首页
社区
课程
招聘
[分享][分享]给分享刚刚总结出来的一些小方法
发表于: 2022-7-27 01:39 19038

[分享][分享]给分享刚刚总结出来的一些小方法

2022-7-27 01:39
19038

这次分享的都是中规中矩的题目,没有什么套路,静下心来都能分析出来,所用到的方法就是
1.java层反调试so层反调试
2.静态动态分析so层
3.frida来hook java层和so层
4.Android的文件格式

查壳查壳:
图片描述
手机的运行界面只有文字,其他的啥也没有:
图片描述
然后分析java层:
从程序得入口点开始分析:

然后就要看看这个广播的调用了:

然后发现跳向的分支最后都是so层函数的调用:

然后根据程序的运行界面,看看三个so层函数的返回值就可以了:
图片描述

最后再第二个so的结果中发现了flag:

老规矩,先查壳:
图片描述
然后就可以看看java层啦:
先在xml文件中找到文件的入口点就可以分析了:
图片描述
然后进入到入口点:
图片描述
就是用这个函数Decode.m2957a()先解密两个字符串
然后用这个方法获取输入文本框中的内容和按钮的点击:
button.setOnClickListener(newView$OnClickListenerC0657a(editText));
frida(之前做ctf的时候不知道还能hook,都是一点点的还原算法,修复代码跑程序,frida这个工具真的yyds):
图片描述
刚开始用frida,不是很确定行不行,还是老方法转成java代码看看吧
发现也没有什么就是一个字符串解密,跑一下就行了:
图片描述
然后解密完这些字符串,java层就剩一个重要函数了
然后就该分析这个函数了:
图片描述
转到函数定义的部分去:
图片描述
先简单说一下这个onclick方法,不是很重要:
就是获取app的signature签名,然后md5运算,然后再进一步运算转成16进制
图片描述

然后看关键函数:
发现就是将text输入的内容给f1764a
图片描述
然后f1764a中的内容传到了这个方法中
图片描述
然后发现这个check方法是在so层的:
图片描述
到此为止java层分析就结束了,我来分享一下总结出来的so层的分析思路:
首先我是先看init_array节区,这是加载最早的一个部分了,所以从这里开始分析:
图片描述
然后就该分析sub_83DC函数了(分析之前还是要导入JNI.h头文件和进行代码修复,我这里只展示修复之后的代码了):
首先第一步是读取字符串,然后解密,这里有必要看一下,因为字符串中的值在之后的程序运行过程中会调用的:
图片描述
先看看unk_F130这个字符串中的值:
图片描述
然后解密之后是这样的:
/proc/%d/status这个应该是文件的路径名
r这暂时不知道是干啥的
TracerPid好了解密出这个字符串就知道为什么不让调试进程了,这个东西就是反调试的
在往下看就是读取文件中的内容,还是反调试的流程
图片描述
图片描述
到此为止init_array节区就分析完了(反调试的地方也找到了)
过反调试这里有两种方法:
第一种是用那个so_helper工具来修改so文件(但是这个不好操作,bug很多)
图片描述
在用ak重新打包编译一下:
图片描述
还有一种是用frida来HOOk初始化函数:
图片描述
这样初始化函数的反调试就可以被过掉了
然后在分析这个check函数的时候就不用担心反调试的问题了
然后就该分析JNI_onload了:
图片描述
然后跟进分析那个函数sub_88C4:
发现是这样的:
图片描述
然后还得看看怎么解密的字符串啊,就得分析sub_8740函数了:
这个函数就是解密字符串的,,你看他调用的这个类,是不是和之前的那个是一样的,所以直接用刚才的java脚本跑一下就好了
图片描述
然后返回上一层函数就该看check函数了:
图片描述
继续跟进分析sub_8690函数:
图片描述
这个函数sub_8690()是对app的签名校验,我刚刚过反调试的那个步骤中重新打包了app,然后运行程序的时候这个就会弹窗“You changed the signature!”,
图片描述
正常应该是这样的:
图片描述
所以要是修改so的话这里也要修改一下(还是万能的nop就行),但是如果用frida过去的话,就不会报这个错误了,所以推荐一下解题过程中还是用frida过反调试吧,不用修改太多的地方
然后就要分析那个解密signature的函数sub_85E0()因为从java层传来了signature参数,所以对参数的加解密一定是重要的:
再看看之前的java层传递参数到so层的过程:
图片描述
editText->f1764a
signatures(签名)->signatureArr->instance->digest->sb->str
f1764a和str就是传入so层的参数啊
图片描述
图片描述
接下来就要分析sub_84D0()这个函数了:
图片描述
直接hook吧,这么多代码都是运算的也不好分析,反正就是要最后一个结果,注意hook的时候之前的frida不要关,不然app的init_array字段的反调试会很难受
py脚本跑一下(关键代码如下):
图片描述
然后输出的数据用idc脚本导入ida中便于分析:
图片描述
之后导入的这些数据就是没有好的办法,之前学的方法就是alt+G切换为thumb模式,摁C转成代码,摁P声明成函数,然后F5
图片描述
最后附上脚本:

flag附上:
图片描述

这个题不难,但是想到方法不简单,要看2进制代码的格式
安装到手机的过程中就会出错,所以直接看看程序的入口点吧,好家伙XML文件没了:
图片描述
然后用UE打开看看吧,然后再打开几个正常的apk文件看看哪里改了:
这个是正常的XML文件:
图片描述
这个是错误的XML文件显示:
图片描述
要修改的话直接复制粘贴保存就好了,然后用ak重新编译一下:
直接发现flag的样式:
图片描述

package com.example.application;
 
import android.app.Activity;
import android.content.IntentFilter;
import android.os.Bundle;
import android.view.View;
import android.widget.TextView;
 
public class MainActivity extends Activity {
    public MainActivity() {
        super();
    }
 
    public void onCreate(Bundle arg6) {
        super.onCreate(arg6);
        TextView v2 = new TextView(this.getApplicationContext());
        v2.setText("Select the activity you wish to interact with.To-Do: Add buttons to select activity, for now use Send_to_Activity"); 
// 输出再屏幕上的文字
        this.setContentView(((View)v2));
        IntentFilter v0 = new IntentFilter();
        v0.addAction("com.ctf.INCOMING_INTENT");
        this.registerReceiver(new Send_to_Activity(), v0, "ctf.permission._MSG", null);
 // 注册一个广播
    }
}
package com.example.application;
 
import android.app.Activity;
import android.content.IntentFilter;
import android.os.Bundle;
import android.view.View;
import android.widget.TextView;
 
public class MainActivity extends Activity {
    public MainActivity() {
        super();
    }
 
    public void onCreate(Bundle arg6) {
        super.onCreate(arg6);
        TextView v2 = new TextView(this.getApplicationContext());
        v2.setText("Select the activity you wish to interact with.To-Do: Add buttons to select activity, for now use Send_to_Activity"); 
// 输出再屏幕上的文字
        this.setContentView(((View)v2));
        IntentFilter v0 = new IntentFilter();
        v0.addAction("com.ctf.INCOMING_INTENT");
        this.registerReceiver(new Send_to_Activity(), v0, "ctf.permission._MSG", null);
 // 注册一个广播
    }
}
package com.example.application;
 
import android.content.BroadcastReceiver;
import android.content.Context;
import android.content.Intent;
import android.widget.Toast;
 
public class Send_to_Activity extends BroadcastReceiver {
    public Send_to_Activity() {
        super();
    }
 
    public void onReceive(Context arg5, Intent arg6) {
        String get_message = arg6.getStringExtra("msg");
        if(get_message.equalsIgnoreCase("ThisIsTheRealOne")) { 
// 接收不同的信息,跳向不同的分支
            arg5.startActivity(new Intent(arg5, ThisIsTheRealOne.class));
        }
        else if(get_message.equalsIgnoreCase("IsThisTheRealOne")) {
            arg5.startActivity(new Intent(arg5, IsThisTheRealOne.class));
        }
        else if(get_message.equalsIgnoreCase("DefinitelyNotThisOne")) {
            arg5.startActivity(new Intent(arg5, DefinitelyNotThisOne.class));
        }
        else {
            Toast.makeText(arg5, "Which Activity do you wish to interact with?", 1).show();
        }
    }
package com.example.application;
 
import android.content.BroadcastReceiver;
import android.content.Context;
import android.content.Intent;
import android.widget.Toast;
 
public class Send_to_Activity extends BroadcastReceiver {
    public Send_to_Activity() {
        super();
    }
 
    public void onReceive(Context arg5, Intent arg6) {
        String get_message = arg6.getStringExtra("msg");
        if(get_message.equalsIgnoreCase("ThisIsTheRealOne")) { 
// 接收不同的信息,跳向不同的分支
            arg5.startActivity(new Intent(arg5, ThisIsTheRealOne.class));
        }
        else if(get_message.equalsIgnoreCase("IsThisTheRealOne")) {
            arg5.startActivity(new Intent(arg5, IsThisTheRealOne.class));
        }
        else if(get_message.equalsIgnoreCase("DefinitelyNotThisOne")) {
            arg5.startActivity(new Intent(arg5, DefinitelyNotThisOne.class));
        }
        else {
            Toast.makeText(arg5, "Which Activity do you wish to interact with?", 1).show();
        }
    }
ublic class DefinitelyNotThisOne extends Activity {
    static {
        System.loadLibrary("hello-jni");
    }
ublic class DefinitelyNotThisOne extends Activity {
    static {
        System.loadLibrary("hello-jni");
    }
CTF{IDontHaveABadjokeSorry}
CTF{IDontHaveABadjokeSorry}
#include<bits/stdc++.h>
using namespace std;
void destr();
void tea_decode1(uint32_t *origin, uint32_t *key) {
    uint32_t v0 = origin[0], v1 = origin[1], i;
    uint32_t delta = 0x61C88647;
    uint32_t sum = 0xC6EF3720;
    uint32_t k0 = key[0], k1 = key[1], k2 = key[2], k3 = key[3]; 
    for (i = 0; i < 32; i++) {                       
        v1 -= ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3);
        v0 -= ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1);
        sum += delta;
    }                                             
    origin[0] = v0;
    origin[1] = v1;
}
 
 
int main() {
    destr();
    uint32_t v27[8];
    v27[0] = 0x26BB4EA4;
    v27[1] = 0x69BBDC43;
    v27[2] = 0xDB3F2F5C;
    v27[3] = 0x7BBD2F9F;
    v27[4] = 0x65CDFE31;
    v27[5] = 0x3E91AEC4;
    v27[6] = 0xE703AF94;
    v27[7] = 0xC7D1E1F4;
    uint32_t key[4];
    key[0] = 0x67616C66;
    key[1] = 0x6948747B;
    key[2] = 0x24215F53;
    key[3] = 0x37256E5F;
 
    for (int i = 0; i < 8; i += 2) {
        tea_decode1(&v27[i], key);
    }
    cout << (char *) v27 << std::endl;
    return 0;
}
 
void destr() {
    uint32_t v26[10], v25[10];
    v26[0] = 0x821A9220;
    v26[1] = 0x96CD43F3;
    v26[2] = 0x36D481BA;
    v26[3] = 0xCB2C076D;
    v26[4] = 0xDC65768;
    v26[5] = 0xBAB4DE5D;
    v26[6] = 0x7571980F;
    v26[7] = 0xE382ECC7;
    v26[8] = 0xC733E8E0;
    v26[9] = 0x74812F26;
    v25[0] = 0x1DA05DA0;
    v25[1] = 0xB07E328;
    v25[2] = 0xB572D778;
    v25[3] = 0xC3EE27BB;
    v25[4] = 0xD200541B;
    v25[5] = 0xA595C8E0;
    v25[6] = 0x44B3A5C8;
    v25[7] = 0x21F11604;
    v25[8] = 0xDD1EBA82;
    v25[9] = 0xD4CBF19C;
    uint32_t key[4];
    key[0] = 0x67616C66;
    key[1] = 0x6948747B;
    key[2] = 0x24215F53;
    key[3] = 0x37256E5F;
 
    for (int i = 0; i < 10; i += 2) {
        tea_decode1(&v25[i], key);
    }
    cout << (char *) v25 << std::endl;
 
    for (int i = 0; i < 10; i += 2) {
        tea_decode1(&v26[i], key);
    }
    cout << (char *) v26 << std::endl;
}
#include<bits/stdc++.h>
using namespace std;
void destr();
void tea_decode1(uint32_t *origin, uint32_t *key) {
    uint32_t v0 = origin[0], v1 = origin[1], i;
    uint32_t delta = 0x61C88647;

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

最后于 2023-6-25 10:08 被以和爲貴编辑 ,原因:
上传的附件:
收藏
免费 6
支持
分享
打赏 + 50.00雪花
打赏次数 1 雪花 + 50.00
 
赞赏  Editor   +50.00 2022/08/01 恭喜您获得“雪花”奖励,安全圈有你而精彩!
最新回复 (24)
雪    币: 2826
活跃值: (6581)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2

*************

最后于 2022-7-27 18:47 被kanxue编辑 ,原因: 请注意言行,勿让他人感到不适!
2022-7-27 03:49
0
雪    币: 13992
活跃值: (17371)
能力值: ( LV12,RANK:290 )
在线值:
发帖
回帖
粉丝
3
感谢分享,所以说到底谈了几个女朋友呢?
2022-7-27 08:19
0
雪    币: 2325
活跃值: (2304)
能力值: ( LV6,RANK:89 )
在线值:
发帖
回帖
粉丝
4
爱我佳鑫*****************

你真恶心

最后于 2022-7-27 18:47 被kanxue编辑 ,原因:
2022-7-27 08:47
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
5
pureGavin 感谢分享,所以说到底谈了几个女朋友呢?[em_86]
不多不多大佬,反正不是一个两个的,没意思,都gg了
2022-7-27 09:05
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
6
爱我佳鑫 女****************

中国网警提醒您互联网并非法外之地,怎么说呢哈哈,看电影都不出来

最后于 2022-7-27 18:47 被kanxue编辑 ,原因:
2022-7-27 09:08
0
雪    币: 864
活跃值: (5094)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
写的不错
2022-7-28 14:25
0
雪    币: 6908
活跃值: (9039)
能力值: ( LV17,RANK:797 )
在线值:
发帖
回帖
粉丝
9
没想道 so helper 还有人用.....
可以用 keypatch 插件
2022-7-28 18:05
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
10
suuuuu 写的不错
谢谢鼓励哈哈
2022-7-28 21:42
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
11
suuuuu 写的不错
谢谢鼓励哈哈
2022-7-28 21:42
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
12
无名侠 没想道 so helper 还有人用..... 可以用 keypatch 插件
我还不知道呢,谢谢大佬分享
2022-7-28 21:44
0
雪    币: 7
活跃值: (294)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
温馨提示: 先充气!!!
2022-7-29 13:25
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
14
雪MFC 温馨提示: 先充气!!!
2022-7-29 21:54
0
雪    币: 2719
活跃值: (1574)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
15
啥也不让干 就不算 女朋友
2022-8-5 09:42
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
16
Vn小帆 啥也不让干 就不算 女朋友
一看大佬就是个明白人哈哈
2022-8-5 16:01
0
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
17
老哥,一题按你的调用后,interceptor里面没有输出不知为啥,可以解答下吗
2022-8-21 22:38
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
18
mb_hevmpadf 老哥,一题按你的调用后,interceptor里面没有输出不知为啥,可以解答下吗
您看看是不是js脚本出现了问题,或者是frida,js环境的问题
2022-8-21 23:31
1
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
19
各位大佬 :“先看第二个LoopCrypto”题目中的"先看看unk_F130这个字符串中的值:"这一步的解密是怎么解密的啊
2022-8-22 09:18
0
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
20

麻烦大佬看下我的附件哈,attach/spawn运行方式结果都一样,js环境就不确定了,不过hook别的app是正常的。

我在interceptor里面是直接输出args或者retval,反正我也能打印出那3个so函数的地址,也换了安卓6,7的两个模拟器。 我代码里面的app包名称应该没问题吧,感谢啦


上传的附件:
2022-8-22 09:19
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
21
mb_hevmpadf 麻烦大佬看下我的附件哈,attach/spawn运行方式结果都一样,js环境就不确定了,不过hook别的app是正常的。我在interceptor里面是直接输出args或者retval,反正我也能打印 ...
您试试我的js脚本可能是环境的问题,之前我的py脚本就经常出问题,干脆直接用js了
2022-8-22 10:07
1
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
22
逆向-新手 各位大佬 :“先看第二个LoopCrypto”题目中的"先看看unk_F130这个字符串中的值:"这一步的解密是怎么解密的啊
师傅您可以先dump出字符串的值,然后进行字符串的异或操作,或者直接下断点调试,直接就可以调试出解密后字符串的值
2022-8-22 10:09
0
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
23

好的好的,我试试用frida 命令

最后于 2022-8-22 10:10 被寒夜看xue编辑 ,原因:
2022-8-22 10:10
0
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
24
以和爲貴 师傅您可以先dump出字符串的值,然后进行字符串的异或操作,或者直接下断点调试,直接就可以调试出解密后字符串的值
好的 我试下  谢啦
2022-8-22 22:53
0
雪    币: 6036
活跃值: (7603)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
25
寒夜看xue 麻烦大佬看下我的附件哈,attach/spawn运行方式结果都一样,js环境就不确定了,不过hook别的app是正常的。我在interceptor里面是直接输出args或者retval,反正我也能打印 ...

您好师傅,抱歉,我之前没仔细看,是我的问题,之前是我的文章没写完全,您注入脚本之后之所以没有显示是因为没有跳转到相应的activity界面,导致的加载so的地方没有被调用

如果我们直接hook这个activity确实到达不了,应为没有调用它的地方,根据题目提示

他让你设置一个按钮跳向这个activity,这肯定有点恶心,所以我们将要采用frida+ojection的方法来跳到这个activity中

由于我们要hook的是so层的函数,所以我们要找到这个so层的函数在哪个activity中被调用

最后发现就是我文章中说得那几个activity里面



我们随便拿其中的一个举例子:


首先你得先进入这个activity中,然后他就会帮你弄一个按钮,然后点击按钮还会帮你传递值,所以我们的目的就是想办法跳转到这三个antivity中


我们首先可以用objection来看看这个apk总共有几个activity

然后依次跳转到这几个activity中:

然后注入firda脚本并且点击屏幕:




发现这个不是我们想要的结果

然后继续跳转到下一个activity中看看:



然后在这个activity中会发现我们的flag

希望对您有所帮助

2022-11-7 21:18
0
游客
登录 | 注册 方可回帖
返回
//