-
-
[原创]unity3d手游破解（三）--基于inline hook
-
发表于: 2018-4-25 01:46
-
再分享一个，目标APK--风之旅X，挺好玩的。
一、前言
有的时候unity3d的解密函数被保护起来，因此这里提供一套基于inline hook的方案来实现破解，当前这个APK的Assembly-CSharp.dll是加密的，如下图所示，而且在libmono.so的mono_image_open_from_data_with_name的函数上下文找了几圈都没找到解密函数。
二、思路
首先，APK的所有dll都是通过
libmono.so的mono_image_open_from_data_with_name的函数加载的，输入的是原始的dll，返回的时候解密后的dll，因此我们通过hook这个函数来实现dll的dump和替换，把修改过的dll替换掉原来的实现破解。
三、Hook
首先获取
libmono.so的基址，这里我们通过读maps来获取，再从IDA里面找到
mono_image_open_from_data_with_name的偏移0x196C4C，相加得到函数的地址，然后把该函数hook到我们自己的new_game_proxy函数，在new_game_proxy函数里面实现dll的dump和替换。
这个APK上只有ARM的so，因此我们做arm的inline hook，把目标函数的前两条指令，替换成跳转指令（
ldr pc,[pc,#-4]
）+跳转地址（
new_game_proxy 函数），实现跳转到
new_game_proxy 函数，替换之前先把指令保存到缓存g_OrigCode_game_proxy数组。
接着再在
g_OrigCode_game_proxy中添加跳转回原函数的指令：
跳转指令（ldr pc,[pc,#-4]）+跳转地址（原函数+8），最后把
g_OrigCode_game_proxy的内存设置可执行，在
new_game_proxy函数中调用
g_OrigCode_game_proxy就回到原函数继续执行了。
mono_image_open_from_data_with_name 函数的返回结构如下图所示
其中raw_data就是解密dll的内存，raw_data_len就是dll的大小，在
new_game_proxy函数中把dll dump到/data/local/tmp/目录中，如果这个目录已经存在Assembly-CSharp.dll就把该dll加载替换原来的dll。剩下的就是对dll的修改了。
四、加载so
把APK中的dex拉出来反编译，找到com.silverera.sao.YHGameActivity的smali，把加载so的代码插进去，回编译替换回去。再把上面的hookso放进APK的lib目录，重打包APK。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2019-2-2 10:47
被admin编辑
，原因： 图片本地化
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
应该改写CLR虚拟机，另外创造一种字节码
|
|
|
|
|
|
|
|
|
大佬搞UE4吗，出篇教程呗
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 编译提示 |
|
|
|
|
|
 where dll decrypt?
|
|
|
搞好了,这里有个错误,
 ,得加上 result = (_MonoImage*)retValue;这行才行,搞了好久.如果编译器提示我上面说的那个错误的话,mono_func += 0x196C4C;改为mono_func = (char*)mono_func + 0x190A7C;就可以了.还有注意,我红米note4x运行这个代码失败,闪退(打印出来的hook地址和hook之前的地址相差非常远,估计是小米系统so库加载方式不一样吧),用模拟器运行没问题. |
|
|
|
|
|
thanks |
|
|
|
|
|
|
|
|
|
|
|
|
