-
-
[原创]基于HOOK的Anti-debug调用点trace和Anti-anti
-
发表于: 2015-4-16 20:25
-
发一个之前写的辅助调试SO的小东西，限于水平难免会有错误之处，请各位大大批评斧正，小弟感激不尽。
同时，也欢迎各位大大讨论下反调试的技术和Anti方法，让也小弟学学
-------------------------------------------------------------------------------
基于HOOK的Anti-debug调用点trace和Anti-anti
一、 概述
相信动态调试过SO的坛友对Anti并不陌生，比如读取/proc/self/status，/proc/self/task/xxx/status、stat文件查看状态TracePid和PPid，读取wchan查看进程等待，添加notify，模拟器检测等等。经过各种掉坑之后，虽然知道了这些检测方法，但如果elf文件被畸形不能静态分析(修复又是另外一回事了)，也只能动态调试在这些关键API处下断点，也免不了掉坑调试崩溃，再来点指令混淆的话，调试起来确实比较恶心。虽然在Android平台同样也存在linux常用的ltrace(库函数trace)和strace(系统调用和信号trace)工具，但不能满足调试需求，还有检测ltrace的调试。废话不多说，直接进入正题(限于水平，难免会有疏漏和错误之处，请各位大大斧正，小弟感激不尽)。
二、 调用点trace
注入Hook API函数，当然首选zygote进程是最方便的了(如果zygote不能注入的话，那就关文档去修改ROM吧)。HooK住函数之后，通常采用下面这种模式添加代码：
Xxx new_fun(xxx){
Before_call();
Old_fun();
After_call();
}
相信许多都知道ARM函数的调用流程，这里再啰嗦下 ARM汇编如何调用函数：
直接调用：BL/BLX _xxfun
函数指针调用：BL/BLX Rx
某些混淆代码：mov lr, [pc, #xx], 计算Rx，Ldr PC, Rx等
外部函数调用：BL/BLX _plt表项，plt表中load got表存在的函数地址到PC
被调函数一般模式：
Stmxx {Rx-Rx, lr} /push
…
ldmxx {Rx-rx, pc} /pop
函数的返回地址保存在lr寄存器中，之后被被调函数存在放栈上。只要lr的值未被修改，那么就保存着调用点的下一条指令地址！只要获取lr的值，那么就能跟踪到调用点。
知道了lr保存了调用点的值，获取lr的值也要注意时机。调用函数时lr的值已经被存在放栈上，修改lr也无关紧要。无法确定被调函数是否存在显式地给lr赋值或者函数调用，那要保证lr不被修改，故在函数入口点就保存lr的值是最佳也是最简单的选择。获取lr的值可以通过汇编来实现：
#define GETLR(store_lr) \
__asm__ __volatile__( \
"mov %0, lr\n\t" \
: "=r"(store_lr) \
)
则Hook函数模式：
Xxx new_fun(xxx){
Unsigned lr;
GETLR(lr)
Before_call();
Old_fun();
After_call();
}
来个实例，简单起见只Hook fopen函数：
FILE* new_fopen(const char *path,const char * mode){
unsigned lr;
GETLR(lr);
if(strstr(path, "status") != NULL){
LOGD("
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
TK牛很nice，技术也nice...
 最近都有撤贴风，马上本地备份一份 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
