A | G | op BBBB F|E|D|C 

根据opcode克制总共6个字节，对应的就是 

A=1  G=0 op=6f  BBBB就是 331c,然后是C=1 D=0 E=0 F=1

    所以这里转换过来就是

next

--------------------------------------------------------------------------------------------------------------------------------

5511   6d00[A=2]op{vC, vD},kind@BBBB

1155 invoke-virtual  

006d  取MethodiD  requestWindowFeature     (I)Z

0001  参数

iput-object p0, p0,Lcom/wangzhong/fortune/ui/activity/BaseActivity;->a:Lcom/wangzhong/fortune/ui/activity/BaseActivity;;

--------------------------------------------------------------------------------------------------------------------------------

next  继续往下走，

--------------------------------------------------------------------------------------------------------------------------------

53 10 6D 00         [A=2]op{vC, vD},kind@BBBB

1053 invoke-virtual  

006d  取MethodiD  requestWindowFeature     (I)Z

0001  参数

iget-object p0, p0,Lcom/wangzhong/fortune/ui/activity/BaseActivity;->a:Lcom/wangzhong/fortune/ui/activity/BaseActivity;

--------------------------------------------------------------------------------------------------------------------------------

next  脚本执行结果如下

--------------------------------------------------------------------------------------------------------------------------------

  72 10  60 01 00 00    [A=2]op{vC, vD},kind@BBBB

10 72  invoke-virtual  

0160   取MethodiD  requestWindowFeature     (I)Z

0000  参数编号

invoke-static {v0}, Lcom/wangzhong/fortune/f/c;->a(Landroid/app/Activity;)V

--------------------------------------------------------------------------------------------------------------------------------

next

--------------------------------------------------------------------------------------------------------------------------------

69 00   这个指令比较简单就是

return-void

--------------------------------------------------------------------------------------------------------------------------------

这里的5c最终是要到dex里取查找的 

把下面这部分指令的根据分析经过转换

A3 20 5C 00 01 00 6B 10  CC 20 13 02 01 00 55 11
6D 00 53 10 6D 00 72 10  60 01 00 00 69 00 00 00 

用流程图来说明下

得到

修复前

invoke-super {p0}, Landroidx/fragment/app/FragmentActivity;->getResources()Landroid/content/res/Resources;

2-反调试

通过常规手段，在关键的open函数观察，然后逆向查找

发现几处反调试 

0x47CAC 处是创建线程，检测运行时间，getpid 然后  linux_eabi_syscall(__NR_kill, a1, a2)来杀死进程

0x047C70  处是cmdline反调试，https://bbs.pediy.com/thread-223460.htm  这位大佬提到过

0x489EC    处是 /proc/status检测反调试   

实际可能还有，但是在找到这三处之后，我发现特殊的地方是刚好在JNI_OnLoad处有个总的入口，所以直接

nop指令反调试就gg了 

我用 arm64调试的    mov w1,w1 对应的的hex是E103012A

然后dump出dex,先内存找到dex.035

import struct
 

start = 0x75172191ec

dump_so = "/Users/beita/tmp/bangbang/dump_vmp.dex"
length = 0x6ee27c
file = open(dump_so,'w')
file.close()
fn = AskStr(dump_so ,"save as:")
with open(fn,"wb+") as f:
    for addr in range(start , start+length):
        f.write(struct.pack("B" , Byte(addr)))
    print "success to save as " 

3-VMP的具体分析

import struct
 

start = 0x75172191ec

dump_so = "/Users/beita/tmp/bangbang/dump_vmp.dex"
length = 0x6ee27c
file = open(dump_so,'w')
file.close()
fn = AskStr(dump_so ,"save as:")
with open(fn,"wb+") as f:
    for addr in range(start , start+length):
        f.write(struct.pack("B" , Byte(addr)))
    print "success to save as " 

import struct
 

start = 0x75172191ec

dump_so = "/Users/beita/tmp/bangbang/dump_vmp.dex"
length = 0x6ee27c
file = open(dump_so,'w')
file.close()
fn = AskStr(dump_so ,"save as:")
with open(fn,"wb+") as f:
    for addr in range(start , start+length):
        f.write(struct.pack("B" , Byte(addr)))
    print "success to save as " 

strut JavaInfo {
	uint32_t index;     // 0x12   这是java层传递的
	uint32_t unknow2;   // 0x2e   未知
	uint64_t dexcode;   // dexcode指针
	uint32_t unknow4;   // 0x03
	uint32_t unknow5;   // 0x02
	uint32_t unknow6;   // 0x02  这里看起来没有用到  但是貌似是DexCode的内容
};

跳转到dexcode的位置看下内容

strut JavaInfo {
	uint32_t index;     // 0x12   这是java层传递的
	uint32_t unknow2;   // 0x2e   未知
	uint64_t dexcode;   // dexcode指针
	uint32_t unknow4;   // 0x03
	uint32_t unknow5;   // 0x02
	uint32_t unknow6;   // 0x02  这里看起来没有用到  但是貌似是DexCode的内容
};

struct DexCode {
    u2  registersSize;   // 3
    u2  insSize;           、、 2
    u2  outsSize;
    u2  triesSize;
    u4  debugInfoOff;       /* file offset to debug info stream */
    u4  insnsSize;          /* size of the insns array, in u2 units */
    u2  insns[1]; 
    }

struct DexCode {
    u2  registersSize;   // 3
    u2  insSize;           、、 2
    u2  outsSize;
    u2  triesSize;
    u4  debugInfoOff;       /* file offset to debug info stream */
    u4  insnsSize;          /* size of the insns array, in u2 units */
    u2  insns[1]; 
    }

	struct Infos1{
		uint64_t data1;
		uint64_t *data2;  // data2 = malloc(32)   是根据JavaInfo的dexCode来的
		uint64_t data3;
		uint64_t data4;
		uint64_t data5;
		uint64_t data6;
		uint64_t data7;
		uint64_t data8;	// JavaInfo的data3的值 
	};

	struct Infos1{
		uint64_t data1;
		uint64_t *data2;  // data2 = malloc(32)   是根据JavaInfo的dexCode来的
		uint64_t data3;
		uint64_t data4;
		uint64_t data5;
		uint64_t data6;
		uint64_t data7;
		uint64_t data8;	// JavaInfo的data3的值 
	};

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课