Android安卓破解之逆向分析SO常用的IDA分析技巧
2016-03-31 14:21
786 查看
参考:
网易云加密:http://apk.aq.163.com
网易云捕:http://crash.163.com
1、结构体的创建及导入,结构体指针等。
以JniNativeInterface, DexHeader为例。
解析Dex的函数如下:
F5后如下:
File->load file->parser c header file,导入Dex.h
上图中a1,右键转成结构体,选择dexheader,效果如下:
2、函数指针时的参数个数调整,不定参数等。
以__android_log_print为例,选中该函数。
Edit->operand type-> set operand type,修改参数如下:
int (__cdecl *)(int, char *, char *, char *, int *, int *),F5刷新后,效果如下:
3、thumb/arm模式的转换
快捷键ALT +G,其中0x01是THUMB,0x00是ARM模式。一般4个字节ARM模式,两个字节为THUMB模式,如:
4、函数被误认为chunk,导致调用者函数多个入口。
以Java_by_Ericky_crackme01_JNI_EatRice为例,可以看到有两个入口。
来到第一个入口的结束位置为BX跳转指令, 应该让他跳转到第二个入口出,才正确。
所有首先要remove function tail,
选中,结尾处,然后edit->functions->remove function tail,效果:
然后再将跳转指令BL,修改为Call,edit->others->force bl call,效果
5、C++RTTI,类名识别。
来的 JNI_OnLoad处
sub_A558为构造函数。
可以得在该函数名为9ArtLoader,
6、创建函数,设定函数结尾地址。
F5,效果如下:
解决办法,按P,再F5。如果P没有效果,则可以选中后再按P。
7、Elf的修复,内存dump该so及其以来文件,然后修改dump出来的基址,File-->LoadFile-->binary file。
dump命令为:
dd if=/proc/1935/mem of=/sdcard/alimsc4 skip=1578049536 ibs=1 count=3993600
8、数据复制、patch。
选中数据,然后edit->export data,即可
9、脚本,idc,IDAPython
http://magiclantern.wikia.com/wiki/IDAPython/intro
http://drops.wooyun.org/tips/11849
http://drops.wooyun.org/tips/12060
10、lsof查看被删除的文件,cat从内存中得到被删除的文件
root@android:/ # lsof |busybox grep com.sxiaoao.car3d3
system_se 523 system 298 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 44 /data/data/com.sxiaoao.car3d3/files/app_sdk103700_.jar (deleted)
com.sxiao 10370 u0_a65 48 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 49 /data/app/com.sxiaoao.car3d3-2.apk
10370是进程号 44是打开文件的fd 文件fd映射在/prop/pid/fd里面
用cat命令把文件拷贝出来
1|root@android:/ # cat /proc/10370/fd/44 > /data/local/tmp/test.jar
11、arm指令模拟器
12、为什么不能F5, 不能全信F5
网易云加密:http://apk.aq.163.com
网易云捕:http://crash.163.com
1、结构体的创建及导入,结构体指针等。
以JniNativeInterface, DexHeader为例。
解析Dex的函数如下:
F5后如下:
File->load file->parser c header file,导入Dex.h
上图中a1,右键转成结构体,选择dexheader,效果如下:
2、函数指针时的参数个数调整,不定参数等。
以__android_log_print为例,选中该函数。
Edit->operand type-> set operand type,修改参数如下:
int (__cdecl *)(int, char *, char *, char *, int *, int *),F5刷新后,效果如下:
3、thumb/arm模式的转换
快捷键ALT +G,其中0x01是THUMB,0x00是ARM模式。一般4个字节ARM模式,两个字节为THUMB模式,如:
4、函数被误认为chunk,导致调用者函数多个入口。
以Java_by_Ericky_crackme01_JNI_EatRice为例,可以看到有两个入口。
来到第一个入口的结束位置为BX跳转指令, 应该让他跳转到第二个入口出,才正确。
所有首先要remove function tail,
选中,结尾处,然后edit->functions->remove function tail,效果:
然后再将跳转指令BL,修改为Call,edit->others->force bl call,效果
5、C++RTTI,类名识别。
来的 JNI_OnLoad处
sub_A558为构造函数。
可以得在该函数名为9ArtLoader,
6、创建函数,设定函数结尾地址。
F5,效果如下:
解决办法,按P,再F5。如果P没有效果,则可以选中后再按P。
7、Elf的修复,内存dump该so及其以来文件,然后修改dump出来的基址,File-->LoadFile-->binary file。
dump命令为:
dd if=/proc/1935/mem of=/sdcard/alimsc4 skip=1578049536 ibs=1 count=3993600
8、数据复制、patch。
选中数据,然后edit->export data,即可
9、脚本,idc,IDAPython
http://magiclantern.wikia.com/wiki/IDAPython/intro
http://drops.wooyun.org/tips/11849
http://drops.wooyun.org/tips/12060
10、lsof查看被删除的文件,cat从内存中得到被删除的文件
root@android:/ # lsof |busybox grep com.sxiaoao.car3d3
system_se 523 system 298 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 44 /data/data/com.sxiaoao.car3d3/files/app_sdk103700_.jar (deleted)
com.sxiao 10370 u0_a65 48 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 49 /data/app/com.sxiaoao.car3d3-2.apk
10370是进程号 44是打开文件的fd 文件fd映射在/prop/pid/fd里面
用cat命令把文件拷贝出来
1|root@android:/ # cat /proc/10370/fd/44 > /data/local/tmp/test.jar
11、arm指令模拟器
12、为什么不能F5, 不能全信F5
相关文章推荐
- Android新手入门2016(17)--新手总结
- android studio添加android.support.v4.widget.ViewDragHelper包
- Android UI控件
- android layout布局属性、标签属性总结大全
- 关于Android布局优化(一)
- Android studio 不能预览布局文件
- Android屏幕适配全攻略(最权威的官方适配指导)
- android逆向总结---强哥的书
- Android开发之WebView和JS交互详解
- android getwidth 为0解决方案
- 浅谈Activity之启动方式(5种启动方式和隐式启动)
- Android--短信拦截及IP拨号
- Android Studio优化之启用Shift+Ctrl+O导入所有的包
- android mediarecorder自制录相机花屏问题
- Android动画 Animation
- Android利用系统Action裁剪图片大小
- 两分钟彻底让你明白Android Activity生命周期(图文)!
- android 图片轮播控件 Android-ConvenientBanner简单使用
- Android自定义类似ProgressDialog效果的Dialog
- 修改android默认锁屏方式