[原创]bypass svc 0 PTRACE_TRACEME-Android安全-看雪-安全社区|安全招聘|kanxue.com

[原创]bypass svc 0 PTRACE_TRACEME

发表于: 2016-8-25 15:04 19677

[原创]bypass svc 0 PTRACE_TRACEME

安东尼大木

活跃值

2016-8-25 15:04

19677

最近在研究一个crackme，已经获取到了check的地址，本想IDA附加单步分析，不过它在壳代码里面调用了PTRACE_TRACEME，首先想到的是hook ptrace，过滤掉PTRACE_TRACEME，不过ptrace似乎从来没有调用过，所以判定有可能是svc的方式调用了PTRACE_TRACEME。尝试过IDA单步壳代码，不过花指令太多，始终跟不到目标位置。最后通过ptrace解决：（好吧，对付ptrace还得靠它自己）

首先必须在壳代码运行之前attach，我的方法是注入zygote，然后用PTRACE_O_TRACEFORK，在zygote fork的时候，会自动attach到子进程，然后用PTRACE_GETEVENTMSG获取子进程pid ，最后detach zygote。参考了adbi的hijack里面的代码。

登录后可查看完整内容

[注意]看雪招聘，专注安全领域的专业人才平台！

上传的附件：

crackme.apk （1.07MB，112次下载）

收藏・30

免费・7

支持

分享

赞赏记录

参与人

雪币

留言

时间

伟叔叔

为你点赞！

2024-9-29 03:26

心游尘世外

为你点赞！

2024-8-20 06:09

QinBeast

感谢你的贡献，论坛因你而更加精彩！

2024-8-19 06:08

飘零丶

为你点赞~

2024-5-31 07:33

shinratensei

为你点赞~

2024-5-31 07:25

ChineseAStar

为你点赞~

2023-6-19 15:40

PLEBFE

为你点赞~

2023-2-20 03:24

查看更多

最新回复 (13)
Zkeleven 雪币： 53 活跃值： (106) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 124 粉丝 0 关注私信	Zkeleven 2 楼很不错，赞一个。 2016-8-25 15:19 0
jieniruyan 雪币： 25 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 84 粉丝 1 关注私信	jieniruyan 4 楼不错。您输入的信息太短，您发布的信息至少为 4 个字符。 2016-8-25 18:07 0
chenwitch 雪币： 88 活跃值： (201) 能力值： ( LV3，RANK：30 ) 在线值：发帖 14 回帖 92 粉丝 2 关注私信	chenwitch 5 楼顶，这种才是精华级别的 2016-8-25 19:07 0
zhighest 雪币： 5580 活跃值： (4909) 能力值： ( LV8，RANK：138 ) 在线值：发帖 5 回帖 131 粉丝 6 关注私信	zhighest 6 楼楼主把apk传上来吧 2016-8-25 22:37 0
ouyangtian 雪币： 130 活跃值： (76) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 168 粉丝 0 关注私信	ouyangtian 7 楼 very nice, 思路很好 2016-8-26 09:21 0
不知世事雪币： 3712 活跃值： (1631) 能力值： ( LV5，RANK：70 ) 在线值：发帖 3 回帖 156 粉丝 14 关注私信	不知世事 1 8 楼楼主把样本放一下吧 2016-8-26 10:39 0
wangzehua 雪币： 94 活跃值： (2847) 能力值： ( LV3，RANK：30 ) 在线值：发帖 0 回帖 92 粉丝 3 关注私信	wangzehua 9 楼感谢分享~! 2016-8-26 11:22 0
安东尼大木雪币： 35 活跃值： (75) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 11 粉丝 5 关注私信	安东尼大木 10 楼已经上传crackme 2016-8-26 12:01 0
大王叫我挖坟雪币： 191 活跃值： (195) 能力值： ( LV8，RANK：130 ) 在线值：发帖 29 回帖 321 粉丝 24 关注私信	大王叫我挖坟 3 11 楼谢谢分享，多谢提醒，然怪给ptrace下断点没反应的，原来还可以通过svc我咋就把他给忘记了呢，以前反gdb调试就用的这货，，，不过还可以通过改源码，用更简单的方式解决TracerPid不为0的情况，一劳永逸 2016-8-26 20:27 0
jieniruyan 雪币： 25 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 84 粉丝 1 关注私信	jieniruyan 12 楼论一本正经的xxx系列，我只服你。 2016-9-7 15:23 0
pwnerZ 雪币： 46 活跃值： (13) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 15 粉丝 0 关注私信	pwnerZ 13 楼楼主厉害我们第二波crackme已经准备好过段时间会放出最近太忙啦 2016-9-10 11:42 0
恋一世的爱雪币： 5 活跃值： (1205) 能力值： ( LV2，RANK：10 ) 在线值：发帖 11 回帖 52 粉丝 1 关注私信	恋一世的爱 14 楼当无法解密so,且text地址也被隐藏了，明确知道使用的是SVC调用syscall, 对于SVC如何做到通杀hook呢(有啥方案可以直接hook 系统so呢，做到通杀？) 2021-11-30 15:28 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

安东尼大木

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区