-
-
[原创]ALICTF2014 evilAPK400完整脱壳分析
-
发表于: 2014-9-30 00:28
-
这是ALICTF2014的EvilApk 400pt的脱壳分析笔记。据说这是阿里加固小组做的初级版本，但我这种小菜也是被搞的脑洞大开。分析断断续续花了4天，文档就写了2天，简直惨~期间也是学到了很多新知识，不敢藏私，果断分享。文中肯定有很多不对的地方，望大牛们斧正！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
神一样的沙发速度~
|
|
|
|
|
|
赞一个抽抽
|
|
|
回头有空我也发一个攻略，让大家见识一下什么叫坑爹，就因为一个int的问题，卡了好几天~~~ 这个其实很简单，直接dump就行，没必要费劲分析，log已经把过程说得很清楚了。
|
|
|
|
|
|
|
|
|
|
|
|
额...这就是分离了。你是直接将相关的整个内存区域都dump了下来，如果我有意识的将两者内存地址拉开很大的话(通过制定mmap首地址，让两者差距几十，几百MB)，那就得dump很大的内存区域了。
最主要的是，我并非是以解题为目的哈，主要是为了研究它具体地加壳机制，所以花费了大量的时间精力来分析~这样直接dump内存块就是纯粹的为了破解而逆向了~能学到的东西基本为0吧。
|
|
|
|
|
|
哈哈，因为我近段时间比较闲
 要是也像你们大牛这么忙的话，肯定走简单路线啦。
|
|
|
我刚确认了一下，是可以分离的，应该是不影响dalvik的解析，因为正常运行了
|
|
|
|
