-
-
[原创]FART：ART环境下基于主动调用的自动化脱壳方案
-
发表于: 2019-7-15 18:26
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
老铁求个修复脚本，小白写不了这么长的代码 |
|
|
群里有合成dex脚本不 |
|
|
请问一下，frida的脚本frida_fart_hook.js跑的时候dumpcodeitem函数里的 var codeitemlength = funcGetCodeItemLength(ptr(codeitemstartaddr));这一行报错 ================================= addrGetCodeItemLength-> 0x9191c561 funcGetCodeItemLength-> 0x9191c561 codeitemstartaddr-> 0x76a17ef6 Error: access violation accessing 0xd36b59e6 ============好像系统版本用错了，我那个dex是cdex格式的
最后于 2020-11-15 19:02
被黑色刺客编辑
，原因：
|
|
|
|
|
|
看脚本里输出命令的特点，明显是python2的 |
|
|
|
|
|
|
|
|
|
|
|
小菜花看了文章之后冒昧替大佬回答下【Fart实现主动调用函数逻辑的大致流程】，如下：
最后于 2021-10-14 19:49
被huaerxiela编辑
，原因：
|
|
|
刚看完，确实是你这个思路。可能他的意思是函数抽取恢复的过程是怎么和 fart 执行 artmethod->invoke 方法关联起来的，是在执行 artmethod->invoke 的时候壳会自己恢复函数吗？ |
|
|
cdex实际上是AOT生成的base.vdex，删除/data/app/pkgname/oat文件夹，再dump即可。（也可禁用AOT、强制解释执行，方法很多） |
|
|
我也有这个疑问 调用这个方法后在里面第一行就判断从而结束调用 并没有走到解释器啥的里面 难道仅仅是调用一下artMethod::invoke函数就能触发壳解密codeItem吗 |
|
|
那不一定啊 壳子codeitem恢复的时机 和 你主动构造函数调用链的深度 ，两者结合在一起看，才确定了你是否可以脱壳成功 比如说，如果codetiem恢复的时机是在loadClass的loadmethod中，那么你artMethod::invoke之前都已经进行类的loadClass了，此时loadmethod已经执行，你artMethod::invoke的时候那自然也就恢复了了，此时你就可以dump codeitem 再比如说，如果codetiem真正的解密时机是在指令真实执行的时候，那目前开源的fart中artMethod::invoke后直接就进行dump，那此时就是不行的，然后论坛中就出现了以youpk为代表的构造了更深的调用链就是来解决这这种问题的。。。。。 所以综上所述，一般情况下，当然是调用链越深越降维打击越有更多可能。 |
|
|
见199楼回复 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
//step 4: 创建Application对象;在makeApplication函数中调用了newApplication，在该函数中又调用了app.attach(context)，在attach函数中调用了Application.attachBaseContext函数 Application app = data.info.makeApplication(data.restrictedBackupMode, null); mInitialApplication = app;
|
FuckCyber
