-
-
[原创]一次对tx御安全的脱壳
-
2021-6-21 18:53
-
朋友发我两个app，好像是看雪班里面的题目，加了tx御安全的壳，问我能不能脱
那便开始处理：
首先获取一下基本信息
安装app运行起来使用frida dex dump进行脱壳
得到如下文件
发现有一摸一样大小的dex，发觉不对劲，用GDA打开
里面的方法都被抽取了，使用jeb验证一下
全部都是nop
这里说一下原理：抽取壳的原理其实就是将原来app dex里面的代码全部替换成nop保存起来，然后在需要调用的时候再填充回去，在app运行起来的时候进行dump是能够拿到一些完整的代码的，这些代码都是被调用过的，所以已经回填变成完整的了，但是我们不可能在用户操作界面把所有的方法都运行一遍，这个时候就需要主动调用式的脱壳机才能进行脱壳了
这里我使用了 https://bbs.pediy.com/thread-259854.htm 这个脱壳机
本来是用的fart，但是不知道为什么会出现脱壳过程中app闪退的情况，猜测可能是调用到了不该调用的方法
使用youpk进行脱壳得到dex
使用作者提供的脚本修复一下，再按照顺序对dex重命名之后直接覆盖到原app里面的dex
至此，dex处理完毕
然后便是对manifest文件的处理，因为里面的入口还是壳的入口，需要换成app的原始入口，而app原始入口位于未脱壳的app的dex中的
com.wrapper.proxyapplication.WrapperProxyApplication的WrapperProxyApplication.className中
将这个字符串替换到manifest文件下面的application属性里面的 name里面
这里推荐使用np管理器或者mt管理器进行替换，省去了反编译和重打包的麻烦和各种问题
删除壳的冗余文件
已经显示未加固
运行一下看看有没有问题
运行正常，脱壳结束
最后附上样本
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
|
|
|---|---|
|
|
|
|
|
还有这种说法的吗，因为我真机安卓版本比较高，弄xposed比较麻烦就没装，在模拟器上面启动app的时候被检测了，也就放弃了xp，兼容xp主动回填还是第一次听说 |
|
|
|
|
|
有的，之前有人分析过御安全，得出结论也是这样，御安全不是说检测到xposed不运行，而是为了兼容性（以前的淘宝为了兼容xposed，改了几个libart内几个类成员的偏移，而不是直接闪退），主动兼容xposed。 |
|
|
tx加固还挺良心
|
|
|
|
|
|
|
|
|
np管理器 |
|
|
|
|
|
|
|
|
看作者原帖，有详细描述 |
|
|
|
|
|
|
|
|
|
|
|
|
Dyingchen
mb_yvvzfcdo
