-
-
[原创]百度加固逆向分析
-
发表于: 2017-3-28 17:42
-
最近一直在研究百度壳，发现网上这方面的资料非常少。所以我把自己做的发出来跟大家分享，共同学习进步。
下面开始：
一、init_array
我们发现init_array中存在多个函数地址，JNI_Onload为加密状态
动态调试在init_array上下断跟着进入一个大循环。发现他在此处对so进行了抹头操作。
之后遇到反调试崩溃退出。后来发现反调试检测了以下字段：
android_server
gdbserver
gdb
TracePid:
/proc/self/task/%s/status
isDebuggerConnected等。。
二、bypass
编写了一个loader程序调用该so中的JNI_Onload函数bypass壳代码和反调试。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
自己写loader 这想法不错
|
|
|
|
|
|
|
|
|
|
|
|
mark
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
大奔哥！厉害了！
|
|
|
|
|
|
我们在动态调试的时候一般都会用调试模式启动apk。最后jdb附加，isDebuggerConnect函数就是检测jdb调试的。我们自己写loader的话可以不用jdb调试附加。就bypass了。 |
|
|
|
|
|
谢谢分享！
|
|
|
|
