-
-
[原创]百度加固逆向分析—dex还原
-
发表于: 2017-6-30 13:49
-
上回说过要再写一篇文章，这里跟大家分享一下百度壳DEX的dump与修复。
下面开始：
一、如何获取dex
首先，我们知道动态加载的dex必然会调用dalvik/vm/DvmDex.cpp中以下两个函数任意一个:
dvmDexFileOpenFromFd 从文件描述符获取DexFile结构体
dvmDexFileOpenPartial 从内存获取DexFile结构体
百度这里用的是dvmDexFileOpenFromFd，通过这个函数我们得到了pDexFile
通过pDexFile->baseAddr 获取到dex加载的基址。
通过pDexFile->pHeader->fileSize 获取到dex文件大小。
这时我们已经得到dex了。
二、百度壳对dex做了什么？
1、修改DexClassDef中的classDataOff字段保存的偏移为负偏移
2、将classdata数据清空
三、这么做如何让系统正常解析？
百度的把classdata的数据保存在/data/data/xxxx/.1/1.jar包中，会在加载dex之前先分配空间给jar包，所以他的偏移为负值，内存结构如下图：
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
你这太划水了吧。。 |
|
|
太厉害了
|
|
|
|
|
|
|
|
|
厉害了……等我涉及到这些，我天天去烦你……
|
|
|
韩大神最近在玩什么？ |
|
|
|
|
|
|
|
|
|
|
|
这个函数是在我分析的idb中的0x2CA4D。混淆我没看，可以hook malloc函数看看他放了什么进去。 |
|
|
|
|
|
66666
|
|
|
你可以分析下0x3292C到0x329DC中间内容。其他都没用的。。 |
|
|
|
|
|
|
|
|
别叫大神了，我是渣渣。看雪的大佬太多。 |
|
|
|
|
|
|
|
|
 看来百度用了2代壳+vmp
|
|
|
没有vmp只有混淆 |
|
|
有vmp有混淆，跟360的一样，通过jni解释的
|
|
|
|
|
|
|
