-
-
[原创]安卓逆向之基于Xposed-ZjDroid脱壳
-
发表于: 2017-6-27 17:33
-
之前介绍了普通常见的反编译模式 但对于使用了 360加固 棒棒 爱加密 等等的加固应用就没办法了、
你会发现反编译出来的dex 只有几个类 逻辑都是调用so
真正的dex会被加载到内存中隐藏起来 加固应用都是多dex这种形式
要想拿到他真正的dex 需要进行脱壳处理 基本原理都是从内存中dump 我一般会先用工具来尝试 不行的话就得上 IDA（反汇编神器）超级强的一个工
具 杀手级别 贯穿移动端 PC端的逆向 但使用IDA 进行静态分析 动态调试脱壳就变的很麻烦了 而且并不是一两天能学会的
以后会介绍使用 我们今天先用工具尝试简单的脱壳
ZjDroid是基于Xposed Framewrok的动态逆向分析模块，逆向分析者可以通过ZjDroid完成以下工作： 1、DEX文件的内存dump 2、基于Dalvik关键指针的内存BackSmali，有效破解主流加固方案 3、敏感API的动态监控 4、指定内存区域数据dump 5、获取应用加载DEX信息。 6、获取指定DEX文件加载类信息。 7、dump Dalvik Java堆信息。 8、在目标进程动态运行lua脚本。
ZjDroid github开源的一个项目 主要功能就是脱壳 基于内存dump 其他功能一般 作者很NB 总有些人可以把Xposed玩出花来
我下篇博客会介绍一个针对安卓端应用分析工具 很强大！
http://blog.csdn.net/qq_35834055/article/details/73693182
已ROOT手机一台并装好xpsoed框架在装上ZjDroid模块
JEB apk专业逆向工具 但是和IDA一样要花钱 吾爱论坛提供破解版本
这里提一下jeb的优势 可以直接打开apk进行反编译 而已还原效果好
jd-gui看反编译出来的jar(源码)有些代码为注释状态 显示不出来 但JEB 肯定可以全部还原
某个朋友托我逆向个应用 叫微丢丢 微信营销的 去官网下载APK 拖到JEB里简单的看了下
只有几个类 一看就是加固应用 并且使用的是360加固 这种结构的类 在有个Application 铁定的加固应用
至于做了哪些操作 基本都是常见的套路 释放so文件 到应用沙盒目录下
注意 JEB 反编译出来的代码 初始状态都为smali 需要用快捷键Q或者鼠标右键Decompile下
简单分析过后 下载apk到安装好ZjDroid的手机中 打开应用到主界面
我们需要获取这个应用的pid值 这就需要用到一个命令了 PC端 WIN+X+R CMD 进入CMD窗口输入命令
命令： adb shell dumpsys activity top
获取到当前程序的Activity信息 这个命令很实用 最好记一下
如果显示过多 可以写成 adb shell dumpsys activity top |more 按行输出
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
google翻译
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
github上的代码应该就是最新的了 作者好久不更新了 只能这样 而且你直接在github上下载APK呗 工具始终只是工具 不要太依赖 还是IDA大法好 手动脱累点 但花精力肯定能dump出来 |
|
|
我就是在github上下的代码编译的APK装的，脱完壳日志显示正常，但是没有主Activity，也只能上IDA手动脱壳了。。。。 |
|
|
|
|
|
|
|
|
不知道 反正我是没这么干过 |
|
|
|
|
|
|
|
|
可以 |
|
|
|
|
|
|
