目录

简述(脱壳前学习的知识、壳的历史、脱壳方法)

第一代壳

第二代壳

第三代壳

第N代壳

简述

Apk文件结构

Dex文件结构

壳史

壳的识别

Apk文件结构

Dex文件结构

壳史

第一代壳 Dex加密

Dex字符串加密

资源加密

对抗反编译

反调试

自定义DexClassLoader

第二代壳 Dex抽取与So加固

对抗第一代壳常见的脱壳法

Dex Method代码抽取到外部(通常企业版)

Dex动态加载

So加密

第三代壳 Dex动态解密与So混淆

Dex Method代码动态解密

So代码膨胀混淆

对抗之前出现的所有脱壳法

第四代壳 arm vmp(未来)

vmp

壳的识别

1.用加固厂商特征：

娜迦： libchaosvmp.so , libddog.solibfdog.so

爱加密：libexec.so, libexecmain.so

梆梆： libsecexe.so, libsecmain.so , libDexHelper.so

360：libprotectClass.so, libjiagu.so

通付盾：libegis.so

网秦：libnqshield.so

百度：libbaiduprotect.so

2.基于特征的识别代码

第一代壳

内存Dump法

文件监视法

Hook法

定制系统

动态调试法

内存Dump法

内存中寻找dex.035或者dex.036

/proc/xxx/maps中查找后，手动Dump

升级版的android-unpacker，read和lseek64代替pread，匹配dex代替匹配odex

文件监视法

Hook法

定制系统

修改安卓源码并刷机

动态调试法

IDA Pro

gdb gcore法

.gdbserver:1234–attach pid.gdb(gdb)target remote:1234(gdb)gcore

coredump文件中搜索“dex.035”

第二代壳

内存重组法

Hook法

动态调试

定制系统

静态脱壳机

内存重组法

Dex篇

对付一切内存中完整的dex，包括壳与动态加载的jar

so篇

elfrebuild

构造soinfo，然后对其进行重建

Hook法

针对无代码抽取且Hook dvmDexFileOpenPartial失败

Hook dexFileParse

针对无代码抽取且Hook dexFileParse失败

Hook memcmp

定制系统

修改安卓源码并刷机－针对无抽取代码

Hook dexfileParse

DexHunter-最强大的二代壳脱壳工具

DexHunter的工作流程：

DexHunter的工作原理：

绕过三进程反调试

修改系统源码后：

ls/proc/345/task

./gdbserver:1234--attach346...(gdb)gcore

gcore防Dump解决方案：

断点mmap调试，针对Hook dexFileParse无效

原理： dexopt优化时， dvmContinueOptimization()->mmap()

静态脱壳机

分析壳so逻辑并还原加密算法

自定义linker脱so壳

main()->dump_file()

第三代壳

dex2oat法

定制系统

dex2oat法

ART模式下，dex2oat生成oat时，内存中的DEX是完整的

定制系统

Hook Dalvik_dalvik_system_DexFile_defineClassNative

枚举所有DexClassDef，对所有的class，调用dvmDefineClass进行强制加载

第N代壳

so + vmp

动态调试 ＋ 人肉还原