-
-
[原创]乐固分析
-
发表于: 2022-2-1 04:50
-
应用宝随手下载一个安装包，本文分析的是作业帮v13.28.0
jadx、idapro、unicorn
直接将apk拖入jadx，找到入口MyWrapperProxyApplication
继承了WrapperProxyApplication，在attachBaseContext中调用了initProxyApplication，而initProxyApplication中调用com.wrapper.proxyapplication.Util.PrepareSecurefiles，然后加载libshell-super.2019.so
PrepareSecurefiles这个方法反编译出来又长又臭，主要就是检查下/data/data/com.baidu.homework/files/prodexdir目录下的一些文件是否完整。
这些文件都是从assets释放的，主要有两个文件tosversion和0OO00l111l1l。
通过后续分析可知tosversion适用于判断应用升级的，0OO00l111l1l是保存原始dex的加密文件。
然后把libshell-super.2019.so拖入ida进行分析，首先看看.init_array，有一堆函数
把这些函数挨个大概看下，除了最后一个sub_29BC0都是在做字符串解密，这些字符加密的方式为每个字符串和一个固定的字符进行异或
虽然解密的方式十分简单，但是需要处理的字符串数量太多了，手动一个一个处理肯定是不行的，这就需要脚本了。
脚本处理有两种方式，
一种是分析汇编代码，找出需要解密的字符串起始地址、字符串长度、解密key；
另一种是unicorn直接运行.init_array中的函数，然后把运行后的内容直接加载到ida中；
首先来看第一种方法，通过分析可知，每次解密的指令格式都是固定的。
通过第三条指令LDR可以获取到字符串起始地址。
第四条有可能是跳转指令B，也可能没有。
通过倒数第四条指令SUBS可以获取到字符串长度。
通过EOR.W指令可以获取到用于解密的字符。
根据以上分析结果，写出idc脚本，执行一遍发现，存在解密失败的。
找到失败的地址，发现当字符串长度为1的时候，指令格式不一致。
把这个情况兼容一下，脚本内容如下：
ida加载运行该脚本，得到解密后的内容。
然后是第二种方法，通过unicorn直接运行.init_array中的解密函数，然后把解密后的内容直接加载到ida中。
然后开始分析JNI_OnLoad，这个函数被混淆了，于是继续unicorn走起。
根据输出可知，该函数主要执行了以下几个操作，
通过RegisterNatives注册了WrapperProxyApplication.Ooo0ooO0oO()，
调用0x1f668处的函数进行上下文初始化，
调用0x2B604处的函数生成解密key，
调用0xcea8处的函数加载dex。
先分析下sub_1f668处的初始化过程，东西比较多就不贴图了
首先是一些常规操作，获取vm类型、PackageInfo、ActivityThread、ClassLoader等。
然后是通过GetMethodID获取之前注册的WrapperProxyApplication.Ooo0ooO0oO()的MethodID，然后在MethodID指向的内存（通过Android源码可知，MethodID实际是ArtMethod对象的指针）查找之前注册的函数地址，找到后保存该偏移值，后面会通过这个偏移值对系统native方法进行hook。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
很详细
|
|
|
|
|
|
|
|
|
说抄袭的这位 你多多少少是没多少脑子 你所谓的几乎不一样 只不过是过程差不多 麻烦你去百度搜搜乐固的帖子 看看是不是基本一样 再加上楼主用的脚本解密 而我只是hook去脱 外加上分析几个地方 我贴根此帖 样本版本完全不一样 何来抄袭 
|
|
|
多谢提醒，我看了下，应该就只有这两张图上的描述是一样的， 
|
|
|
乐固基本都是一样的流程与分析过程 我这并不是抄袭您的 我们手法完全不一样了 我单纯的提到hook去脱 您这是分析过程操作 所以不存在抄袭 论坛很多乐固 都差不多 |
|
|
|
|
|
|
|
|
|
|
|
就像作者说的 前面几个文字一样 已经删除了 几个文字就抄袭了？ 可真好笑 |
|
|
|
|
|
没有 只是最简单的 各位有手就行 hook很基本 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
实锤认证了
最后于 2022-2-11 11:28
被JimmyJLNU编辑
，原因：
|
|
|
|
|
|
没想到你也过来认证了 |
|
|
|
|
|
两个都能脱，你可以把附件里面的0OO00l111l1l和tosversion替换后跑脚本试下 |
|
|
你这个运行环境介绍一下？IDA pro什么版本？unicorn是ida插件？unicorn在哪下载？
最后于 2022-2-11 14:38
被tDasm编辑
，原因：
|
D-t
