安卓逆向学习入门之过反调试(一)

一时失言乱红尘 2022-12-19 03:46 248阅读 0赞

前面有篇文章讲了 smail代码的简单修改，其实它有3个apk可以用来练手，今天来讲第二个apk，也是比较简单，大佬请飘过。

样本地址：

https://github.com/wyhuan/owasp-mstg/blob/master/Crackmes/Android/Level_02/UnCrackable-Level2.apk

依然下载到手机并安装，打开看看：

![format_png][]

还是和之前一样还有root 检测，还是照样用 jadx打开apk看看：

![format_png 1][]

可以看到，除了检测 root之外，还会检测 是否正在被调试。如果 像上次一样只修改那个语句肯定不行，被调试检测也得一样修改，要不然在动态调试的时候会直接退出：

![format_png 2][]

这里有两种方案：

一：用frida Hook exit函数，即在执行exit的时候，什么也不做，并不是真正的将进程退出。但是注入的时间得准确，在线程创建之前;否则无法正常Hook

二：将这里的代码在smali文件里面全部删除，这样就不会将程序退出了。

我这里使用的是第二种方法，找到对应的文件和代码，全部删掉：

![format_png 3][]

重新打包并签名安装后，随便输入一个字符串看提示：

![format_png 4][]

搜索Nope定位到 调用的地方，发现调用的是一个 native 层的函数：

![format_png 5][]

定义如下：

![format_png 6][]

翻看 lib文件夹里面的文件，有这些：

![format_png 7][]

选择 armeabi-v7a 文件夹里面的so文件拖入到IDA，并查找 bar 函数，F5查看其C伪代码，导入jni.h头文件，并定义一些结构，效果如下：

![format_png 8][]

逻辑很清晰，先判断输入的字符串长度是否为23，然后再判断是否与 "Thanks for all the fish"相等，也就是输入的字符串是否为 "Thanks for all the fish",在app上输入该字符串，可以看到成功了：

![format_png 9][]

虽然成功了，但这不是今天的重点，该apk的native层其实有检测是否正在被调试:

![format_png 10][]

该子函数的定义如下：

![format_png 11][]

理解这段代码需要一些 进程和线程的知识，目前我也属于萌新的状态，只知道将 ptrace 函数NOP掉就可以过它的检测。下面我们就开干吧。

一，确定手机的CPU架构，一条adb命令即可：

adb shell getprop ro.product.cpu.abi

测试手机的结果如下：

![format_png 12][]

二：将这个架构下的so文件拖入IDA(也要选择64位)，并设置断点：

![format_png 13][]

三：开始手机上的服务，并进行端口转发：

![format_png 14][]

![format_png 15][]

四：设置IDA调试：

![format_png 16][]

![format_png 17][]

![format_png 18][]

五:调试模式运行该app，cmd输入如下命令：

adb shell am start -D -n owasp.mstg.uncrackable2/sg.vantagepoint.uncrackable2.MainActivity

该命令运行后手机上的界面显示：

![format_png 19][]

六：进程PID查看，用ps命令在cmd窗口看的比较费劲，直接保存到文件，在文件里面查找吧：

adb shell ps -A >D:\123.txt

![format_png 20][]

转发：

adb forward tcp:8700 jdwp:13573

运行这条命令后，转到IDA，进行调试：

![format_png 21][]

点击yes，以后这种弹框都点击yes即可。

jdb附加，在cmd下输入如下命令并回车：

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

附加后，在IDA界面一直按F9，使程序运行起来，直到停到断点的位置：

![format_png 22][]

弹出框一律选择 yes 或 same。不就就会来到这里：

![format_png 23][]

这就停在了设置断点的位置。按下空格将窗口放大,在调用子函数时，按下F7，进入子函数：

![format_png 24][]

将这两处的指令直接NOP替换：

![format_png 25][]

然后一直按下F9，直到看到手机app 正常运行且光标闪烁,随便输入一个 字符串，并按下 VERIFY按钮，IDA弹出如下框：

![format_png 26][]

点击yes，来到bar函数的断点处:

![format_png 27][]

这样，一个动态调试时过反调试简单例子就完成了。

![format_png 28][]

调试到这里，指令想怎么改就怎么改吧，你高兴就好。

[format_png]: /images/20221120/f94347fe754b4adaaafb7b5814f46fb7.png
[format_png 1]: /images/20221120/1f9052050e7043b98f893e886ef4faab.png
[format_png 2]: /images/20221120/81db66657d904b179c4ff2e9bdd6e834.png
[format_png 3]: /images/20221120/a76fbdd003c14e83b25d52ef3cc76eba.png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkdwRmlhWGI3aEN0ZkloNFdFY3JTaWNFSk5FR0lFWk1LYmxpYndUYTAydHUzeXV3amM5Q3lQajBJa0EvNjQw?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkdRNTRuNU9BR0lEVm1iUm1WOEY1MUwyQlpTa0dmSllnakxzMmp5TElvTW95RlFodkRaREdhTUEvNjQw?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkcxZW1MTlRteDNQUkwxemg4eGFHZXNKSlBnaWNBR1FpY3ZDdFVpYk5USVFidExLcWZmeTdyRVBld2cvNjQw?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkdka2JoVmJaaHVkOTVpYXhSR3VacDVsYmZuU0pMNWlid3JhWVdPV0VkaEZ6Q0w3b05lNE92aWJreUEvNjQw?x-oss-process=image/format,png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkc3V3k5UUNSNkdYVGliNXF2SXNaQWRQZGdzaWJhNVpieFBmbWZpY0VXNXdBcER4cVJ5UGNxMjNKNUEvNjQw?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkdjWnNseklGZkJhN2ljOHdaU2JMSnA0cVk0TnZ3ZVRxaWJGeGZmVXhTZjZoTlZvWXJveDc1MVVUQS82NDA?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMFBwOUZpYVdDWjIzMFlVZVJmWkYxdkdzaWNGMEhWMnN3bjBLbGNXamc2S1ZGSGljWk5NRGRGNHFVUTQyRHZCWTBqenZnNldpYW1FdnU1NHcvNjQw?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdkVYSHNEUEg0OTVOczBlaWFhTFBwWHREa2p2TWFpYXJVOFFubk9Zekg0ejZoQzdJcDlqWmljNUFLZy82NDA?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9Rdjlod2liWHpOYVNYVHhpYVA0WlhZWHR5OFRiSnl1ZHJkYlRaNlgyTVh6THNpY25ZQ0hpYWliMkRCUGNnLzY0MA?x-oss-process=image/format,png
[format_png 13]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmljbnJUNmFpY0NFZzdLc3ZCdFlZNjlUVzhpYmlhRWJUN0FJeWU5QjE2NkNnTEFmZmxZY2lja09ENW13LzY0MA?x-oss-process=image/format,png
[format_png 14]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmZlVlRGMHE4SW9MalF5emdoampPUmc3ekZ2ZWdSR2FraHp2cFZTbldyY00zUldjOFRtMDhZQS82NDA?x-oss-process=image/format,png
[format_png 15]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmZZeFFST3RuM0xwNEc1T01rV01ZcGVCSG4wNkphUndsdk9rZVpFOHBtVFRtUXFyN0hoV2I3QS82NDA?x-oss-process=image/format,png
[format_png 16]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmRXMFpBZWMwTkVNTHVYN2dBb1R4Z3BjV0tZV0IyTTg4UWV1RjZjdHJYd25yY1RDaFNuTXJhdy82NDA?x-oss-process=image/format,png
[format_png 17]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdlZOSDNhaGIxU0xRZGliM0JTcGU0akYxM2liVW9DQTFSejhrOUF5Nm1Hbk4xMm9DTlJzR1RrdHZnLzY0MA?x-oss-process=image/format,png
[format_png 18]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9Rdkx6djh5WmljdDVmUGVRNmxDYkJFSFNEN1dKMExFQVF3TWFtRnZNcm9uS2JDSlJteWNWaWNCMDRRLzY0MA?x-oss-process=image/format,png
[format_png 19]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmljekducTBkV21FZURRNEZjZXVYc0c5ZG9hUmljRUQ2YWZRNUlHUk10YjlrMFlLaWFTWHFkT2ljdlEvNjQw?x-oss-process=image/format,png
[format_png 20]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdkJUTmw4WmplZkFYMU5IeGY1ME91MXR5MHJ0QmtpYk03ZFBpYW5DR3Z0MFZNTnpsVTRpY2tYaWE3SmcvNjQw?x-oss-process=image/format,png
[format_png 21]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdndzSDZPYkxnVVJTRldCYWgzVmZPU3pWME04dk40VnVqZ1MyaWFZYkFNeFVxUEgzSVlBUWJPdVEvNjQw?x-oss-process=image/format,png
[format_png 22]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdjVFTGZpYVJISHA4b2J0Sng2c001b0JXbEczakdJRVM5ZlVxZ013aWJIS202QksyYk9TdlZhRFlRLzY0MA?x-oss-process=image/format,png
[format_png 23]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdnhmTk4wVzY0aEZ5UVFCTURyWExDaWFpY0lKcGhlSG45T0ZUWlVVdFIwbk5UZ3FreVF1WlBpYmZQQS82NDA?x-oss-process=image/format,png
[format_png 24]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmU3YVlqNDZvZWdkWjI0RENqb1FXSXFlb21abGVNVFJFeUc2bHROV0F4Z0hkN25pYmRpY0Z0VU5nLzY0MA?x-oss-process=image/format,png
[format_png 25]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdlRVUXh2eEQ5WlZqajlhTjJ6cVRnOGljSmQxa2NzZmx0c0lWczR4ZFJJRFZQSW1HVFN0dXVCQUEvNjQw?x-oss-process=image/format,png
[format_png 26]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdjNSVGlhQXpzSnlpYWJVRkM4VjBjMkpJSjR6WUdPR2lhR0oxdkNrTEFGVzAwOTBubTZzQ2FtMlBOdy82NDA?x-oss-process=image/format,png
[format_png 27]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdkduWDU4NzJvNWxiWWw5ZUlrRHVnbXdnempNOHBDNEZKNTFDemxjTmJ1YUx3a0JpYWhzMGNNWHcvNjQw?x-oss-process=image/format,png
[format_png 28]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSM1ZsbUJNMVdzMG40QURPN1RETU9RdmRYVmVkZGNtUUlrdXVraWJIVUo2d2VIQTZWS01CcFBzd1ZSMVZRNkEyM3NuZGtOYmljVm5rUkFnLzY0MA?x-oss-process=image/format,png