《教我兄弟学Android逆向10 静态分析反调试apk》

上一篇《教我兄弟学Android逆向09 IDA动态破解登陆验证》我带你分析了黑宝宝.apk,并且用IDA动态调试破解了登陆验证看上节课你学习的不错这节课给你带来的是过反调试的教程

在进入本节课之前我先问你一个问题

什么是反调试？

答:反调试技术是为了保护自己程序的代码。增加逆向分析的难度防止程序被破解, 针对动态分析。

要么学！要么不学！学和不学之间没有中间值不学就放弃,学就要去认真的学！ --致选择

分析环境:JEB2.2.7+IDA7.0 测试手机:nexus

IDA7.0下载链接

链接：https://pan.baidu.com/s/1xEtjnTVZFuLiMpHKwMOY2Q 密码：g3v9

前言

测试一:首先拿到反调试挑战.apk 安装后直接运行，这里因为我没有动态调试程序，所以弹出框恭喜你,挑战成功！

测试二:用第9课讲的调试方法先运行程序等程序弹框后再挂起IDA调试发现IDA直接退出猜测程序做了反调试。

一用jeb反编译反调试挑战.apk

1打开Manifest查看android:debuggable="true" 说明此程序是可以被动态调试的。

2找到程序入口MainActivity 分析可知程序运行的时候调用了myJNI类中的Native函数checkport并弹框所以checkport是弹框的内容看函数名可知里面也有可能做了反调试

3分析代码可知程序弹框后说明checkport函数已经执行完了，但是IDA挂起来后程序还是退出，说明还是被反调试了猜想有两种情况:

猜想一: checkport函数中开启了一个线程循环来做反调试就算函数执行完这个线程中的反调试还是运行的 (如果不开启线程循环检测反调试程序主线程将会堵塞 )

猜想二: 我们知道init_array和JNI_OnLoad会在so加载的时候就开始执行，所以程序也有可能会在这里开启线程进行反调试。

4.带着上面的猜想我们下面来分析下so

二 验证猜想一

IDA分析so

解压反调试挑战.apk进入lib文件夹下找到libsix.so并用ida打开由于我手机支持v7所以这里我打开的是armeabi-v7a下的so

注意:这里一定要打开手机对应的so 如果手机是arm的就打开armeabi文件夹下的so,支持v7则打开armeabi-v7a下的so 同理x86的要打开x86文件夹下的so进行分析这里很重要不然会和动态调试的内存地址不对应

1.我们先来找到 checkport函数看看代码里面到底有什么按照以前教程中找Native函数的方法我们打开函数导出表发现并没有checkport函数在String窗口搜索恭喜你,挑战成功！也是搜索不到的说明此字符串被隐藏了但是发现了JNI_OnLoad函数说明函数checkport是动态注册的。

2 怎么在IDA里面找到动态注册的函数呢？Ctrl+s打开segment表找到.data.rel.ro.local 这个段里面放的是动态注册的函数点进去后就找到Checkport函数了函数的定义在dword_1140中

3点进dword_1140发现这部分代码IDA没有解析好这里需要手动解析一下点住dword_1140右键Data转化成数据然后鼠标放在__unwind按住P键就转换成函数了这个函数就是checkport对应的函数

4.分析checkport函数 F5转换成C伪代码导入Jni.h (不会导入的看前面的课程) 然后手动解析代码提高代码可读性解析完成后Esc返回到C代码再按下F5刷新一下代码解析的字符串就出来了

5 通过以上操作可以看到恭喜你,挑战成功字符串已经被我们解析出来了接下来分析这个函数这个函数会读取/proc/net/tcp，查找23946端口，也就是IDA动态调试的端口如果查找到了说明程序正在被动态调试然后退出程序从而达到了反调试的目的。

但是这里我们看到这个函数的反调试并没有放到线程中做说明只执行一次就结束了而且测试一验证的时候这里的代码已经执行完了所以其他地方一定还有反调试并且只能在这个函数之前执行。

三 验证猜想二

init_array段

init_array段是在so加载的时候执行的执行顺序要优先于 JNI_OnLoad 所以这里是最早被执行的函数把反调试和so的解密放到这里是比较好的选择。

1 ctrl+s打开segment表找到.init_array段点进去发现init_array段里面有一个thread_create函数点进去F5转换成C伪代码并分析函数

2.我们打开命令行窗口来验证一下查看当前程序的status文件 ps命令用来列出系统中当前运行的那些进程

3.通过上面分析可知thread_create函数是创建线程循环读取当前程序的Tracepid的值如果值大于0说明程序当前正在被动态调试并退出程序那么现在就知道为什么在程序弹出恭喜你,挑战成功框后我们进行动态调试程序还是会退出了因为这里开启了一个线程进行循环反调试。

4.那么到这里程序的反调试是不是就找完了呢？刚刚我们也说了除了init_array还有一个地方JNI_OnLoad函数也会在so刚加载的时候运行那么出于习惯我们还是来看一下JNI_OnLoad函数

四 JNI_OnLoad函数

1.在函数窗口中搜索并找到JNI_OnLoad函数 F5反编译成C伪代码(有点时候导出表里面是没有JNI_OnLoad函数的所以这里在函数窗口中搜索)

2.经过上面分析知道 JNI_OnLoad函数中调用SearchObjProcess函数进行反调试这个函数通过ps列出当前手机的所有进程然后如果进程名中包含android_server,gdbserver,gdb等名称则认为程序当前被动态调试退出程序

五小结

1.首先我们通过JEB工具静态分析了反调试挑战.apk 发现在MainActivity类中调用了Native函数checkprot 因为这个函数是动态注册的所以我们在data.rel.ro.local段中找到了这个函数分析知道这个函数会读取/proc/net/tcp，查找23946端口如果找到则认为程序当前被动态调试退出程序

2 在init_array段里面发现了thread_create函数这个函数创建了一个线程循环来读取/proc/pid/status文件下的TracePid的值如果大于0说明程序正在被调试退出程序

3.JNI_OnLoad函数中发现了SearchObjProcess函数通过搜索指定进程名来判断程序有没有被调试

六解决方案一

1.对于checkprot我们可以通过-p将IDA调试端口改为23947或者其他端口注意端口转发和IDA调试的端口号都要改成23947

2.对于thread_create函数我们可以刷机改内核让TracePid的值永远为0

参考文章《 逆向修改内核，绕过TracerPID反调试 》

3.对抗SearchObjProcess函数可以将android_server改成其他名字然后运行比如zs ls ww(张三,李四,王5)

参考文章《教我兄弟学Android逆向番外03 Android逆向必会命令》

七解决方案二

1.也可以通过exit函数定位到反调试位置并patch掉当前函数这里以thread_create函数为例子因为此函数在init_array段里面所以是没有调用的地方的这里直接把第二条指令改成pop直接出栈改Hex指令这里我就不为你演示了前面教程都有教过

2.对于SearchObjProcess函数直接找到调用此函数的位置然后nop掉或者进函数里面把exit给nop掉都行最后一处反调试这里也不演示了方法相同

八另一种patch方法

以前我们都是用IDA插件modifyfile.plw来patch 其实还有一种patch的方法直接用IDA Patch Program插件来Patch也是可以的点菜单Edit->Patch Program

最后将patch后的so替换原包的so 重打包签名运行即可过反调试

九总结

本节课我带你用JEB+IDA工具静态分析了反调试APK 通过本节课的学习你了解了init_array段和JNI_OnLoad函数的执行顺序和这三处反调试的找寻方法对于反调试当然也可以通过搜寻特征的方式定位位置比如TracePid反调试可以在字符串窗口搜索/proc/%d/status 检测进程名可以搜索android_server 检测端口号搜索5D8A 然后我又带你重温了一遍函数Patch的方法以及第二种保存修改so的方法通过本节课我想你对反调试技术已经有了初步的了解教程附件里面前人总结出来的反调试大全你可以看一看并且学习一下。学习完之后下节课我将会对你讲解怎么动态调试这个apk。

十课后作业

1.按照本节课教程把附件里面的反调试.apk so里面的反调试函数给patch掉并重打包。

2.了解并熟悉附件里面常见的反调试

附件下载链接:https://www.52pojie.cn/thread-749955-1-1.html

《教我兄弟学Android逆向10 静态分析反调试apk》相关推荐

ComeFuture英伽学院——2020年全国大学生英语竞赛【C类初赛真题解析】(持续更新)
视频:ComeFuture英伽学院--2019年全国大学生英语竞赛[C类初赛真题解析]大小作文--详细解析课件:[课件]2019年大学生英语竞赛C类初赛.pdf 视频:2020年全国大学生英语竞赛 ...
ComeFuture英伽学院——2019年全国大学生英语竞赛【C类初赛真题解析】大小作文——详细解析
视频:ComeFuture英伽学院--2019年全国大学生英语竞赛[C类初赛真题解析]大小作文--详细解析课件:[课件]2019年大学生英语竞赛C类初赛.pdf 视频:2020年全国大学生英语竞赛 ...
信息学奥赛真题解析（玩具谜题）
玩具谜题(2016年信息学奥赛提高组真题) 题目描述小南有一套可爱的玩具小人, 它们各有不同的职业.有一天, 这些玩具小人把小南的眼镜藏了起来.小南发现玩具小人们围成了一个圈,它们有的面朝圈内,有的 ...
信息学奥赛之初赛第1轮讲解（01-08课）
信息学奥赛之初赛讲解 01 计算机概述系统基本结构信息学奥赛之初赛讲解 01 计算机概述系统基本结构_哔哩哔哩_bilibili 信息学奥赛之初赛讲解 02 软件系统计算机语言进制转换信息 ...
信息学奥赛一本通习题答案（五）
最近在给小学生做C++的入门培训,用的教程是信息学奥赛一本通,刷题网址 http://ybt.ssoier.cn:8088/index.php 现将部分习题的答案放在博客上,希望能给其他有需要的人带来 ...
信息学奥赛一本通习题答案（三）
最近在给小学生做C++的入门培训,用的教程是信息学奥赛一本通,刷题网址 http://ybt.ssoier.cn:8088/index.php 现将部分习题的答案放在博客上,希望能给其他有需要的人带来 ...
信息学奥赛一本通提高篇第六部分数学基础相关的真题
第1章快速幂 1875:[13NOIP提高组]转圈游戏信息学奥赛一本通(C++版)在线评测系统第2 章素数第 3 章约数第 4 章同余问题第 5 章矩阵乘法第 6 章 ...
信息学奥赛一本通题目代码（非题库）
为了完善自己学c++,很多人都去读相关文献,就比如<信息学奥赛一本通>,可又对题目无从下手,从今天开始,我将把书上的题目一一的解析下来,可以做参考,如果有错,可以告诉我,将在下次解析里重 ...
信息学奥赛一本通（C++版）刷题记录
总目录详见:https://blog.csdn.net/mrcrack/article/details/86501716 信息学奥赛一本通(C++版) 刷题记录 http://ybt.ssoier. ...
最近公共祖先三种算法详解 + 模板题建议新手收藏例题：信息学奥赛一本通祖孙询问距离
首先什么是最近公共祖先?? 如图:红色节点的祖先为红色的1, 2, 3. 绿色节点的祖先为绿色的1, 2, 3, 4. 他们的最近公共祖先即他们最先相交的地方,如在上图中黄色的点就是他们的最近公共祖先 ...

《教我兄弟学Android逆向10 静态分析反调试apk》

《教我兄弟学Android逆向10 静态分析反调试apk》相关推荐

最新文章

热门文章