[原创]某国外加固环境检测与绕过-Android安全-看雪安全社区

作者：uiop
# 前言
偶然发现使用shamiko模块无法绕过某国外加固厂商的环境检测，那么就需要具体分析一下它检测了哪里。
## 第一部分：定位检测逻辑的通用思路
都深有感触的便是定位检测代码是个体力活；那么便先尝试用一些常用的定位思路来分析一波
### 1.通过linux“一切皆文件”思路定位
通过对底层系统库函数诸如openat、readlinkat、fstatat等进行hook监控，结果如下：
 ![](upload/attach/202306/753425_X4VC9J26QPHPDWM.png)
看到打开的都是sbin目录的特征文件然而此方式shamiko便能绕过，那么便还有其余的检测点。
### 2.分析现有检测软件猜测可能检测点
分析momo发现它是通过读取pts/2 下内容的方式发现su进程(此时su进程必须在运行状态下才能检测出来)，然而此时su必须是运行方式才能检测出来很明显与分析app检测方式不符合
 ![](upload/attach/202306/753425_CHFHAY6RPGMXFYJ.png)
### 3.通过正向开发思路定位
通过普遍cv的思想在github查找开源的代码块进行定位，下面代码在检测ld_prlaods符号存在于ro.data段，那么便可以使用gdb的awatch来观察ld_prlaods所在内存是否被读写。
 ![](upload/attach/202306/753425_ZPQQNAQ7JN2768B.png)
最后发现Shimako对这片进行了隐藏。因此便需要针对app的特定特征进行分析了
### 4.通过activity及弹窗定位
此app有非常明显的窗口点击事件，通过hook点击事件来定位到是哪个activity进行的活动展示
 ![](upload/attach/202306/753425_YGDPJMWMZUQTZWJ.png)
通过对activity一步一步分析出一些整体流程

## 第二部分：检测结果展示整体流程
整体流程就粗略带过一下
### 1.Jni反射调用doDispath完成广播发送
  ![](upload/attach/202306/753425_8KKTMM9NKUDH8VX.png) ![](upload/attach/202306/753425_CC5ZJHMTK3E5QTT.png)
### 2.NativeBridge接口完成数据交互
通过这些api接口完成java到native 层的数据交互，native层会根据这些信息拼接发送信息
 ![](upload/attach/202306/753425_WPE3GUQDN95PXH6.png)
### 3.Appdome注册registerAppDomeBroadCastReceiver接受广播
从以下代码便能看出接收器接受到检测到的各种事件
 ![](upload/attach/202306/753425_4ZHKJ8QJDE6Y2SR.png)
### 4.LoginActivity将接受事件进行活动展示
 ![](upload/attach/202306/753425_VZNH6W2N9SKQQSC.png)

## 第三部分：native流程分析
重点来到native的检测流程
### 1.Native层如何分析？
通过Jnitrace后发现以下关键字符串，因为已经知道了整体流程最终都是通过dosidpatch来发送消息，那么对最终dodispatch地址打调用栈就可以分析出完整的检测流程
 ![](upload/attach/202306/753425_8H6HZJPT537BW25.png)
有了这些调用关系，接下来便是一路调试验证的体力活了
### 2.最终检测流程如下：
•0x3c2920 线程创建线程检测函数
 ![](upload/attach/202306/753425_6Z2QRFR3A5Q78CS.png)
 ![](upload/attach/202306/753425_74PWPXSPE68Q9Z4.png)

•0x97568开启安全线程检查
 ![](upload/attach/202306/753425_B88C79567G46MCN.png)
 ![](upload/attach/202306/753425_9N54B3M678RZKDU.png)
 ![](upload/attach/202306/753425_VW5WKN7DFXJQJ7T.png)
 ![](upload/attach/202306/753425_7T4AZD4WPBUGMJU.png)

•0x105704 magisk detect： 路径比较，动态链接库符号比较
函数体混淆之后非常庞大，因此只关注关键地方进行分析即可
 ![](upload/attach/202306/753425_JYM2XCBJQXVEZR4.png)
 ![](upload/attach/202306/753425_YNE2M6GYWM8UW7Y.png)
 ![](upload/attach/202306/753425_N297CHX5FV8CY9S.png)
 ![](upload/attach/202306/753425_4PUNSQ65ZW98J85.png)
 ![](upload/attach/202306/753425_YE7WRQXPY3RY6P9.png)

通过对这些函数查看参数，就可以看到一些对magiks的一些传统检测
 ![](upload/attach/202306/753425_W5KC6H9V6HVRJR9.png)
 ![](upload/attach/202306/753425_M95X8MMWGGGJW5K.png)
 ![](upload/attach/202306/753425_2AM2AZZPTC6NAYT.png)
 ![](upload/attach/202306/753425_H52ZZP2255XG6WX.png)
然而这里还没有跟开头发出的json字符串有关系，所以需要接着向下分析

•0x284638通过927c0和dbba0设置eventid
 ![](upload/attach/202306/753425_6SWM6VA8C7TXQX8.png)
找到当前关键函数后向前打调用栈会发现有两个分支
 ![](upload/attach/202306/753425_XRJH65M57HMNU7M.png)

•0x24c164：927c0分支读取/data/data/com.mobile.co.th/cached_prefs 的值判断是否设置eventid
 ![](upload/attach/202306/753425_BGSKV8BV3E94TG3.png)
这里发现cached_prefs没有任何的写入，删除便可绕过

•0x253a38：dbba0分支以malloc为标志计算0x7f2190偏移处的dladdr是否为0
这里的检测思路可以参考：<mark class="encrypted">70fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1j5#2k6h3x3I4j5$3k6X3i4K6u0r3L8i4W2Q4x3X3c8F1L8%4c8W2M7#2)9J5c8X3u0D9L8$3u0Q4x3V1k6E0j5i4y4@1k6i4u0Q4x3V1k6F1k6i4N6Q4x3X3c8A6k6r3g2S2i4K6u0V1k6r3g2@1k6h3y4@1i4K6u0V1P5Y4W2Y4K9i4y4C8i4K6u0W2L8h3c8Q4x3U0y4Q4x3U0g2q4y4W2)9J5y4e0V1#2i4K6t1#2b7U0m8Q4x3U0g2q4y4g2)9J5y4f1q4p5i4K6t1#2z5e0N6Q4x3U0g2q4y4q4)9J5y4f1t1^5i4K6t1#2b7f1c8Q4x3U0g2q4y4W2)9J5y4e0W2m8i4K6t1#2z5e0N6Q4x3U0g2q4z5q4)9J5y4e0V1%4i4K6t1#2z5p5k6Q4x3U0g2q4y4#2)9J5y4e0S2q4i4K6t1#2z5o6c8Q4x3U0g2q4y4W2)9J5y4e0W2o6i4K6t1#2b7V1p5`.</mark>
 ![](upload/attach/202306/753425_5ZR5QR52STD3588.png)
找到检测的关键点以后接下来的流程已经不重要了

•0x20c4f4处通过看参数和结果确定是在构造json字符串
 ![](upload/attach/202306/753425_QX33958S6HF5VNU.png)

•在0x203ac4的函数 通过eventid发送对应envent
 ![](upload/attach/202306/753425_CAB2YXF7R9KKS3U.png)

•0x17e8e4反射调用doDispath发送广播
 ![](upload/attach/202306/753425_3KQ3DPFFVY2CYUA.png)

## 第四部分：绕过方案
有了以上分析之后那么接下来随便绕
### 1.不让app退出
分析退出流程是需要点击才能退出，于是可以通过lunch到想要的activity来进行绕过
 ![](upload/attach/202306/753425_DAMYJQRRX68SSDD.png)

### 2.使检查线程创建失败
既然是创建线程来检测， 那么就可以将检测线程创建失败进行绕过
 ![](upload/attach/202306/753425_GZ88YBBACEX5KM9.png)

### 3.粒度更小的绕过方式
使线程创建失败，粒度太大。也有许多对线程保护（如：将释放dex与检测放到一起，process_vm_write读取线程等）更多时候往往需要粒度更小的绕过方式，这时便可以对关键判断进行patch。

### 4.通用绕过方案
rom定制root方案
kernelsu方案
漏洞root方案

## 第五部分：后记
### 1.遇到的一些困难
分析时，检测到环境异常会退出严重干扰分析通过动态调试发现检测到环境异常后会执行非法指令进行退出。
使用gdb调试，追踪所有线程可以看到每个线程的行为
 ![](upload/attach/202306/753425_6F8DUFSBCHS5YQA.png)

查看0x7b8段所属内存为匿名可执行段，将其dump下来可以查看syscall实现（以为在找到了7寸），分析这个可以对所有系统调用全部hook住。因为时机原因每次只hook到nano_sleep，然而真正退出并不是在这里，所以在这里倒推分析流程走了不少弯路。
 ![](upload/attach/202306/753425_HG3BGAWMCU5MJP9.png)
2.还有很多检测（代码注入检测，adb检测，开发者选项开启检测等）暂时还没有分析

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2023-6-7 18:35 被三六零SRC编辑，原因：

#逆向分析 #混淆加固

最新回复 (11)
mb_lpcoesnt 雪币： 2545 活跃值： (3518) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 46 粉丝 2 关注私信	mb_lpcoesnt 2 楼大佬强 2023-6-8 10:01 0
codeoooo 雪币： 704 活跃值： (4117) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 112 粉丝 6 关注私信	codeoooo 3 楼 666 2023-6-8 10:04 0
huangjw 雪币： 6762 活跃值： (11982) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 516 粉丝 2 关注私信	huangjw 4 楼厉害厉害最后于 2023-6-8 10:47 被huangjw编辑，原因： 2023-6-8 10:42 0
shinratensei 雪币： 1719 活跃值： (215957) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 18 关注私信	shinratensei 1 5 楼 tql 2023-6-8 17:42 0
mb_foyotena 雪币： 477 活跃值： (1412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 304 粉丝 14 关注私信	mb_foyotena 6 楼 lz什么时候分析一波360加固? 2023-6-8 17:59 0
flashgg 雪币： 49 活跃值： (2473) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 43 粉丝 1 关注私信	flashgg 7 楼您好，看哪几本书才能掌握到您这么多的知识 2023-6-8 22:19 0
秋狝雪币： 10171 活跃值： (34246) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 8 楼 tql 2023-6-9 09:07 1
微微T52G25 雪币： 3561 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 27 粉丝 1 关注私信	微微T52G25 9 楼太强了，看不懂 2023-6-13 15:41 0
mb_zfqvurgb 雪币： 306 活跃值： (1669) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 52 粉丝 1 关注私信	mb_zfqvurgb 10 楼大佬，有样本吗 2025-10-23 17:44 0
39周雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 1 关注私信	39周 12 楼 mb_clhmqphi 棋牌游戏能做外挂吗求合作高报酬 1 2025-11-5 22:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复