先运行软件，观察程序特点，步骤与之前讲解实战：AliCrackme实战相似，都是运用IDA静态调试与动态调试相结合获取密码，从而进入功能页面，具体操作流程如下。

在xml文件里，找到程序入口点，如下图所示。

直接查看click，如下图所示。

此处if的判断与之前分析的AliCreackme不同。先判断它是否为空，如果为空，先弹出对应字符；如果不为空，直接把字符给被Native修饰的方法调用，也就是说，输入字符的对错结果和返回的字符串都在so层处理。

1.找到JNI_OnLoad，进入后，如下图所示。

2.按F5查看伪代码，修改参数类型和名称，如下图所示。

3.调用一个AD函数，然后是一个if-else判断，如下图所示。

4.进入AD函数，查看字眼是检测进程，如下图所示。

5.查看静态注册，搜索后发现没有静态注册的函数，那逻辑的执行部分肯定是在动态注册里，但是动态注册的伪代码里面只识别到两个函数，AD和GetEnv，如下图所示。

6.查看汇编窗口，除了if里面的两个BL跳转函数之外，下面的else里面还有一个BL跳转函数，而且很明显是4个参数，RegisterNative恰好就是4个参数，如下图所示。

静态分析就到这里，接下来开始IDA动态调试，验证我们的推论。

直接修改名字和端口就可以直接过掉，记录动态分析的过程，进来后，检测函数nop掉，如下图所示。

F8一路往下，来到这个可能是RegisterNative函数的位置，如下图所示。

观察第三个参数，发现是一个地址，可以跳过去，如下图所示。

点击过去，然后按d键，识别成dword类型的地址，看到存放的内容是一个 java层被native修饰的方法名，如下图所示。

同样识别第二个和第三个参数，第二个参数是方法签名，如下图所示。

第三个参数是C代码中的底层函数实现的函数名，bc过来后，看到这里的标志位T是1，说明是thumb指令，如下图所示。

按c键，将此处代码识别成thumb指令，如下图所示。

这个bc函数就是我们要分析的关键逻辑所在，直接在导出函数里面搜索，过来后F5识别伪代码，分析这里的逻辑，这是一个字符转换，如下图所示。

进dc里面看看，发现有一个 dh，继续跟进去，如下图所示。

有kill和getpid，与进程检测有关，如下图所示。

继续跟进，如下图所示。

有getpid，也与进程检测有关，如下图所示。

它执行的条件是上面的dc返回为真，如下图所示。

dc的返回值取决于此处，想给上一层返回一个真，那必须是if里面的执行，首先dh要返回一个真，如下图所示。

进去dh，它想给上层返回一个真，必须是memcmp这个执行成立，否则就执行下面的else，如下图所示。

回到dc,查看这个函数的返回结果，如下图所示。

返回结果又由dh决定，在dh里面返回上一层是0或者是1，取决于这三个点，如下图所示。

回到bc，查看这个函数，如下图所示。

发现了解密函数，由上层可以知道，他的返回值是一个int，如下图所示。

该函数的返回值由这两处决定，v4是v7给的，由上面可知，v7是一个组数，v7最终会给v4，如下图所示。

v4作为返回值传递给上一层，然后作为参数传递给这个函数，将最终结果作为bc的返回值，如下图所示。

点进去观察这个函数，会发现是调用toast函数，它与弹窗有关，如下图所示。

接下来在bc进行动态分析，如下图所示。

跳至R0指向的地址，这个就是刚才手动输入的密码，如下图所示。

下面一个BLX跳转后面紧跟着一个CBZ，就是静态分析里面的dc函数，由dc的返回值决定if的执行，如下图所示。

直接步过这个函数，发现返回值为零，如下图所示。

直接执行else，如下图所示。

这个函数是解密函数，里面有RC4算法，如下图所示。

来到解密函数处，下断点，如下图所示。

一路F8走到这里，如下图所示。

继续分析，如下图所示。

观察F7寄存器的值，跳过来就得到正确的密钥，如下图所示。

继续单步往下，查看R7的值，如下图所示。

过来R7，提示密码错误，如下图所示。

这就是结合静态分析和动态调试得到的结果，静态分析能够更方便的阅读逻辑，得到一些关键点，动态调试的目的是查看具体数据。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课