 测 试 了 ， 但 发 现 是 对 于 最 新 的 壳 ， 貌 似 还 是 不 管 用 ， 总 是 d u m p 下 来 一 个 空 文 件 。 后 来 我 在 分 析 代 码 ， 自 己 边 看 边 改 边 测 试 。 慢 慢 结 构 和 代 码 基 本 上 面 目 全 非 了 ， 顺 便 改 了 个 代 码 错 误 （   这 个 错 误 就 是 之 前 d u m p 结 果 为 空 的 真 凶   - _ -   ） ， 到 最 后 按 照 s t r a z z e r e 大 神 的 基 本 思 路 索 性 自 己 重 新 写 了 一 个 工 具 （ 复 用 了 大 神 的 部 分 代 码 ） 。 下 面 说 下 几 个 最 重 要 的 和 大 神 方 法 不 一 样 的 地 方 ： 下 面 说 下 几 个 最 重 要 的 和 大 神 方 法 不 一 样 的 地 方 ： 1 .   a n d r o i d - u n p a c k e r 基 本 上 就 是 匹 配 o d e x   m a g i c 的 函 数 时 （ 下 图 ） ， 而 我 不 管 o d e x 了 ， 专 心 匹 配 d e x 的 m a g i c 。 2 . a n d r o i d - u n p a c k e r 用 p r e a d （ 下 图 ） ， 而 我 换 了 r e a d 和 l s e e k ， 具 体 就 不 说 为 啥 了 ， 这 是 非 常 重 要 的 一 点 。
3 . 我 直 接 抛 弃 了 a n d r o i d - u n p a c k e r 中 的 壳 的 特 征 匹 配 这 一 整 块 儿 内 容 。 4 . a n d r o i d - u n p a c k e r 只 匹 配 和 d u m p 一 次 ， 而 我 引 入 了 双 循 环 机 制 ， 这 点 对 我 的 脱 壳 成 功 也 非 常 重 要 。 5 . a n d r o i d - u n p a c k e r 在 p e e k _ m e m o r y （ 下 图 ） 中 进 行 m a g i c 匹 配 ， 我 改 了 逻 辑 ， 换 了 一 种 匹 配 方 式 。 6 . 另 外 我 还 增 加 了 一 匹 配 种 方 法 ， 来 增 强 匹 配 的 成 功 率 。 7 . 引 入 了 w a i t _ t i m e s 机 制 （ 很 无 奈 ） 8 . 其 他 . . 我 找 了 三 家 公 司 的 壳 试 了 下 ， 下 面 直 接 上 效 果 图 顺 便 说 说 工 具 怎 么 用 ： 我 找 了 三 家 公 司 的 壳 试 了 下 ， 下 面 直 接 上 效 果 图 顺 便 说 说 工 具 怎 么 用 ： 1 . 这 个 工 具 就 是 n d k 程 序 ， 所 以 要 在 R o o t 后 的 A n d r o i d 环 境 下 运 行 （ 虚 拟 机 和 实 体 机 都 可 以 ） 2 . 一 般 来 说 ， 先 让 工 具 跑 起 来 等 着 ， 第 一 个 参 数 是 包 名 ， 第 二 个 参 数 是 等 待 时 间 。 3 . 等 待 时 间 有 两 重 含 义 ， 第 一 是 当 工 具 发 现 A P P 进 程 后 ， 等 待 多 久 才 开 始 第 一 次 S c a n ； 第 二 是 每 次 S c a n 的 时 间 间 隔 。 （ 因 为 每 种 壳 机 制 都 不 太 一 样 ， 所 以 d e x 在 内 存 中 出 现 和 留 存 的 时 间 也 不 同 ， 所 以 这 个 w a i t _ t i m e 可 以 灵 活 配 置 ， 具 体 大 家 自 己 琢 磨 吧 。 ） 4 . 实 际 d u m p 成 功 的 例 子 （ 我 就 不 把 壳 厂 商 和 A P P 名 字 写 出 来 了 ， 大 家 应 该 都 能 看 出 来 ） ： （ 1 ） 某 些 壳 需 要 把 参 数 w a i t _ t i m e s 设 置 1 ~ 3 秒 ， 然 后 打 开 A P P ， 不 然 A P P 会 退 。
（ 2 ） 等 待 时 机 支 持 小 数 秒 ， 呵 呵 。 （ 3 ） 这 个 d u m p 下 来 的 是 缺 失 的 d e x ， 接 着 向 下 看 。 （ 4 ） 还 是 上 个 A P P ， 这 次 成 功 了 ， 没 关 系 ， 多 试 几 次 就 好 了 ， 呵 呵 。 （ 5 ） 不 写 w a i t _ t i m e s 的 话 也 可 以 ， 默 认 0 秒 。 （ 6 ） 某 数 字 公 司 的 壳 ， d e x 内 存 里 一 直 有 ， 所 以 先 启 动 A P P ， 然 后 再 开 工 具 也 是 可 以 的 。
  （ 7 ） 再 来 一 个 就 不 贴 d e x 2 j a r 的 图 了 。 说 明 说 明 1 . 工 具 仅 用 于 安 全 研 究 及 安 全 测 试 ， 如 用 于 非 法 用 途 ， 后 果 自 负 。 2 . 除 了 a r m 版 ， 我 还 编 译 了 个 x 8 6 的 ， 方 便 使 用 虚 拟 机 的 童 鞋 。 3 . 本 来 是 准 备 要 再 研 究 更 多 厂 商 的 ， 但 是 这 段 时 间 实 在 是 忙 ， 想 了 想 还 是 先 发 出 来 吧 。 4 . 这 工 具 并 不 是 万 能 的 ， 甚 至 可 以 说 是 不 健 全 的 。 我 仅 测 试 了 三 家 的 壳 ， 有 两 家 都 可 以 稳 脱 ， 还 有 一 家 一 部 分 可 以 ， 一 部 分 不 行 。 欢 迎 大 家 测 试 其 他 的 壳 ， 你 们 脱 不 了 可 不 要 怨 我 。 5 . 别 跟 我 要 代 码 了 ， 我 的 代 码 太 丑 陋 ， 直 接 参 考 a n d r o i d - u n p a c k e r 的 思 路 就 可 以 。 下 载 地 址 请 点 击 最 下 方 阅 读 原 文 。 * 本 文 作 者 ： D r i z z l e . R i s k ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理