首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. Android安全
    3. 发新帖
[求助]遇到一个AndroidManifest被混淆加密的，想知道这种是怎么做到的，apk可以正常安装和打开。
2022-5-21 02:00 11679

[求助]遇到一个AndroidManifest被混淆加密的，想知道这种是怎么做到的，apk可以正常安装和打开。

mb_ecsiujxp 活跃值
2022-5-21 02:00
11679

 

我按照axml的格式去解析，解析string pool的时候，遇到一个60EA，这个地方表示字符串个数，但是明显这不是一个正常值，就算按照这个个数去解析，依然解析不到正常的string pool, 我其实不好奇怎么复原，我好奇的是这种是怎么做到的？具体是原理是什么？

 

图片描述

 

apk上传不了，只能上传单个的AndroidManifest.xml文件了，


[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：
收藏
点赞・1
打赏
分享
最新回复 (9)
iamshy
雪    币： 1761
活跃值： (2073)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
iamshy 2022-5-21 10:15
2 楼
0

前面步骤可以看看https://bbs.pediy.com/thread-272045.htm，还有就是命名空间的android字符串被替换成了一个很大的字符串导致jadx解析是出错，把被替换的字符串填回(07 00 61 00 6E 00 64 00 72 00 6F 00 69 00 64 00 00 00)，然后修改字符串的偏移就可以了，量有点大建议写个脚本
mb_ecsiujxp
雪    币： 2
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
mb_ecsiujxp 2022-5-21 17:50
3 楼
0
iamshy 前面步骤可以看看https://bbs.pediy.com/thread-272045.htm，还有就是命名空间的android字符串被替换成了一个很大的字符串导致jadx解析是出错，把被替换的字符串 ...

所以安卓系统是不处理android这个字符串的吗。可能是

问题一： 

还有你怎么看出来是android被替换了，厉害啊， 

问题二：

 他后面还有一堆乱码，这个是为什么？

最后于 2022-5-22 00:11 被mb_ecsiujxp编辑 ，原因：
falconnnn
雪    币： 232
活跃值： (1502)
能力值： ( LV5，RANK：73 )
在线值：
发帖
回帖
粉丝
私信
falconnnn 2022-5-21 23:59
4 楼
0
改三个地方，magic number，2楼说的07 00 61 00 6E 00 64 00 72 00 6F 00 69 00 64 00 00 00，字符串个数改成354，然后jadx就可以分析了，字符串本身的偏移是对的，不用改，中间一大片是垃圾数据不用管
mb_ecsiujxp
雪    币： 2
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
mb_ecsiujxp 2022-5-22 08:17
5 楼
0
falconnnn 改三个地方，magic number，2楼说的07 00 61 00 6E 00 64 00 72 00 6F 00 69 00 64 00 00 00，字符串个数改成354，然后jadx就可以分析了 ...

试了，改完这3个地方后，不行，然后改了chunck size为30196，  重新打包jadx还是解不出来。估计还是需要改偏移的，其实我不想知道怎么复原，我想知道这样的xml怎么生成呢？

最后于 2022-5-22 08:22 被mb_ecsiujxp编辑 ，原因：
falconnnn
雪    币： 232
活跃值： (1502)
能力值： ( LV5，RANK：73 )
在线值：
发帖
回帖
粉丝
私信
falconnnn 2022-5-22 10:59
6 楼
0
mb_ecsiujxp falconnnn 改三个地方，magic number，2楼说的07 00 61 00 6E 00 64 00 72 00 6F 00 69 0 ...

我确实就改了这三处，jadx用的是最新版，至于是如何生成的我也不清楚（可能是生成apk后修改后重打包？），而且我也比较好奇改成android那个字段系统是不会验证还是他有啥办法能改回去
mb_ecsiujxp
雪    币： 2
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
mb_ecsiujxp 2022-5-22 15:33
7 楼
0
falconnnn 我确实就改了这三处，jadx用的是最新版，至于是如何生成的我也不清楚（可能是生成apk后修改后重打包？），而且我也比较好奇改成android那个字段系统是不会验证还是他有啥办法能改回去
我也可以了，我是把中间的一大段给替换成android导致不成功的，原来只要改前几个字符就行
阿耿
雪    币： 34
活跃值： (684)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
阿耿 2023-4-18 11:38
8 楼
0

很好奇这个样本，刚好在研究这块，可以私发邮件吗 260529395@qq.com？ 

初步解析的部分结果 ：

Start Element
ns=-1
name=application
attributeStart=20
attributeSize=20
attributeCount=9
idIndex=0
classIndex=0
styleIndex=0
attribute
prefix=http://schemas.android.com/apk/res/android
uri=theme
rawValue=-1
typedValue=res_value
type=1
data=(reference) 0x7f100009
attribute
prefix=http://schemas.android.com/apk/res/android
uri=label
rawValue=-1
typedValue=res_value
type=1
data=(reference) 0x7f0f0078
attribute
prefix=http://schemas.android.com/apk/res/android
uri=icon
rawValue=-1
typedValue=res_value
type=1
data=(reference) 0x7f0800e5
attribute
prefix=http://schemas.android.com/apk/res/android
uri=name
rawValue=com.gaoyuan.mianshu.NimApplication
typedValue=res_value
type=3
data=com.gaoyuan.mianshu.NimApplication
attribute
prefix=http://schemas.android.com/apk/res/android
uri=allowBackup
rawValue=-1
typedValue=res_value
type=18
data=(boolean) false
attribute
prefix=http://schemas.android.com/apk/res/android
uri=supportsRtl
rawValue=-1
typedValue=res_value
type=18
data=(boolean) true
attribute
prefix=http://schemas.android.com/apk/res/android
uri=usesCleartextTraffic
rawValue=-1
Firear
雪    币： 200
活跃值： (230)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
Firear 2023-4-20 16:15
9 楼
0

没什么特别的直接修复了


上传的附件：
小海CC
雪    币： 130
活跃值： (145)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
小海CC 2023-4-28 09:52
10 楼
0
Firear 没什么特别的直接修复了
大佬，知道这种方式是怎么实现的吗？
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回