【胖虎的逆向之路】03——Android一代壳脱壳办法罗列&实操

阿里云国内75折回扣微信号：monov8

阿里云国际，腾讯云国际，低至75折。AWS 93折免费开户实名账号代冲值优惠多多微信号：monov8 飞机：@monov6

【胖虎的逆向之路】03——Android脱壳办法罗列&脱壳原理详解

【胖虎的逆向之路】01——动态加载和类加载机制详解
 【胖虎的逆向之路】02——Android整体加壳原理详解&实现

文章目录

【胖虎的逆向之路】03——Android脱壳办法罗列&脱壳原理详解
前言
一、主流脱壳方法
二、实验总结
三、参考文献

前言

在上文中我们讲解了关于Android整体加壳的原理和实际操作现在我们来针对目前主流的脱壳工具以及流程进行讲解由于作者能力有限会尽力的详细描述 整体壳脱壳 的流程及原理如本文中有任何错误烦请指正感谢~

一、主流脱壳方法

在这里插入图片描述

1.工具脱壳法

工具脱壳是指的利用现有的工具进行脱壳很多的大佬已经开发了很多实用的工具我们可以直接搞来使用嘻嘻嘻~

1) Frida-DexDump

得益于Frida, 在电脑上面进行内存搜索、转储的时候都变得十分方便不再去通过繁琐的Xposed代码来获取Dex中对应的类与方法仅需要关注如何去搜索想要的函数即可对于完整的 dex采用暴力搜索 dex035 即可找到。而对于抹头的 dex通过匹配一些特征来找~

支持模糊搜索断头dex深度搜索模式。
兼容所有安卓版本支持frida。
一键安装无需修改系统易于部署和使用

项目地址: https://github.com/hluwa/FRIDA-DEXDump

使用方法也变得简单很多在这里借助一个大佬的使用流程图可以快速进行脱壳
在这里插入图片描述

我们简单演示一下这里结合objection一起使用
在这里插入图片描述
然后再次打开脱下来的dex即可~

ps:获取到dex后,推荐使用Jadx进行反编译dex2jar有点过时了…

另外附上深度介绍深入 FRIDA-DEXDump 中的矛与盾

2) Fart

Fart 的制作过程略显繁琐主要是FART的代码是通过修改少量Android源码文件而成的经过修改的Android源码编译成系统镜像刷入手机这样的手机启动后针对Apk可以进行脱壳~
基于此我更愿意称之为是脱壳鸡因为是把经过修改的Android源码编译成了系统镜像刷入了手机~

官方介绍
ART环境下基于主动调用的自动化脱壳方案基于Android 6.0实现理论上可以移植到任何系统上~

项目地址https://github.com/hanbinglengyue/FART

具体的实现原理和步骤在看雪

脱壳流程

1、安装待脱壳apk并到设置中授予sd卡读写权限(否则dump下的文件无法写入到sdcard)

2、点击app图标开始进入fart脱壳过程

接下来可以对logcat中的tag为ActivityThread的log进行过滤等待待脱壳app进程出现"fart run over"此时fart主动调用过程结束。脱壳下来的

dex文件和函数体bin文件均在/sdcard/fart/app包名的目录下~

下面截图为fart的运行流程和脱壳结果
在这里插入图片描述

在这里插入图片描述

官方Ps添加frida版的fart的两种不同实现各有特色。可以实现具体到对某一个类下的所有函数甚至是对某一个函数的CodeItem的dump。需要的可以去体验下其强大的脱壳能力。(注意测试环境为pixel Android8.0,frida-server 12.8.0)

在这里插入图片描述

3) Youpk

Youpk基于ART的主动调用的脱壳机主要针对dex整体加固和各式各样的dex抽取加固但是目前 Youpk 只支持 pixel 1代。所以必须需要 pixel 1代手机而且需要刷入对应的系统~

基本流程如下:

从内存中dump DEX
构造完整调用链, 主动调用所有方法并dump CodeItem
合并 DEX, CodeItem

项目地址https://github.com/youlor/unpacker

在该地址中有较多的流程及方法、注意问题等有需要的可以去看一哈

4) 常用脱壳工具对比

在这里插入图片描述

2.Hook脱壳法

我们上面有写到只要函数中包含DexFile对象其实就可以通过Hook拿到该对象然后取到begin和size从而进行脱壳目前使用较多的Hook框架是Xposed和frida两种感觉Frida使用人数较多也方便在这里用frida进行演示~

首先使用GDA识别加壳程序~
在这里插入图片描述
看起来很明显是进行了整体加壳有没其他加壳暂时不知道我们先进行脱壳处理

首先找到脱壳点~

通过IDA打开libart.so搜索DexFile我们可以找到海量的脱壳点
在这里插入图片描述

然后我们编写hook脚本

在这里插入图片描述

这里之所以获取begin加上一个指针是因为我们前面讲了dexfile含有一个虚函数地址所以加上一个指针偏移

然后在手机中启动frida_server
在这里插入图片描述
附加进程进行dump这里我们存在sdcard下面所以需要提前赋予读写文件权限

在这里插入图片描述
从图中可以看得出来到这里就已经脱壳成功~

然后使用jadx打开对应的dex进行查看

此时说明我们整体脱壳成功不过应用看起来还有抽取壳抽取壳后续会单开一篇文章进行记录~

3.插桩脱壳法

插桩脱壳法就是在Android源码里面定位到相应的脱壳点然后插入相应的代码重新编译源码生成系统镜像最后就可以使用定制的系统进行脱壳~

其原理感觉跟youpk比较像如何编译源码不再进行赘述有需要的小伙伴可以看下这篇文章~
源码编译1——Android6.0源码编译详解

那么还是借助大佬已经完成的图片进行讲解同理、还是定位脱壳点我们还是随便定位一个脱壳点LoadMethod 然后进行插桩
在这里插入图片描述

//add
char dexfilepath[100]=0;
memset(dexfilepath,0,100);
sprintf(dexfilepath,"%d_%zu_LoadMethod.dex",getpid(),dex_file.Size());
int dexfd = open(dexfilepathm,O_CREAT|O_RDWR,666);
if(dexfd>0){
    int result = write(dexfd,dex_file.Begin(),dex_file.Size());
    if(result>0){
        close(dexfd);
        LOG(WARNING)<<"LoadMethod"<<dexfilepath;
    }
 
}
//add