-
-
[原创]使用frida hook插件化apk
-
发表于: 2020-4-12 13:04
-
最近拿到一个XX视频apk样本，里面有视频、直播和小说，没有VIP只能试看30秒，刚好最近学习frida，用来练习下，分析过程中发现是一个插件化的apk，本文记录下分析的过程。
初步分析
首先从AndroidManifest.xml中获取到apk的包名，并且查看下activity情况：
发现只有4个Activity，正常情况下一个apk肯定不止这些，所以初步怀疑这只是外壳，真正逻辑是在其他地方，会动态加载进来。
ps 查看
打开apk
可以看到有两个进程，从上图也可以看到，2、3和4处的Activity是运行在plugin进程中，为了确认下视频播放所在的进程，使用dumpsys meminfo查看
dumpsys meminfo查看
打开任意播放界面
确认视频播放是在plugin进程中，此时真正的逻辑已经加载到进程中，查看下plugin进程的maps
cat /proc/7906/maps
从上图可以看到，真正逻辑所在的apk是plugin-shadow-apk-debug.apk，是在该apk的私有文件目录中。
从代码中分析也可知道，此apk是插件化apk，使用的是腾讯开源的插件化框架Shadow，感兴趣的可以去了解下。
定位关键代码
既然已经找到真正的apk，那我们就需要定位到关键代码地方。
字符串定位
从字符串中定位到有多个类满足，此时一个一个去分析排查太耗时，接下来通过frida来枚举出所有加载的类。
frida枚举所有加载的类
Java.enumerateLoadedClasses(callbacks) 是用来枚举当前所有加载的类，通过和上述几个关键类对比来找到实际调用的类，callbacks需要提供回调函数，对应onMatch和onComplete。具体如下面：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | Java.perform(function () { // 上述搜索到的多个类 var key_class = ["com.facebook.plugin.widget.dkplayer.controller.PlayerVideoController", "com.iqiyi.plugin.widget.dkplayer.controller.PlayerVideoController", "com.facebook.plugin.widget.dkplayer.controller.VideoController", "com.iqiyi.plugin.widget.dkplayer.controller.VideoController"] Java.enumerateLoadedClasses({ "onMatch": function(name, handle) { for (var i = 0; i < key_class.length; i++) { if (key_class[i] == name) { console.log(name); } } }, "onComplete": function() { console.log("success"); } });}); |
运行结果：
com.iqiyi.plugin.widget.dkplayer.controller.VideoController
success
第一行为输出结果，即表示当前使用的类为 com.iqiyi.plugin.widget.dkplayer.controller.VideoController；
第二行为执行完成的日志。
VideoController 类分析
找到字符串位置
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 | public int setProgress() { ... ... if (this.tryWatchTv != null && position > 0) { // 如果是试看 pos = (int) (((long) this.stopPlayTime) - position); TextView textView = this.tryWatchTv; StringBuilder stringBuilder = new StringBuilder(); stringBuilder.append("剩余试看时间: "); // 此处是我们看到的字符串 if (pos > 0) { j = (long) pos; } stringBuilder.append(stringForTime(j)); textView.setText(stringBuilder.toString()); } if (!this.isVip) { // 此处是通过isVip变量执行不同逻辑 StringBuilder stringBuilder2 = new StringBuilder(); stringBuilder2.append("position = "); stringBuilder2.append(position); stringBuilder2.append(" showVipHintTime = "); stringBuilder2.append(this.showVipHintTime); LogHelper.i(stringBuilder2.toString()); if (position < ((long) this.showVipHintTime) || this.showVipHintTime <= 0) { this.vipHintView.setVisibility(8); } else { this.vipHintView.setVisibility(0); } if (position >= ((long) this.stopPlayTime)) { this.mMediaPlayer.pause(); } } ... ... } |
可以看到类中通过isVip变量来执行不同逻辑，继续看下isVip是如何设置的
[招生]科锐逆向工程师培训(2025年3月11日实地，远程教学同时开班, 第52期)！
