简单介绍

part脱壳分析机是在fart基础上升级的脱壳机，基于安卓13，主要有以下几点修改：

1）百分百重写所有fart代码与流程，完全移除java层，脱壳逻辑全部转为c++层实现

2）支持一键脱壳，梦回fart8，内置完善过滤机制。直接打开app等几分钟即可脱全壳包括抽取的函数，截至发稿日期通杀所有厂商个人/企业版一二代壳

3）支持批量vmp函数jni调用流程详细跟踪

来波实战

豌豆荚上随便找个应用安装到脱壳机
一条命令标记app，告诉脱壳机这是要脱壳的应用，然后直接打开app等待日志脱壳完成即可。

脱下来会有这些东西：

直接一键修复，这样的话，就把所有的抽取方法都回填回去了：

把修复好的dex直接放回apk中，拖进jadx看看现在的样子：


除了native函数，其他的抽取/非抽取的都已经完全修复。那接下来就是还原这些native了

part支持批量jni调用跟踪，一条命令启用后跟踪下来的日志会以文件形式保存，内容如下：

拿着这份调用日志直接扔到ai（smali基础好的其实也可以自己写，但我觉得ai快捷一些）：

最终效果（最后一行我自己加的重打包flag）：

用同样方法，把app的所有壳的native方法还原，并且去掉壳的静态代码块、把application入口改为目标app,以及修改壳获取context的方法后最后重打包成功，最终效果如图。app所有功能都能正常使用，说明代码逻辑还是没问题的：

补充下，对于下图这种加固，也是可以用此方法还原的（演示就只还原了一个getUrl）：

总结

这种方法还原vmp比较粗暴但是也还是可以用，特别是对于中小型的app，业务逻辑简单，没有很多判断条件的，企图依靠一个壳保天下的这种，基本都是一把梭，一小时内可以把整个app从壳中脱离。缺点就是不够精准，像一些异常啊那些就没法处理，还有如果是Java层的算法那些应该也不好还原（但现在谁还会把app的算法写在java层）。优点自然不用说了，现在加壳厂商有些已经把vmp升级到双重甚至三重，手工逆的话难度极大，并且时间成本极高。现在不需要你会ida，不需要你写一行frida代码，即可把整个app的vmp保护去掉，简直就是降维打击，逆向小白也可轻松还原vmp。
另外源码就不打算公开了，想要这个镜像的话也可联系Q328366802（备注看雪），有偿代刷，仅供个人学习使用，请勿做违法事情。
PS：图中所有案例app都仅是测试学习，无任何复制以及传播、或其他恶意行为，如觉得侵权了请联系删除。

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！