如何脱壳加固过的Apk并利用其API“走近库”

重生信息安全

发布于 2020-03-06 07:15:17

1.5K0

文章被收录于专栏：重生信息安全重生信息安全

0x00 寻找突破口

打开首页,emm 就一个登录页面,没了随便写点东西提交看看

天生手欠的我一不小心就多输了一个单引号

WDNMD,除了数字和字母其他都不行? 这叫我怎么测? 刚刚要放弃,就在这时,首页的一个二维码吸引了我正是安卓端的软件,眼前一亮,仿佛找到了打开新世界的大门

开开心心地把软件下载过来,想反编译找找看有什么可利用的接口

360加固? fa?!

我以为上帝关上了我的门,还会留个窗给我,结果还是无情地把窗给我锁上了

0x01 zjDroid脱壳

刀不锋利马太瘦,你拿什么工具和我斗。我们已经知道不论是利用什么方法加固apk 若要让软件要正常运行,就必须让程序最终加载原dex文件,这样的话,如果我能dump出内存中已经加载的dex 就可以无视在加载dex前的一大堆解壳操作而ZjDroid就可以做到这一点,ZjDroid是一款基于Xposed开发的插件,它可以轻松地hook住所有的activity,并且将软件当前加载的dex写出

在github上fork其源码,进行分析有进行过Xposed插件开发的大佬们都知道,想让Xposed加载你编写的插件的核心代码就必须在assest/xposed_init文件内写入你想要加载的核心代码的所在包

进入ReverseXposedModule类

可以看到图中两处红线标记处 因为我们的目的是Dump处dex文件,所以先对第二处红线标记处进行分析 跟进DexFileInfoCollecter的start方法

通过观察代码可知,第一处红线标记处程序利用反射找到了系统DexFile类的openDexFileNative方法这个方法和系统加载dex文件有关,这里不深入分析接着看第二处标记处,程序调用Xposed模块的hookMethod方法hook住了openDexFileNative方法继续看第三处,在hook完成之后,只要系统调用到了openDexFileNative方法,红线处的代码就会执行第三处红线处的代码用于获取加载的dex的信息,这里不深入分析也就是说,只要用户打开某个app,系统调用dex文件的方法就会被执行,那么ZjDroid只需要hook住系统调用dex文件的方法,就可以在软件加载原dex后做任何事情了! hook加载dex方法的代码已经执行完毕

我们回到ReverseXposedModule类中的第一处红线标记处,进行分析跟进其调用的initModuleContext方法

查看第一处标记,程序同样的找到了Application类的onCreate方法开发过app的大佬们都很熟悉这个onCreate方法吧,这是每个软件在启动时默认最先执行的方法这里ZjDroid同样对系统的Application类的onCreate方法进行了hook,换句话说,只要用户点开任何一个软件,都能被程序hook住同样的,程序也是利用hookMethod进行的hook操作,hook后的操作在ApplicationOnCreateHook类中,跟进代码

可以看到程序给每个被hook的app注册了一个广播,跟进代码

分析代码可知,当被hook的app接收到含有com.zjdroid.invoke字符的广播时就会进入判断程序将提取出广播中键为"target"和"cmd"的值通过图中第二处红线下方的代码可知target就是app的pid号在获取cmd的值后,cmd的值将被传入CommandHandlerParser类中跟进代码

观察代码可知cmd的值就是一个json格式的字符串程序将根据json中的值对应地执行操作我们需要dump出dex文件,假设我发送的广播进入了ACTION_DUMP_DEXFILE分支程序将向DumpDexFileCommandHandler类传入指定值,跟进代码

其中红线标记处就是dump dex文件的核心代码了跟进

查看其中红线处,data成员调用的方法就是dump出内存中dex文件的代码,接着程序将data写出到指定目录遗憾的是,红线出的代码为native层的代码,而native层的代码作者并没有开源编译,运行踩坑注意:这个工具的so文件似乎在5.0以上的安卓系统不起作用,所以我特意刷了一个4.4的安卓再去安装ZjDroid 在手机的Xposed中启用此插件,然后打开需要脱壳的app adb shell dumpsys activity top查看最顶层活动的PID号接着发送广播dump出dex