-
-
[原创] 记一次so文件动态解密
-
发表于: 2020-7-8 11:32
-
整个程序基本上就是一个 动态注册 + so函数加密 的逻辑，中间加了一些parser的东西
主要考察了elf文件结构的一些知识以及在攻防对抗中防止IDA静态分析的姿势
找到flag
360加固,先脱壳，看入口函数MainActivity
具体的逻辑写到so里了，使用IDA打开so文件,先看有没有.init和.init_array,发现只有.init_array节，
跟进去一看又是字符串解密函数，解密之后，代码如下（这里我根据解密后的数据进行了重命名）
回过来看JNI_Onload函数,
其实就是将native函数test函数动态注册到ooxx函数，直接看ooxx函数
可以发现除了调用了sub_8930之外，就是一堆垃圾代码，先跟进sub_8930函数
这里我把函数分为三块，先看第一块
经过分析，实际上就是读/proc/self/maps的标准输出，从而获取到对应于libnaitve-lib.so的那一行，然后以-分割字符串，并将分割后的第一段解析为16进制的数，实际上就是获取libnaitve-lib.so的加载基地址。
再看第二块，也就是sub_8B90函数的实现
这个地方你仔细地去分析对比，会发现其实就是一个读so文件的对应于symbol name为ooxx的symbol table表项中的value和size,其实就是读ooxx的函数起始地址以及函数大小。其实也就是一个parser的过程之一
对了，这个函数中的一行，也就是v5 = turn_ooxx(s2);这里调用的turn_ooxx函数中的伪代码直接copy出来跑一跑，就可以得到v5的值。我也没有分析这个过程，直接跑的。。
接着看sub_8930函数的第三块。
经过分析会发现，围绕mprotect函数将这个部分再次分成三块，分别实现功能为
这里第二块中的*i ^= byte_1C180[&i[-v5]];这个部分，再加上byte_1C180实际上在bss段，不想再去分析了，直接动态吧。
这里使用objection在动态运行时dump出对应内存中的数据，
使用010 editor查看对应文件
很明显那就是0-255的字节咯，继续看伪码，会发现实际上这里的&i[-v5]实际上就相当于i-v5,而v5为i的初值，那么patch脚本就有了
执行这个脚本之后,查看ooxx函数内容
最终会发现，实际上ooxx就是拿我的输入和kanxuetest进行对比。。验证下
拿到flag
整个程序实际上真正难的地方在于看出parser的过程，不过我猜如果写过parser相信会很容易的看出来，还有
另外，这个程序有点类似于之前寒冰师傅说的在函数执行开始之前对函数内容进行恢复，函数执行结束时再还原回加密状态，再加上插入了一堆MOV R0, R0这种无效代码，让我感觉真像so层的"函数抽取壳"的实现。。神奇的题目，最后，附上附件
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
对 |
|
|
不需要还原 |
|
|
这里是脱壳之后就有的嘛？ 请问你用的什么脱壳的？ |
|
|
对的，FART脱的壳 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
您好，执行您的patch脚本之后,0x8e00——0x8fd0的汇编全变成MOV R0, R0，然后反编译后，出现下面的问题，请问您知道原因吗？
|
|
|
|
|
|
时间太过久远，我已经忘了  实在抱歉，麻烦自己再研究研究吧，可以先把原来的byte show出来，然后看看执行完函数的byte是什么样，确定下是否函数执行成功了，关注下output窗口是否有错误日志出来吧
|
|
|
大佬，感谢回复，你的patch代码有问题，当i=255，取余为0，但实际上应该和0xff亦或，当i=256,取余为1，但实际上应该和0亦或，也就是说，从i=255开始，后面的patch全错了。 |
|
|
def patchBytes(addr, length): for i in range(length): if i < 255: byte = get_bytes(addr + i,1) byte = ord(byte) ^ (i % 0xff) patch_byte(addr + i, byte) elif i == 255: byte = get_bytes(addr + i,1) byte = ord(byte) ^ 0xff patch_byte(addr + i, byte) else: byte = get_bytes(addr + i,1) byte = ord(byte) ^ ((i - 1) % 0xff) patch_byte(addr + i, byte) patchBytes(0x8e00, 0x8fd0 - 0x8e00) 修改后的脚本 |
|
|
可以看我的回复，patch之后记得保存，然后用ida 重新打开就ok啦。 |
|
|
|
