App动态调试(1)-Radare2和lldb

阳光穿透心脏的1/2处 2022-12-27 07:25 133阅读 0赞

为什么不用IDA，因为贵。  
为什么不用gdb，因为lldb的出现，取代gdb只是迟早的事情，可以说gdb是Depracated。

在 [Android逆向之ARM64静态分析][Android_ARM64]对app的中的so进行了静态分析，这篇文章介绍两种动态调试的方式，一种是radare2，另一种是lldb。

### r2frida ###

#### 概术 ####

Radare2 and Frida better together. 两个强大的工具放在一起，必然会产生更为强大的能量，可以称为"Best Dynamic Debugging Tool "，**最主要是免费**。其本质是Radare2的插件。

### 安装 ###

唯一的一个缺点，安装过程堪称灾难。我用`r2pm -ci r2frida`进行的安装。目前只能在Linux下使用。笔者使用Nodejs最新的稳定版本才安装成功。

缺少库文件的问题，解决办法如下，这里只是举例，具体情况可能不一样，笔者是ssl库链接不了。

> /usr/bin/ld: 找不到 -ldhnetsdk

1）找到本地的libGL.so 文件路径 ，在终端执行：`locate libdhnetsdk.so` 命令:  
/usr/local/ahuasdk/libdhnetsdk.so  
2）建立链接： sudo ln -s /usr/local/ahuasdk/libdhnetsdk.so /usr/lib/libdhnetsdk.so

### 介绍 ###

选择淘宝来介绍。

#### Attach process ####

r2 frida://BH9500C2JR/com.taobao.taobao

其中BH9500C2JR通过`frida-ls-devices`获取。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]

#### Spawn process ####

r2 frida://spawn/usb/BH9500C2JR/com.taobao.taobao

这种情况下是以suspend模式启动app，因此屏幕会卡住。这样就可以**hook程序启动的时候或之前的操作**，比如onCreate。通过`=!dc`可恢复。

#### 命令 ####

所有r2frida的命令都必须以`\或者=!`开头 。

##### 版本命令 #####

获取Frida版本的命令`\?V`  
![在这里插入图片描述][20201208185726246.png_pic_left]

##### 获取信息的命令 #####

*  \\i: Shows target information
 *  \\ii\* : List imports in r2 form.
 *  \\il: List libraries. Commonly used with the symbol ~, which is the internal grep of r2.
 *  \\iE : List exports of library, filtering by library name.
 *  iEa () : Show address of export symbol.
 *  \\isa\[\*\] () : Show address of symbol
 *  \\ic: List classes

部分结果如下:  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]

##### 搜索命令 #####

*  `\/ keyword`: Search hex/string pattern in memory ranges (see search.in=?)  
    以JSON格式显示，搜索关键字rooted，命令为: `\/j rooted`  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]

#### 动态调试 ####

这是r2frida最强大的功能。

*  `\dt (<addr>|<sym>) ...` : Trace list of addresses or symbols. Similar to frida-trace
 *  `\dmas` : Allocate a string inited with on the heap
 *  `\dmal` : List live heap allocations created with dma\[s\]  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]通过px还看不出来什么，通过下图就唔唔沟看出这是UTF-8编码。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]dt命令的简单使用:  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]

#### 其他命令 ####

*  dpt: List threads
 *  dr: List thread registers
 *  `e[?] [a[=b]]`: List/get/set config evaluable vars
 *  env: Get/set environment variable

#### 脚本 ####

JS code to be run in the target can be loaded with `\. script.js.` A common practice is always to call this script **agent.js** to remember that’s the code to be run inside the target.

[0x00000000]> \. agent.js
    [0x00000000]> \dc
    resumed spawned process.

### 调试libnative-lib.so ###

通过smali代码可知libnative-lib.so文件是在中被加载的，在onCreate方法中被调用的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]因此在hook onCreate方法来下断点。

### 参考 ###

https://www.qqxiuzi.cn/bianma/Unicode-UTF.php  
https://frida.re/docs/home/  
https://github.com/enovella/r2frida-wiki

### 写在最后 ###

r2frida在so调试方面基本可以替代IDA的，至于Smali的调试会在后面的文章中涉及。lldb这个利器本来是IOS上面的，用来取代gdb的，目前Google在Android中也大力推广，取代gdb也只是时间问题。

### 公众号 ###

更多内容，欢迎关注我的微信公众号: 无情剑客。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]

[Android_ARM64]: https://mp.weixin.qq.com/s?__biz=MzI1NjEyMzgxMw==&mid=2247484763&idx=1&sn=320aa2eec47bf562de5de83ebde5f63e&chksm=ea2a3391dd5dba871da5eeffab52ce5d190264cc57856fd4c7b2e8167c8103e55c2d979d0082&token=1940923912&lang=zh_CN#rd
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/4e7fba6cd03346deac27f2b414ca375f.png
[20201208185726246.png_pic_left]: /images/20221120/50e73ffd22a04e5086ca6678fd5dc660.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221120/35fde9538d19430b8d65c162a253bf36.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221120/fdbd302cca1f4b108a4e1a9b1368248e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221120/f477586ddb3441cc91aa0a54b49b399c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221120/7f11a670a0034f018ca667e98b9d4be2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221120/1085d635a215457d9efb8689ec3bd6d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221120/25b7b1d754294da7a19db91fda50e259.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221120/f0f3190794b44a6b95814a462b0e6bad.png