il2cpp api偏移查找-Android安全-看雪安全社区｜专业技术交流与安全研究论坛

il2cpp api偏移查找

发表于: 2024-7-31 17:39 5495

il2cpp api偏移查找

灯-等灯等灯~

2024-7-31 17:39

5495

打开 libunity.so 搜索字符串：Could not load symbol %s : %s
 ![图片描述](upload/attach/202407/769188_3ACEGW6NC4SHPNG.webp)

查找引用，进入任意一处
 ![图片描述](upload/attach/202407/769188_QUKGQWQGJGR2QD9.webp)

F5显示伪代码：
 ![图片描述](upload/attach/202407/769188_5TMK4WS2CW5N3SR.webp)

frida hook代码：

```
/*
用法：
frida -U -l hook_dlopen.js -f packageName --no-pause

var soName = "libunity.so"

function hook_dlopen()
{
    var is_can_hook = false;
    Interceptor.attach(Module.findExportByName(null, "dlopen"),
    {
        onEnter: function (args)
        {
            var pathptr = args[0];
            if (pathptr !== undefined && pathptr != null)
            {
                var path = ptr(pathptr).readCString();
                if (path.indexOf(soName) >= 0)
                {
                    this.is_can_hook = true;
                    console.log("\n"+soName+"_path:", path);

}
            }
        },
        onLeave: function (retval)
        {
            if (this.is_can_hook)
            {
                myfun();
                console.log("dlopen finish...");
            }
        }
    }
    );

Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
    {
        onEnter: function (args)
        {
            var pathptr = args[0];
            if (pathptr !== undefined && pathptr != null)
            {
                var path = ptr(pathptr).readCString();
                if (path.indexOf(soName) >= 0)
                {
                    this.is_can_hook = true;
                    console.log("\n"+soName+"_path:", path);
                }
            }
        },
        onLeave: function (retval)
        {
            if (this.is_can_hook)
            {
                myfun();
                console.log("android_dlopen_ext  finish...");
            }
        }
    }
    );
}

setImmediate(hook_dlopen);
```

输出：
 ![图片描述](upload/attach/202407/769188_XVADG2ACND7GGDG.webp)
 ![图片描述](upload/attach/202407/769188_WP9ZAQJKMGQ5P5B.webp)

总结：

多找找特征，找旧版本对比

欢迎加入QQ群：812701781，542863693，欢迎分享一些骚操作（备注看的什么文章）

微信公众号：MoneyHoneyCome

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#逆向分析 #HOOK注入 #工具脚本

收藏・7

点赞・2

打赏

最新回复 (3)
New对象处雪币： 361 活跃值： (8070) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 182 粉丝 32 关注私信	New对象处 2 楼先发6，再看 2024-7-31 18:05 0
e有理雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	e有理 3 楼 666 2024-11-12 18:43 0
zkbutt 雪币： 338 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 59 粉丝 3 关注私信	zkbutt 4 楼这么好的文章没人顶？ 2025-11-18 09:11 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

灯-等灯等灯~

发帖

回帖

RANK

关注

私信

他的文章

[原创]修改dex字节码 28716
[分享]frida主动调用init_array中的函数 3089
il2cpp api偏移查找 5494
[原创]一次svc简单绕过 4836
[分享]global-metadata.dat,libil2cpp.so解密修复 18586

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

最新回复 (3)
New对象处雪币： 361 活跃值： (8070) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 182 粉丝 32 关注私信	New对象处 2 楼先发6，再看 2024-7-31 18:05 0
e有理雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	e有理 3 楼 666 2024-11-12 18:43 0
zkbutt 雪币： 338 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 59 粉丝 3 关注私信	zkbutt 4 楼这么好的文章没人顶？ 2025-11-18 09:11 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复