-
-
[原创]某盗链app逆向
-
发表于: 2019-12-4 14:58
-
发现一个盗链的app，扒出来研究一下
跟进com.vst.player.parse.a.getCDNUrl_a，发现是直接反射调用的SoMananger类的getLiveUrl函数
跟进SoManager类（已重命名过），发现SoManager类在自加载dex中
看了一下上面的逻辑，加载的是android.jar和temp.jar
在/data/data/com.vst.live里搜索这两个文件，发现在cache目录下，导出，扔进010看一下，发现没有dex文件特征，放弃。
尝试用大佬的dumpdex（工具git：https://github.com/lasting-yang/frida_dump）工具从内存里直接把动态加载的dex拿出来
我是直接复制了dump_dex()函数到自己的js中：
从dump出的dex里搜SoManager，找到包含SoManager类的dex，但是无法解析出来
怀疑是优化过的dex（我测试用的手机是8.1.0的）
在/data/data/com.vst.live里搜索SoManager，发现vdex
把两个vdex文件用vdexExtractor转成dex文件一下（工具git见：https://github.com/anestisb/vdexExtractor）
命令：bin/vdexExtractor -i temp.vdex -o tmp --deps -f
出现下图表示转换成功：
得到两个dex文件
解析bi.dex， 没什么东西
解析temp.dex看看, 发现SoManager
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
https://github.com/lasting-yang/frida_dump 这个这个！感谢大佬… |
|
|
|
|
|
|
|
|
就直接make一下就可以了，我编译的时候没遇到什么坑 |
|
|
当前官网那个版本V2.3.9.5，是不是自加载的dex变了？
最后于 2019-12-5 19:45
被白小菜编辑
，原因：
|
|
|
|
|
|
|
|
|
666~ 动手能力真强
|
|
|
用反射就好了。 |
|
|
|
|
|
|
|
|
出来看大佬 |
