首页
社区
课程
招聘
[原创]梆梆脱壳分析2-依然使用gcore脱壳的方法
发表于: 2015-3-25 10:24 23869

[原创]梆梆脱壳分析2-依然使用gcore脱壳的方法

2015-3-25 10:24
23869

续前文:http://bbs.pediy.com/showthread.php?t=198778

前文中可以看出主进程的孙子进程是起到防gdb/gcore的关键,那么如何绕过它,依然使用gdb去dump出完整dex呢?
开始时,我是重新编译了一个rom,屏蔽与重定向了相关API,可以dump出来,显然这个方法相对烦躁一点,下面介绍一种在目前梆梆的版本上,更为简单粗暴的方法。

1. 首先通过ps找出孙子进程的pid,记为pid3;
2. 查看/proc/<pid3>/task找出孙子进程所有的thread,通常是3个,并记录下他们的tid;
3. 使用kill -20 <tid> 将其子线程挂起;
4. gdb 主进程,顺利gcore

收藏
免费 3
支持
分享
最新回复 (16)
雪    币: 79
活跃值: (373)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
感谢分享。
2015-3-25 10:35
0
雪    币: 37
活跃值: (62)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
前排支持
2015-3-25 10:57
0
雪    币: 4459
活跃值: (2086)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
4
有空去试试
2015-3-25 11:32
0
雪    币: 44
活跃值: (35)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
直接读页表暴力dump内存bypass所有anti~
2015-3-25 11:44
0
雪    币: 1185
活跃值: (458)
能力值: ( LV13,RANK:360 )
在线值:
发帖
回帖
粉丝
6
若是防止了dd 命令呢?
2015-3-25 13:56
0
雪    币: 1185
活跃值: (458)
能力值: ( LV13,RANK:360 )
在线值:
发帖
回帖
粉丝
7
直接dd就行了吧,不要这么麻烦吧?
2015-3-25 13:58
0
雪    币: 244
活跃值: (73)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
呵呵,试下就知道了
2015-3-25 18:23
0
雪    币: 119
活跃值: (1635)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
大神就是牛逼   期待下一部神贴~
2015-3-25 18:56
0
雪    币: 6
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
什么是DD?
2015-3-25 19:21
0
雪    币: 30
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
kill -20 ??

这个没有用的
2015-3-30 19:11
0
雪    币: 215
活跃值: (51)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
12
dd 命令
2015-3-30 20:54
0
雪    币: 45
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
kill -20 我也没管用啊???
2015-4-3 14:42
0
雪    币: 546
活跃值: (1565)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
14
能介绍一下相关的API吗
2015-4-3 23:18
0
雪    币: 48
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
谢谢分享
2015-4-18 14:52
0
雪    币: 4154
活跃值: (3665)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
试了,gdb还是挂不上去啊。挂子线程,进程还是会退出。
2016-5-16 11:28
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
17
说的相当不错 就是我一句都木有听懂诶
2017-1-4 10:34
0
游客
登录 | 注册 方可回帖
返回
//