[原创]简单粗暴的so加解密实现-Android安全-看雪-安全社区|安全招聘|kanxue.com

[原创]简单粗暴的so加解密实现

2014-8-26 21:42 163409

[原创]简单粗暴的so加解密实现

ThomasKing 活跃值

2014-8-26 21:42

163409

查看主题内容

收藏・272

点赞・14

打赏

最新回复 (116) ◀ 1 2 3 4 5 ▶
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-2 17:24 26 楼 0 支持。不过有几点 1. .text理论上是完全可以加密的。 2. 多加节无所谓，只要把节表和strtab删掉即可。 3. 解密完后一定要cache刷新一下 4. __attribute__((constructor))这个方式也不错，但可以通过扩充init_array来完成。
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-2 18:48 27 楼 0 多谢指点！不过我不太明白大大的意思： 1. 那如果.text都加密了，与CRT相关的代码如何处理？ 2. 多加的节应该放在文件末尾吧？直接插在中间的话，就需要把后面的segment移位偏移吧 3. 为什么要cache下？通过什么实现？ 4. 声明 __attribute__((constructor))属性，编译器会把此函数加入init_array中。那扩充init_array是通过section属性声明来实现么？求大大解释，小弟不胜感激！
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-3 09:45 28 楼 0 你说的CRT是加密解密代码吗？这个可以放到自定义的节中啊。多加的节是放在末尾的 cache的原因是解密前的指令还有可能在cache当中，解密后刷新一下可以恢复解密后的指令。扩充init_array可以新建一个init_array节啊，把原先的拷贝过去，重新做好重定位，就可以了。
丘比龙雪币： 45 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	丘比龙 2014-9-3 09:52 29 楼 0 这些需要被加壳来写代码配合。你新建的init_array要吗在被加壳中so写代码配合。要么扩充节。而扩充节那要修复就多了。
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 11:20 30 楼 0 多谢大大指点！之前小弟没说清楚，不好意思，。我说的CRT代码是与运行库相关代码。这些代码编译器自动加上放在.text段。我之前测试过，如果直接把.text段全加密，是不行的。前段时间，小弟做双重加密的时候，就遇到时灵时不灵的情况。听大大这么说，我估计是cache没刷。那cache怎么刷呢？请大大指点下
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 11:22 31 楼 0 嗯，多谢大大指点！
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-3 12:07 32 楼 0 哦。我试过.text完全加密，倒没出现过问题。时灵时不灵的问题就是没有刷新cache的缘故。 http://stackoverflow.com/questions/6046716/how-clear-and-invalidate-arm-v7-processor-cache-from-user-mode-on-linux-2-6-35 或者google flush cache
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 13:07 33 楼 0 多谢大大指点！
华仔在吗雪币： 11 活跃值： (80) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 148 粉丝 0 关注私信	华仔在吗 2014-9-3 21:45 34 楼 0 感谢分享。。。。。
wule 雪币： 270 活跃值： (234) 能力值： ( LV7，RANK：100 ) 在线值：发帖 17 回帖 91 粉丝 11 关注私信	wule 2 2014-9-5 19:55 35 楼 0 这么好的贴，不知说点什么好了，顶！！
boyliang 雪币： 233 活跃值： (148) 能力值： ( LV9，RANK：210 ) 在线值：发帖 10 回帖 75 粉丝 7 关注私信	boyliang 5 2014-9-9 22:52 36 楼 0 非常好的技术贴，描述也很详细易懂，赞一个。
风过果落雪币： 56 活跃值： (242) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 86 粉丝 0 关注私信	风过果落 2014-9-10 08:53 37 楼 0 感谢楼主分享~~~~
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-10 10:50 38 楼 0 多谢大大鼓励支持！
fkunlam 雪币： 34 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 165 粉丝 0 关注私信	fkunlam 2014-9-10 11:14 39 楼 0 不错吖，感谢分享吖。
lifangjie 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 15 粉丝 0 关注私信	lifangjie 2014-9-16 15:51 40 楼 0 我是顶你的，你帮我了我的大忙
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-16 18:42 41 楼 0 多谢支持鼓励。
fanfu 雪币： 7 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	fanfu 2014-11-28 17:07 42 楼 0 ThomasKing出品，必属精品，细细研读，收获不小，多谢谢大神。。
xiaogangha 雪币： 75 活跃值： (53) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 61 粉丝 0 关注私信	xiaogangha 2015-2-4 16:43 43 楼 0 有没有人遇到过。。程序报错 02-04 08:40:32.481: A/libc(948): Fatal signal 4 (SIGILL) at 0x4a2c13de (code=1), thread 948 (example.soshell)
xiaogangha 雪币： 75 活跃值： (53) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 61 粉丝 0 关注私信	xiaogangha 2015-2-11 08:53 44 楼 0 也就是这个函数报错， if(mprotect((void ) ((base + info.st_value) / PAGE_SIZE PAGE_SIZE), npage, PROT_READ \| PROT_EXEC \| PROT_WRITE) != 0){ print_debug("mem privilege change failed"); } 没有权限？？
ydyyes 雪币： 26 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 18 粉丝 0 关注私信	ydyyes 2015-2-14 21:53 45 楼 0 mark
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-17 16:34 46 楼 0 ThomasKing兄，我试了你的解密代码解密出错，原因是nblock = ehdr->e_entry >> 16;的值为0，通过LOG发行ehdr->e_entry的值为0，这是为何，如何解决？多谢！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-17 16:35 47 楼 0 ThomasKing兄，我试了你的解密代码解密出错，原因是nblock = ehdr->e_entry >> 16;的值为0，通过LOG发行ehdr->e_entry的值为0，这是为何，如何解决？多谢！
fanslinux 雪币： 236 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 31 粉丝 0 关注私信	fanslinux 2015-2-17 16:36 48 楼 0 多谢分享！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-19 16:20 49 楼 0 找到原因了，我改了elf head，把entry置为0了，多谢大神的无私分享！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-19 18:25 50 楼 0 整个ELF文件大小 = e_shoff + e_shnum * sizeof(e_shentsize) + 1 应该为整个ELF文件大小 = e_shoff + e_shnum * sizeof(e_shentsize) - 1吧？
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复

ThomasKing

发帖

207

回帖

310

RANK

关注

私信

他的文章

来自高纬的对抗 - 逆向TinyTool自制

[原创]CVE-2015-8966/AndroidID-31435731

[原创]记一次混淆算法逆向分析

[原创]InlineHook更新

[原创]JNINativeInterfaceHook & trace

关于我们

联系我们

企业服务

看雪公众号

最新回复 (116) ◀ 1 2 3 4 5 ▶
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-2 17:24 26 楼 0 支持。不过有几点 1. .text理论上是完全可以加密的。 2. 多加节无所谓，只要把节表和strtab删掉即可。 3. 解密完后一定要cache刷新一下 4. __attribute__((constructor))这个方式也不错，但可以通过扩充init_array来完成。
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-2 18:48 27 楼 0 多谢指点！不过我不太明白大大的意思： 1. 那如果.text都加密了，与CRT相关的代码如何处理？ 2. 多加的节应该放在文件末尾吧？直接插在中间的话，就需要把后面的segment移位偏移吧 3. 为什么要cache下？通过什么实现？ 4. 声明 __attribute__((constructor))属性，编译器会把此函数加入init_array中。那扩充init_array是通过section属性声明来实现么？求大大解释，小弟不胜感激！
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-3 09:45 28 楼 0 你说的CRT是加密解密代码吗？这个可以放到自定义的节中啊。多加的节是放在末尾的 cache的原因是解密前的指令还有可能在cache当中，解密后刷新一下可以恢复解密后的指令。扩充init_array可以新建一个init_array节啊，把原先的拷贝过去，重新做好重定位，就可以了。
丘比龙雪币： 45 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	丘比龙 2014-9-3 09:52 29 楼 0 这些需要被加壳来写代码配合。你新建的init_array要吗在被加壳中so写代码配合。要么扩充节。而扩充节那要修复就多了。
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 11:20 30 楼 0 多谢大大指点！之前小弟没说清楚，不好意思，。我说的CRT代码是与运行库相关代码。这些代码编译器自动加上放在.text段。我之前测试过，如果直接把.text段全加密，是不行的。前段时间，小弟做双重加密的时候，就遇到时灵时不灵的情况。听大大这么说，我估计是cache没刷。那cache怎么刷呢？请大大指点下
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 11:22 31 楼 0 嗯，多谢大大指点！
cacorothuo 雪币： 188 活跃值： (167) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 146 粉丝 3 关注私信	cacorothuo 2014-9-3 12:07 32 楼 0 哦。我试过.text完全加密，倒没出现过问题。时灵时不灵的问题就是没有刷新cache的缘故。 http://stackoverflow.com/questions/6046716/how-clear-and-invalidate-arm-v7-processor-cache-from-user-mode-on-linux-2-6-35 或者google flush cache
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-3 13:07 33 楼 0 多谢大大指点！
华仔在吗雪币： 11 活跃值： (80) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 148 粉丝 0 关注私信	华仔在吗 2014-9-3 21:45 34 楼 0 感谢分享。。。。。
wule 雪币： 270 活跃值： (234) 能力值： ( LV7，RANK：100 ) 在线值：发帖 17 回帖 91 粉丝 11 关注私信	wule 2 2014-9-5 19:55 35 楼 0 这么好的贴，不知说点什么好了，顶！！
boyliang 雪币： 233 活跃值： (148) 能力值： ( LV9，RANK：210 ) 在线值：发帖 10 回帖 75 粉丝 7 关注私信	boyliang 5 2014-9-9 22:52 36 楼 0 非常好的技术贴，描述也很详细易懂，赞一个。
风过果落雪币： 56 活跃值： (242) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 86 粉丝 0 关注私信	风过果落 2014-9-10 08:53 37 楼 0 感谢楼主分享~~~~
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-10 10:50 38 楼 0 多谢大大鼓励支持！
fkunlam 雪币： 34 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 165 粉丝 0 关注私信	fkunlam 2014-9-10 11:14 39 楼 0 不错吖，感谢分享吖。
lifangjie 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 15 粉丝 0 关注私信	lifangjie 2014-9-16 15:51 40 楼 0 我是顶你的，你帮我了我的大忙
ThomasKing 雪币： 368 活跃值： (1181) 能力值： ( LV9，RANK：310 ) 在线值：发帖 20 回帖 207 粉丝 152 关注私信	ThomasKing 6 2014-9-16 18:42 41 楼 0 多谢支持鼓励。
fanfu 雪币： 7 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	fanfu 2014-11-28 17:07 42 楼 0 ThomasKing出品，必属精品，细细研读，收获不小，多谢谢大神。。
xiaogangha 雪币： 75 活跃值： (53) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 61 粉丝 0 关注私信	xiaogangha 2015-2-4 16:43 43 楼 0 有没有人遇到过。。程序报错 02-04 08:40:32.481: A/libc(948): Fatal signal 4 (SIGILL) at 0x4a2c13de (code=1), thread 948 (example.soshell)
xiaogangha 雪币： 75 活跃值： (53) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 61 粉丝 0 关注私信	xiaogangha 2015-2-11 08:53 44 楼 0 也就是这个函数报错， if(mprotect((void ) ((base + info.st_value) / PAGE_SIZE PAGE_SIZE), npage, PROT_READ \| PROT_EXEC \| PROT_WRITE) != 0){ print_debug("mem privilege change failed"); } 没有权限？？
ydyyes 雪币： 26 活跃值： (25) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 18 粉丝 0 关注私信	ydyyes 2015-2-14 21:53 45 楼 0 mark
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-17 16:34 46 楼 0 ThomasKing兄，我试了你的解密代码解密出错，原因是nblock = ehdr->e_entry >> 16;的值为0，通过LOG发行ehdr->e_entry的值为0，这是为何，如何解决？多谢！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-17 16:35 47 楼 0 ThomasKing兄，我试了你的解密代码解密出错，原因是nblock = ehdr->e_entry >> 16;的值为0，通过LOG发行ehdr->e_entry的值为0，这是为何，如何解决？多谢！
fanslinux 雪币： 236 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 31 粉丝 0 关注私信	fanslinux 2015-2-17 16:36 48 楼 0 多谢分享！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-19 16:20 49 楼 0 找到原因了，我改了elf head，把entry置为0了，多谢大神的无私分享！
Colbert仔雪币： 228 活跃值： (50) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 52 粉丝 0 关注私信	Colbert仔 2015-2-19 18:25 50 楼 0 整个ELF文件大小 = e_shoff + e_shnum * sizeof(e_shentsize) + 1 应该为整个ELF文件大小 = e_shoff + e_shnum * sizeof(e_shentsize) - 1吧？
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复