[原创]绕过爱奇艺新版libmsaoaidsec.so Frida检测-Android安全-看雪安全社区

# 1、环境：
手机：Google Pixel 6，Aosp android13
cpu架构：Arm64
Frida：16.1.10
爱奇艺：15.2.5

# 2、问题
这段时间在研究爱奇艺的一些功能，当用Frida调试时发现有反Frida检测，现象是执行`frida -l index.js -U -f com.qiyi.video`时进程重启，下面是对Frida检测的一些分析，并通过hook绕过Frida检测。

# 3、分析
用Frida hook do_dlopen函数看加载哪个so时崩溃的，hook之前先获取do_dlopen在linker64中的相对偏移
 ![](upload/attach/202403/956681_M8YT5HFFQYW8P5S.webp)
## hook 脚本如下：

```
function hookDlopen() {
 let linker64_base_addr = Module.getBaseAddress('linker64')
 let offset = 0x3ba00 // __dl__Z9do_dlopenPKciPK17android_dlextinfoPKv
 let android_dlopen_ext = linker64_base_addr.add(offset)
 Interceptor.attach(android_dlopen_ext, {
 onEnter: function(args){
 this.name = args[0].readCString()
 Log.log(`dlopen onEnter ${this.name}`)
 }, onLeave: function(retval){
 Log.log(`dlopen onLeave name: ${this.name}`)
				if (this.name != null && this.name.indexOf('libmsaoaidsec.so') >= 0) {
 let JNI_OnLoad = Module.getExportByName(this.name, 'JNI_OnLoad')
 Log.log(`dlopen onLeave JNI_OnLoad: ${JNI_OnLoad}`)
 }
 }
 })
 }
```
## 执行`frida -l index.js -U -f com.qiyi.video`
 ![](upload/attach/202403/956681_6FZRKEWB3SK9J5X.webp)
从结果可以看出加载的最后一个so是：libmsaoaidsec.so，并且没有调用onLeave，由此可断定崩溃点在libmsaoaidsec.so中，并且在JNI_OnLoad之前检测的，检测点应该是在init_array初始化函数中。
 
既然挂上Frida后进程就退出，那么我们就来分析是调用哪个系统调用退出的，可以通过strace查看系统调用，但在执行strace时需要在dlopen加载libmsaoaidsec.so之前让线程sleep 10秒，以便留出strace执行时机。

```
function hookDlopen() {
 // 获取libc中的sleep函数
 let sleep: Function = new NativeFunction(Module.getExportByName('libc.so', 'sleep'), 'uint', ['uint'])
 let linker64_base_addr = Module.getBaseAddress('linker64')
 let offset = 0x3ba00 // __dl__Z9do_dlopenPKciPK17android_dlextinfoPKv
 let android_dlopen_ext = linker64_base_addr.add(offset)
 Interceptor.attach(android_dlopen_ext, {
 onEnter: function(args){
 this.name = args[0].readCString()
 Log.log(`dlopen onEnter ${this.name}`)
 if (this.name != null && this.name.indexOf('libmsaoaidsec.so') >= 0) {
 sleep(10) // sleep10秒留出strace执行时机
 }
 }, onLeave: function(retval){
 Log.log(`dlopen onLeave name: ${this.name}`)
 }
 })
 }
```
## 下面重新执行`frida -l index.js -U -f com.qiyi.video`
 ![](upload/attach/202403/956681_327JNERN9DYECMW.webp)
## 然后得到pid立即执行strace -e trace=process -i -f -p 15534 等待10秒后结果：
 ![](upload/attach/202403/956681_TPDWPJV3V6B3CYY.webp)
我们看这一行`[pid 15576] [000000751926c008] exit_group(0 <unfinished ...>`，显示15576线程是在0x751926c008地址处调用exit_group退出的，通过proc/15534/maps查看libc.so的地址范围是0x7509b9c000 - 0x7509c70000，很明显0x751926c008不是libc.so的地址，由此可以断定exit_group的代码是动态释放的。
 
动态释放代码一定是要操作内存的，接下来我们用前面相同的逻辑，用strace查看调用了哪些和内存相关的系统调用
 
`strace -e trace=process,memory -i -f -p 25947`
 ![](upload/attach/202403/956681_AJDYG9RMXV9257X.webp)
注意这行：[pid 25990] [0000007509c48ab8] mmap(NULL, 28, PROT_READ|PROT_WRITE|PROT_EXEC, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x751926c000
 
上面这行mmap申请的内存返回的地址是：0x751926c000，正好匹配后面exit_group前面的地址：000000751926c008
 
由mmap的地址可以看出mmap是libc.so中的函数，于是我们可以hook mmap打印一下调用栈

```
function hook_mmap() {
  const mmap = Module.getExportByName("libc.so", "mmap");
  Interceptor.attach(mmap, {
    onEnter: function (args) {
      let length = args[1].toString(16)
      if (parseInt(length, 16) == 28) {
        Log.log('backtrace:\n' + Thread.backtrace(this.context, Backtracer.ACCURATE)
										          .map(DebugSymbol.fromAddress).join('\n') + '\n');
      }
    }
  })
}

function hookDlopen() {
 let sleep: Function = new NativeFunction(Module.getExportByName('libc.so', 'sleep'), 'uint', ['uint'])
 let linker64_base_addr = Module.getBaseAddress('linker64')
 let offset = 0x3ba00 // __dl__Z9do_dlopenPKciPK17android_dlextinfoPKv
 let android_dlopen_ext = linker64_base_addr.add(offset)
 Interceptor.attach(android_dlopen_ext, {
 onEnter: function(args){
 this.name = args[0].readCString()
 Log.log(`dlopen onEnter ${this.name}`)
 if (this.name != null && this.name.indexOf('libmsaoaidsec.so') >= 0) {
 // sleep(10)
	 hook_mmap()
 }
 }, onLeave: function(retval) {
 Log.log(`dlopen onLeave name: ${this.name}`)
 }
 })
 }
```
## 调用栈如下：
 ![](upload/attach/202403/956681_VGC94QD3PNWEDYC.webp)
## 下面用IDA打开libmsaoaidsec.so，看0x2358c地址处对应的函数
 ![](upload/attach/202403/956681_UVHAUG3SJ5VEEMJ.webp)
## 下面看C语言伪码，的确是在释放代码并且执行：
 ![](upload/attach/202403/956681_HEWBB69AM2F9M8H.webp)
## 经过IDA分析0x1bdcc地址对应的函数：`void sub_1B924()`是检测逻辑所在，具体检测逻辑就不在这赘述了，大家有兴趣可以自行研究
 ![](upload/attach/202403/956681_S4YX3ED9AVUNGA4.webp)
# 4、解决方案
解决方案就是replace掉这个无返回值的函数 `void sub_1B924()`
 
由于这个检测逻辑在.init_函数中，所以得先找到hook时机，查看Aosp代码发现linker执行init_array类的函数是call_constructors：

```
void soinfo::call_constructors() {
  if (constructors_called) {
    return;
  }
  constructors_called = true;

if (!is_main_executable() && preinit_array_ != nullptr) {
    // The GNU dynamic linker silently ignores these, but we warn the developer.
    PRINT("\"%s\": ignoring %zd-entry DT_PREINIT_ARRAY in shared library!",
          get_realpath(), preinit_array_count_);
  }

get_children().for_each([] (soinfo* si) {
    si->call_constructors();
  });

TRACE("\"%s\": calling constructors", get_realpath());

// DT_INIT should be called before DT_INIT_ARRAY if both are present.
 call_function("DT_INIT", init_func_);
 call_array("DT_INIT_ARRAY", init_array_, init_array_count_, false);
}
```
所以直接hook call_constructors函数，在onEnter中replace掉sub_1b924
 
查看call_constructors在linker64中的偏移
 ![](upload/attach/202403/956681_USE5ZNV8TMW8T5J.webp)
# 5、最终代码

function hook_linker_call_constructors() {
    let linker64_base_addr = Module.getBaseAddress('linker64')
    let offset = 0x521f0 // __dl__ZN6soinfo17call_constructorsEv
    let call_constructors = linker64_base_addr.add(offset)
    let listener = Interceptor.attach(call_constructors, {
      onEnter: function (args) {
        Log.log('hook_linker_call_constructors onEnter')
        let secmodule = Process.findModuleByName("libmsaoaidsec.so")
        if (secmodule != null) {
          hook_sub_1b924(secmodule)
          listener.detach()
        }
      }
    })
  }

function hook_sub_1b924(secmodule) {
    Interceptor.replace(secmodule.base.add(0x1b924), new NativeCallback(function () {
      Log.log(`hook_sub_1b924 >>>>>>>>>>>>>>>>> replace`)
    }, 'void', []));
  }

```

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-3-4 13:01 被yyy123编辑，原因：上传libmsaoaidsec.so文件

#逆向分析

上传的附件：

strace_android10 （786.68kb，154次下载）
strace_android12 （794.04kb，111次下载）
strace_android13 （801.84kb，138次下载）
strace_android14 （822.27kb，123次下载）
libmsaoaidsec.so （676.00kb，121次下载）

最新回复 (71) 1 2 3 ▶
秋狝雪币： 10080 活跃值： (34151) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 2 楼感谢分享 2024-3-3 23:00 1
苦瓜tim 雪币： 186 活跃值： (1891) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 25 粉丝 1 关注私信	苦瓜tim 3 楼牛逼 2024-3-4 09:46 0
shinratensei 雪币： 1719 活跃值： (215957) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 18 关注私信	shinratensei 1 4 楼 tql 2024-3-4 09:54 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 5 楼大佬能附带个样本，去下载一个同版本的app，里面是arm版本so，在ida中搜索函数1b924没有的 2024-3-4 10:06 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 6 楼疑问1【显示15576线程是在0x751926c008地址处调用exit_group退出的，通过proc/15534/maps查看libc.so的地址范围是0x7509b9c000 - 0x7509c70000，很明显0x751926c008不是libc.so的地址，由此可以断定exit_group的代码是动态释放的】这个查看libc.so的地址范围的时机是什么时候呢，如果注入frida后app重启了，这个地址会变化？如果变化了这个时候exit的那个地址范围就和重启后的libc.so地址对不上了吧。这个查libc.so的地址是在sleep的时候做的吗？ strace是自己编译的，还是可以在网上下到呢，在Android12上面没有这个工具。 2024-3-4 10:13 0
fishod 雪币： 5599 活跃值： (4328) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 42 粉丝 1 关注私信	fishod 7 楼感谢分享精彩文章，附加是64位so 上传的附件： libmsaoaidsec.so （676.00kb，48次下载） 2024-3-4 10:23 0
koflfy 雪币： 102 活跃值： (4101) 能力值： ( LV4，RANK：50 ) 在线值：发帖 8 回帖 482 粉丝 5 关注私信	koflfy 1 8 楼 mark 2024-3-4 11:22 0
yyy123 雪币： 342 活跃值： (1312) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 40 关注私信	yyy123 9 楼你瞒我瞒大佬能附带个样本，去下载一个同版本的app，里面是arm版本so，在ida中搜索函数1b924没有的要64位的，应用宝下载即可 2024-3-4 11:34 0
yyy123 雪币： 342 活跃值： (1312) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 40 关注私信	yyy123 10 楼 1、是调用的sleep获取maps文件，另外linux的fork机制原因，libc.so映射地址一般都和zygote进程一样 2、通过Aoso编译的镜像是自带strace的稍等我在文章后面附加指定版本的strace 2024-3-4 11:40 0
yyy123 雪币： 342 活跃值： (1312) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 40 关注私信	yyy123 11 楼你瞒我瞒疑问1【显示15576线程是在0x751926c008地址处调用exit_group退出的，通过proc/15534/maps查看libc.so的地址范围是0x7509b9c000 - 0x7509c ... 1、是调用的sleep获取maps文件，另外linux的fork机制原因，libc.so映射地址一般都和zygote进程一样 2、通过Aoso编译的镜像是自带strace的稍等我在文章后面附加指定版本的strace 2024-3-4 11:41 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 12 楼 yyy123 1、是调用的sleep获取maps文件，另外linux的fork机制原因，libc.so映射地址一般都和zygote进程一样 2、通过Aoso编译的镜像是自带strace的稍等我在文章 ... 感谢 2024-3-4 14:13 0
青眼白龙雪币： 7321 活跃值： (8233) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 152 粉丝 1 关注私信	青眼白龙 13 楼学习一下 2024-3-4 19:24 0
anenn 雪币： 6870 活跃值： (5076) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 45 粉丝 0 关注私信	anenn 14 楼学习了 2024-3-5 11:29 0
neo10 雪币： 199 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	neo10 15 楼学习了 2024-3-5 14:12 0
linkin5epk 雪币： 216 活跃值： (3470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 40 粉丝 1 关注私信	linkin5epk 16 楼复现不了...下载的爱奇艺版本也会Process terminated,但是没有没有到libmsaoaidsec.so 这个文件... 2024-3-6 11:58 0
yyy123 雪币： 342 活跃值： (1312) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 40 关注私信	yyy123 17 楼 linkin5epk 复现不了...下载的爱奇艺版本也会Process terminated,但是没有没有到libmsaoaidsec.so 这个文件... 版本一致吗？我在应用宝下载的 2024-3-6 14:07 0
linkin5epk 雪币： 216 活跃值： (3470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 40 粉丝 1 关注私信	linkin5epk 18 楼 yyy123 版本一致吗？我在应用宝下载的有可能是因为我使用的是模拟器，我没试过真机，我换真机试试 2024-3-6 19:54 0
yyy123 雪币： 342 活跃值： (1312) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 17 粉丝 40 关注私信	yyy123 19 楼 linkin5epk 有可能是因为我使用的是模拟器，我没试过真机，我换真机试试[em_51] 现在有点规模的app都有反作弊检测的，首先检测的就是模拟器 2024-3-6 19:59 0
axyzyz 雪币： 27 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 1 关注私信	axyzyz 20 楼 66666 2024-3-6 22:38 0
linkin5epk 雪币： 216 活跃值： (3470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 40 粉丝 1 关注私信	linkin5epk 21 楼 yyy123 现在有点规模的app都有反作弊检测的，首先检测的就是模拟器谢嘞大哥，换真机成功嘞 2024-3-7 00:09 0
jueqingqiai 雪币： 18 活跃值： (750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	jueqingqiai 22 楼学习了，谢谢分享最后于 2024-3-7 17:00 被jueqingqiai编辑，原因： 2024-3-7 16:36 0
jueqingqiai 雪币： 18 活跃值： (750) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	jueqingqiai 23 楼 Log 如何打印的 id 和 ThreadId？ 2024-3-7 21:52 0
linkin5epk 雪币： 216 活跃值： (3470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 40 粉丝 1 关注私信	linkin5epk 24 楼 jueqingqiai Log 如何打印的 id 和 ThreadId？同问最后于 2024-3-8 00:49 被linkin5epk编辑，原因： 2024-3-8 00:40 0
linkin5epk 雪币： 216 活跃值： (3470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 40 粉丝 1 关注私信	linkin5epk 25 楼我们看这一行[pid 15576] [000000751926c008] exit_group(0 <unfinished ...>，显示15576线程是在0x751926c008地址处调用exit_group退出的，通过proc/15534/maps查看libc.so的地址范围是0x7509b9c000 - 0x7509c70000，很明显0x751926c008不是libc.so的地址，由此可以断定exit_group的代码是动态释放的。我太菜了,能请问一下这个动态释放是什么意思?(我可以认为是在exit前会执行动态释放内存的操作吗?) 上面这行mmap申请的内存返回的地址是：0x751926c000，正好匹配后面exit_group前面的地址：000000751926c008(这段话有什么含义么?不是很理解...这和上面的动态释放连着的吗?) 2024-3-8 01:01 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复