-
-
[分享]深圳某大厂的一道安卓面试题分析
-
2020-4-15 16:33
-
好多年没做题了，也有两三年没弄安卓加固反调试的东东了，感觉生疏了好多，昨天有缘接触了一道安卓app的测试题，题目在附件中（如果跟之前别人发的帖有冲突，纯属巧合）。
分析后发现界面竟然挂的是阿里的图标，明明他们不是阿里的对手嘛。。。。
下面谈谈分析过程：
1，用gda看看程序名称，名字是com.yaotong.crackme
2，下面用ida来看看程序有些啥，主要就是一个libcrackme.so
3，然后root手机，adb shell登陆，调试程序，此处省略安卓调试的步骤。。。
当我用ida附加程序结束后，按F9运行程序的时候，此时问题出现了，程序自动退出来了，感觉了一丝丝凉风。。。
4，在重复运行了几次程序，再附加程序，还是退出后，开始分析输入表的函数，好像没什么有价值的函数，然后在输入表的函数全部下了一遍断点，附加程序已运行还是自动退出。。。没有停止在断点处。。。
5，此时想到难道是启动的时候启动了另一个进程监控，然后赶紧登陆进手机看看进程，果然发现有一个多的进程SimpleWidget很有嫌疑，那就kill掉吧，但是kill掉后，附加crackme还是不行，会自动退出，此时有些捉鸡了，难道这是个叼炸天的程序，脑海里回想着这些年碰到过的各种反调试场景，难道是程序注入了系统进程进行反调试了，难道是在内核做了手脚，难道是有多个监控进程，还是程序一启动的时候加载了什么隐藏的动态库。。。在对这些可能性进行一一排除后，突然想到了一个办法。
6，分析了这么久，漏掉了一个大招（这个大招是我最不喜欢用的。。。），就是把输出表的所有函数下断点，幸好输出表函数不多，
下完断点后，附加进程，然后运行程序，终于断下来了，
接着开始对上面这个函数开始一步步分析调试，发现这个函数的功能就是判断程序是否被ptrace了，如果是被调试了，就kill本进程，kill进程的代码如下图画红线处，原代码是BL R3，现在被我改成NOP了，这样就算是判断程序被加载了，也不会kill本进程了，ok，然后F5一试，果然跑起来，不会自杀了。。。
7，程序跑起来后，就开始定位密码判断位置的地方了，初步判断是如下函数，在手机软件界面随便输入一个数，果然在下面这个函数停下来了，
经过对上面函数的一步步跟踪，发现只要输入“aiyou,bucuoo”这个字符串就正常登陆了。。。。好无语的结局，开始还以为是根据输入值经过一些计算才能正确登陆呢。。。
总结：废了大半天时间，终于搞定了这个题目，但是没有一点成就感，因为真正的商业实战怎么可能这么容易，出道这么多年，见过不少面试官，正真有深度和思想的很少，大多都是为了应付下公司的招聘，机械似的，应试教育似的面试把，这次是觉得浪费时间了，反正都浪费时间了，就顺便发个帖把。。。
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
|
|
|---|---|
|
|
|
|
|
|
|
|
文笔挺幽默，
|
|
|
|
|
|
什么大厂把阿里的ctf题当成面试题啊
|
|
|
南山必胜客 |
|
|
|
