[原创] 淺談Cocos2djs逆向-Android安全-看雪安全社区

[原创] 淺談Cocos2djs逆向

发表于: 2024-9-5 22:10 52165

[原创] 淺談Cocos2djs逆向

ngiokweng

2024-9-5 22:10

52165

## 前言

簡單聊一下cocos2djs手遊的逆向，有任何相關想法歡迎和我討論^^

## 一些概念

列出一些個人認為比較有用的概念：

-  Cocos遊戲的兩大開發工具分別是`CocosCreator`和`CocosStudio`，區別是前者是cocos2djs專用的開發工具，後者則是cocos2d-lua、cocos2d-cpp那些。

![](upload/attach/202409/946537_K3NQFC6REHUET33.webp)

-  使用`Cocos Creator 2`開發的手遊，生成的關鍵so默認名稱是`libcocos2djs.so`
-  使用`Cocos Creator 3`開發的手遊，生成的關鍵so默認名稱是`libcocos.so` ( 入口函數非`applicationDidFinishLaunching` )
-  Cocos Creator在構建時可以選擇是否對`.js`腳本進行加密&壓縮，而加密算法固定是`xxtea`，還可以選擇是否使用Zip壓縮
    
  ![](upload/attach/202409/946537_MRGS5M4K93GX3WM.webp)
    
-  `libcocos2djs.so`裡的`AppDelegate::applicationDidFinishLaunching`是入口函數，可以從這裡開始進行分析
-  Cocos2djs是Cocos2d-x的一個分支，因此<mark class="encrypted">87aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3y4G2M7K6u0V1i4K6u0r3j5$3!0U0L8%4x3J5k6q4)9J5k6s2S2Q4c8e0k6Q4b7V1q4Q4z5e0m8Q4c8e0N6Q4b7e0u0Q4b7V1y4Q4c8e0g2Q4z5e0m8Q4z5p5y4Q4c8e0k6Q4b7e0S2Q4b7e0y4Q4c8e0W2Q4z5o6q4Q4b7e0W2Q4c8e0N6Q4z5e0c8Q4b7e0S2Q4c8e0k6Q4z5e0k6Q4b7V1y4o6L8$3y4G2M7K6u0V1K9Y4x3`.</mark>

## 自己寫一個Demo

自己寫一個Demo來分析的好處是能夠快速地判斷某個錯誤是由於被檢測到？還是本來就會如此？

### 版本信息

嘗試過2.4.2、2.4.6兩個版本，都構建失敗，最終成功的版本信息如下：

- 編輯器版本：`Creator 2.4.13` ( 2系列裡的最高版本，低版本在AS編譯時會報一堆錯誤 )
- ndk版本：`23.1.7779620`
- `project/build.gradle`：`classpath 'com.android.tools.build:gradle:8.0.2'`
- `project/gradle/gradle-wrapper.properties`：`distributionUrl=https\://services.gradle.org/distributions/gradle-8.0.2-all.zip`

### Cocos Creator基礎用法

由於本人不懂cocos遊戲開發，只好直接用官方的Hello World模板。

![](upload/attach/202409/946537_NDNDJYH7DJM4689.webp)

首先要設置SDK和NDK路徑

![](upload/attach/202409/946537_BFWBHHPQ4S4HFDY.webp)

然後構建的參數設置如下，主要需要設置以下兩點：

- 加密腳本：全都勾上，密鑰用默認的
- Source  Map：保留符號，這樣IDA在打開時才能看到函數名

![](upload/attach/202409/946537_QRFVCM7ZTJ7K33K.webp)

我使用Cocos Creator能順利構建，但無法編譯，只好改用Android Studio來編譯。

使用Android Studio打開`build\jsb-link\frameworks\runtime-src\proj.android-studio`，然後就可以按正常AS流程進行編譯

Demo如下所示，在中心輸出了`Hello, World!`。

![](upload/attach/202409/946537_88ZTD32TDCYBZMU.webp)

## jsc腳本解密

上述Demo構建中有一個選項是【加密腳本】，它會將js腳本通過xxtea算法加密成`.jsc`。

而遊戲的一些功能就會通過js腳本來實現，因此cocos2djs逆向首要事件就是將`.jsc`解密，通常`.jsc`會存放在apk內的`assets`目錄下

![](upload/attach/202409/946537_TD96UHCGK98YEEH.webp)

### 獲取解密key

方法一：從`applicationDidFinishLaunching`入手

![](upload/attach/202409/946537_6WP6MHN6MQB34B2.webp)

方法二：HOOK

1. hook `set_xxtea_key`

```jsx
// soName: libcocos2djs.so
function hook_jsb_set_xxtea_key(soName) {
    let set_xxtea_key = Module.findExportByName(soName, "_Z17jsb_set_xxtea_keyRKNSt6__ndk112basic_stringIcNS_11char_traitsIcEENS_9allocatorIcEEEE");
    Interceptor.attach(set_xxtea_key,{
        onEnter(args){
            console.log("xxtea key: ", args[0].readCString())
        },
        onLeave(retval){

}
    })
}
```

1. hook `xxtea_decrypt`

```jsx
function hook_xxtea_decrypt(soName) {
    let set_xxtea_key = Module.findExportByName(soName, "xxtea_decrypt");
    Interceptor.attach(set_xxtea_key,{
        onEnter(args){
            console.log("xxtea key: ", args[2].readCString())
        },
        onLeave(retval){

}
    })
}
```

### python加解密腳本

一次性解密`output_dir`目錄下所有`.jsc`，並在`input_dir`生成與`output_dir`同樣的目錄結構。

```python
# pip install xxtea-py
# pip install jsbeautifier

import xxtea
import gzip
import jsbeautifier
import os

KEY = "abdbe980-786e-45"

input_dir = r"cocos2djs_demo\assets" # abs path

output_dir = r"cocos2djs_demo\output" # abs path

def jscDecrypt(data: bytes, needJsBeautifier = True):
    dec = xxtea.decrypt(data, KEY)
    jscode = gzip.decompress(dec).decode()

if needJsBeautifier:
        return jsbeautifier.beautify(jscode)
    else:
        return jscode

def jscEncrypt(data):
    compress_data = gzip.compress(data.encode())
    enc = xxtea.encrypt(compress_data, KEY)
    return enc

def decryptAll():
    for root, dirs, files in os.walk(input_dir):
        
        # 創建與input_dir一致的結構
        for dir in dirs:
            dir_path = os.path.join(root, dir)
            target_dir = output_dir + dir_path.replace(input_dir, "")
            if not os.path.exists(target_dir):
                os.mkdir(target_dir)

for file in files:
            file_path = os.path.join(root, file)
       
            if not file.endswith(".jsc"):
                continue
            
            with open(file_path, mode = "rb") as f:
                enc_jsc = f.read()
            
            dec_jscode = jscDecrypt(enc_jsc)
            
            output_file_path = output_dir + file_path.replace(input_dir, "").replace(".jsc", "") + ".js"

print(output_file_path)
            with open(output_file_path, mode = "w", encoding = "utf-8") as f:
                f.write(dec_jscode)

def decryptOne(path):
    with open(path, mode = "rb") as f:
        enc_jsc = f.read()
    
    dec_jscode = jscDecrypt(enc_jsc, False)

output_path = path.split(".jsc")[0] + ".js"

with open(output_path, mode = "w", encoding = "utf-8") as f:
        f.write(dec_jscode)

def encryptOne(path):
    with open(path, mode = "r", encoding = "utf-8") as f:
        jscode = f.read()

enc_data = jscEncrypt(jscode)
    
    output_path = path.split(".js")[0] + ".jsc"

with open(output_path, mode = "wb") as f:
        f.write(enc_data)

if __name__ == "__main__":
    decryptAll()
```

## `jsc`文件的2種讀取方式

為實現對遊戲正常功能的干涉，顯然需要修改遊戲執行的js腳本。而替換`.jsc`文件是其中一種思路，前提是要找到讀取`.jsc`文件的地方。

### 方式一：從apk裡讀取

我自己編譯的Demo就是以這種方式讀取`/data/app/XXX/base.apk`裡`assets`目錄內的`.jsc`文件。

cocos引擎默認使用xxtea算法來對`.jsc`等腳本進行加密，因此讀取`.jsc`的操作定然在`xxtea_decrypt`之前。

跟<a href="elink@e00K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3y4G2M7K6u0V1i4K6u0r3j5$3!0U0L8%4x3J5k6q4)9J5k6s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3y4K6j5&6x3o6y4V1k6h3f1$3y4o6l9@1y4X3x3%4j5X3k6V1j5X3p5#2x3o6M7&6x3r3u0W2x3U0R3K6y4o6R3@1j5U0c8T1k6e0t1%4x3g2)9J5c8X3y4G2j5$3!0K6i4K6u0r3M7$3y4J5K9i4m8@1K9h3&6Y4i4K6u0r3L8s2g2S2i4K6u0V1j5X3W2F1k6r3W2F1k6%4y4Q4x3V1k6E0j5h3&6#2j5h3I4Q4x3V1k6o6b7@1I4#2j5g2y4@1j5h3y4C8i4K6u0W2j5%4m8H3i4K6t1K6e0o6M7^5x3R3`.`.">cocos2d-x源碼</a>，找使用`xxtea_decrypt`的地方，可以定位到`LuaStack::luaLoadChunksFromZIP`

![](upload/attach/202409/946537_D56DGTMMQHPVNMT.webp)

向上跟會發現它的bytes數據是由`getDataFromFile`函數獲取

![](upload/attach/202409/946537_5HUNC7BU5232XJY.webp)

繼續跟`getDataFromFile`的邏輯，它會調用`getContents`，而`getContents`裡是調用`fopen`來打開，但奇怪的是hook `fopen`卻沒有發現它有打開任何`.jsc`文件

![](upload/attach/202409/946537_JAZ4QFQEZ79VFW6.webp)

![](upload/attach/202409/946537_7KUFT82MNF3P4YY.webp)

後來發現調用的並非`FileUtils::getContents`，而是`FileUtilsAndroid::getContents`。

它其中一個分支是調用`libandroid.so`的`AAsset_read`來讀取`.jsc`數據，調用`AAssetManager_open`來打開`.jsc`文件。

![](upload/attach/202409/946537_FGE9ZD7GHYW98EK.webp)

繼續對`AAssetManager_open`進行深入分析( <a href="elink@bf4K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4S2J5k6h3k6S2L8X3c8J5L8$3W2V1i4K6u0W2j5$3!0E0i4K6u0r3j5h3&6V1M7X3!0A6k6q4)9J5k6o6S2Q4x3X3f1I4i4K6u0W2x3q4)9#2k6Y4t1^5x3g2)9J5c8Y4S2J5k6h3k6Q4x3V1k6X3M7X3q4E0k6i4N6G2M7X3E0K6i4K6u0r3j5X3q4K6k6g2)9J5c8X3&6S2N6r3W2$3k6g2)9J5c8X3q4F1k6s2u0G2K9h3c8Q4x3V1k6S2M7%4y4W2N6q4)9#2k6X3#2S2L8X3q4Y4k6i4u0Q4x3X3g2U0M7s2m8Q4x3@1k6J5i4K6y4p5i4K6t1$3L8h3!0Q4x3@1b7J5x3U0R3$3i4K6t1$3k6X3W2Q4x3@1b7^5y4#2)9J5x3K6R3%4">在線源碼</a> )，目的是找到能夠IO重定向的點：

`AAssetManager_open`裡調用了`AssetManager::open`函數

```cpp
// frameworks/base/native/android/asset_manager.cpp
AAsset* AAssetManager_open(AAssetManager* amgr, const char* filename, int mode)
{
    Asset::AccessMode amMode;
    switch (mode) {
    case AASSET_MODE_UNKNOWN:
        amMode = Asset::ACCESS_UNKNOWN;
        break;
    case AASSET_MODE_RANDOM:
        amMode = Asset::ACCESS_RANDOM;
        break;
    case AASSET_MODE_STREAMING:
        amMode = Asset::ACCESS_STREAMING;
        break;
    case AASSET_MODE_BUFFER:
        amMode = Asset::ACCESS_BUFFER;
        break;
    default:
        return NULL;
    }

AssetManager* mgr = static_cast<AssetManager*>(amgr);
    // here
    Asset* asset = mgr->open(filename, amMode);
    if (asset == NULL) {
        return NULL;
    }

return new AAsset(asset);
}
```

`AssetManager::open`調用`openNonAssetInPathLocked`

```cpp
// frameworks/base/libs/androidfw/AssetManager.cpp
Asset* AssetManager::open(const char* fileName, AccessMode mode)
{
    AutoMutex _l(mLock);
    LOG_FATAL_IF(mAssetPaths.size() == 0, "No assets added to AssetManager");
    String8 assetName(kAssetsRoot);
    assetName.appendPath(fileName);

size_t i = mAssetPaths.size();
    while (i > 0) {
        i--;
        ALOGV("Looking for asset '%s' in '%s'\n",
                assetName.string(), mAssetPaths.itemAt(i).path.string());
        // here
        Asset* pAsset = openNonAssetInPathLocked(assetName.string(), mode, mAssetPaths.itemAt(i));
        if (pAsset != NULL) {
            return pAsset != kExcludedAsset ? pAsset : NULL;
        }
    }

return NULL;
}
```

`AssetManager::openNonAssetInPathLocked`先判斷`assets`是位於`.gz`還是`.zip`內，而`.apk`與`.zip`基本等價，因此理應會走else分支。
    
    奇怪的是當我使用frida hook驗證時，能順利hook到`openAssetFromZipLocked`，卻hook不到`getZipFileLocked`，顯然是不合理的。

```cpp
// frameworks/base/libs/androidfw/AssetManager.cpp
Asset* AssetManager::openNonAssetInPathLocked(const char* fileName, AccessMode mode,
    const asset_path& ap)
{
    Asset* pAsset = NULL;

if (ap.type == kFileTypeDirectory) {
        String8 path(ap.path);
        path.appendPath(fileName);

pAsset = openAssetFromFileLocked(path, mode);

if (pAsset == NULL) {
            /* try again, this time with ".gz" */
            path.append(".gz");
            pAsset = openAssetFromFileLocked(path, mode);
        }

if (pAsset != NULL) {
            //printf("FOUND NA '%s' on disk\n", fileName);
            pAsset->setAssetSource(path);
        }

// run this branch
    } else {
        String8 path(fileName);
				// here
        ZipFileRO* pZip = getZipFileLocked(ap);
        if (pZip != NULL) {

ZipEntryRO entry = pZip->findEntryByName(path.string());
            if (entry != NULL) {
                
                pAsset = openAssetFromZipLocked(pZip, entry, mode, path);
                pZip->releaseEntry(entry);
            }
        }

if (pAsset != NULL) {
            pAsset->setAssetSource(
                    createZipSourceNameLocked(ZipSet::getPathName(ap.path.string()), String8(""),
                                                String8(fileName)));
        }
    }

return pAsset;
}
```

嘗試繼續跟剛剛hook失敗的`AssetManager::getZipFileLocked`，它調用的是`AssetManager::ZipSet::getZip`。
    
    同樣用frida hook `getZip`，這次成功了，猜測是一些優化移除了`getZipFileLocked`而導致hook 失敗。

```cpp
// frameworks/base/libs/androidfw/AssetManager.cpp
ZipFileRO* AssetManager::getZipFileLocked(const asset_path& ap)
{
    ALOGV("getZipFileLocked() in %p\n", this);

return mZipSet.getZip(ap.path);
}
```

`ZipSet::getZip`會調用`SharedZip::getZip`，後者直接返回`mZipFile`。

```cpp
// frameworks/base/libs/androidfw/AssetManager.cpp
ZipFileRO* AssetManager::ZipSet::getZip(const String8& path)
{
    int idx = getIndex(path);
    sp<SharedZip> zip = mZipFile[idx];
    if (zip == NULL) {
        zip = SharedZip::get(path);
        mZipFile.editItemAt(idx) = zip;
    }
    return zip->getZip();
}

ZipFileRO* AssetManager::SharedZip::getZip()
{
    return mZipFile;
}
```

尋找`mZipFile`賦值的地方，最終會找到是由`ZipFileRO::open(mPath.string())`賦值。

```cpp
// frameworks/base/libs/androidfw/AssetManager.cpp
AssetManager::SharedZip::SharedZip(const String8& path, time_t modWhen)
    : mPath(path), mZipFile(NULL), mModWhen(modWhen),
      mResourceTableAsset(NULL), mResourceTable(NULL)
{
    if (kIsDebug) {
        ALOGI("Creating SharedZip %p %s\n", this, (const char*)mPath);
    }
    ALOGV("+++ opening zip '%s'\n", mPath.string());
    // here
    mZipFile = ZipFileRO::open(mPath.string());
    if (mZipFile == NULL) {
        ALOGD("failed to open Zip archive '%s'\n", mPath.string());
    }
}
```

```
從`frameworks/base/libs/androidfw/Android.bp`可知上述代碼的lib文件是`libandroidfw.so`，位於`/system/lib64/`下。將其pull到本地然後用IDA打開，就能根據IDA所示的函數導出名稱/地址對這些函數進行hook。
```

### 方式二：從應用的數據目錄裡讀取

無論是方式一還是方式二，`.jsc`數據都是通過`getDataFromFile`獲取。而`getDataFromFile`裡調用了`getContents`。

```cpp
getDataFromFile -> getContents
```

在方式一中，我一開始看的是`FileUtils::getContents`，但其實是`FileUtilsAndroid::getContents`才對。

只有當`fullPath[0] == '/'`時才會調用`FileUtils::getContents`，而`FileUtils::getContents`會調用`fopen`來打開`.jsc`

```cpp
// https://github.com/cocos2d/cocos2d-x/blob/76903dee64046c7bfdba50790be283484b4be271/cocos/platform/android/CCFileUtils-android.cpp
FileUtils::Status FileUtilsAndroid::getContents(const std::string& filename, ResizableBuffer* buffer) const
{
    static const std::string apkprefix("assets/");
    if (filename.empty())
        return FileUtils::Status::NotExists;

string fullPath = fullPathForFilename(filename);

if (fullPath[0] == '/')
		    // here
        return FileUtils::getContents(fullPath, buffer);
        
    // 方式一會走這裡....
}
```

## 替換思路

正常來說有以下幾種替換腳本的思路：

1. 找到讀取`.jsc`文件的地方進行IO重定向。
2. 直接進行字節替換，即替換`xxtea_decypt`解密前的`.jsc`字節數據，或者替換`xxtea_decypt`解密後的明文`.js`腳本。
    
    這裡的替換是指開闢一片新內存，將新的數據放到這片內存，然後替換指針的指向。
    
3. 直接替換apk裡的`.jsc`，然後重打包apk。
4. 替換js明文，不是像`2`那樣開闢一片新內存，而是直接修改原本內存的明文js數據。

經測試後發現只有`1`、`3`、`4`是可行的，`2`會導致APP卡死( 原因不明？？？ )。

### 思路一實現

從上述可知第一種`.jsc`讀取方式會先調用`ZipFileRO::open(mPath.string())`來打開apk，之後再通過`AAssetManager_open`來獲取`.jsc`。

hook `ZipFileRO::open`看看傳入的參數是什麼。

```jsx
function hook_ZipFile_open(flag) {
    let ZipFile_open = Module.getExportByName("libandroidfw.so", "_ZN7android9ZipFileRO4openEPKc"); 
    console.log("ZipFile_open: ", ZipFile_open)
    return Interceptor.attach(ZipFile_open,
        {
            onEnter: function (args) {
                console.log("arg0: ", args[0].readCString());
            },
            onLeave: function (retval) {

}
        }
    );
}
```

可以看到其中一條是當前APK的路徑，顯然`assets`也是從這裡取的，因此這裡是一個可以嘗試重定向點，先需構造一個`fake.apk` push 到`/data/app/XXX/`下，然後hook IO重定向到`fake.apk`實現替換。

![](upload/attach/202409/946537_Y5RDEYHURGYHDGF.webp)

對我自己編譯的Demo而言，無論是以apktool解包&重打包的方式，還是直接解壓縮&重壓縮&手動命名的方式來構建`fake.apk`都是可行的，**但要記得賦予`fake.apk`最低`644`的權限。**

以下是我使用上述方法在我的Demo中實踐的效果，成功修改中心的字符串。

![](upload/attach/202409/946537_MMC9945TCA2N3MM.webp)

但感覺這種方式的實用性較低( 什至不如直接重打包… )

### 思路二嘗試(失敗)

連這樣僅替換指針指向都會導致APP卡死？？

```jsx
function hook_xxtea_decrypt() {
    Interceptor.attach(Module.findExportByName("libcocos2djs.so", "xxtea_decrypt"), {
        onEnter(args) {
            let jsc_data = args[0];
            let size = args[1].toInt32();
            let key = args[2].readCString();
            let key_len = args[3].toInt32();
            this.arg4 = args[4];

},
        onLeave(retval) {
        }
    })

}
```

### 思路四實現

參考<a href="elink@10cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1L8r3!0Y4i4K6u0W2M7$3S2A6x3e0l9I4x3g2)9J5k6h3y4F1i4K6u0r3M7X3g2$3i4K6u0r3j5h3&6V1M7X3!0A6k6q4)9J5c8U0p5@1x3U0t1`.">這位大佬的文章</a>可知cocos2djs內置的v8引擎最終通過`evalString`來執行`.jsc`解密後的js代碼。

在正式替換前，最好先通過hook `evalString`的方式保存一份目標js( 因為遊戲的熱更新策略等原因，可能導致`evalString`執行的js代碼與你從apk裡手動解密`.jsc`得到的js腳本有所不同 )。

```jsx
function saveJscode(jscode, path) {
    var fopenPtr = Module.findExportByName("libc.so", "fopen");
    var fopen = new NativeFunction(fopenPtr, 'pointer', ['pointer', 'pointer']);
    var fclosePtr = Module.findExportByName("libc.so", "fclose");
    var fclose = new NativeFunction(fclosePtr, 'int', ['pointer']);
    var fseekPtr = Module.findExportByName("libc.so", "fseek");
    var fseek = new NativeFunction(fseekPtr, 'int', ['pointer', 'int', 'int']);
    var ftellPtr = Module.findExportByName("libc.so", "ftell");
    var ftell = new NativeFunction(ftellPtr, 'int', ['pointer']);
    var freadPtr = Module.findExportByName("libc.so", "fread");
    var fread = new NativeFunction(freadPtr, 'int', ['pointer', 'int', 'int', 'pointer']);
    var fwritePtr = Module.findExportByName("libc.so", "fwrite");
    var fwrite = new NativeFunction(fwritePtr, 'int', ['pointer', 'int', 'int', 'pointer']);

let newPath = Memory.allocUtf8String(path);

let openMode = Memory.allocUtf8String('w');

let str = Memory.allocUtf8String(jscode);

let file = fopen(newPath, openMode);
    if (file != null) {
        fwrite(str, jscode.length, 1, file)
        fclose(file);

}
    return null;
}

利用`Memory.scan`來找到修改的位置

```jsx
function findReplaceAddr(startAddr, size, pattern) {
    Memory.scan(startAddr, size, pattern, {
        onMatch(address, size) {
            console.log("target offset: ", ptr(address - startAddr))
            return 'stop';
        },
        onComplete() {
            console.log('Memory.scan() complete');
        }
    });
}

最後以`Memory.writeU8`來逐字節修改，不用`Memory.writeUtf8String`的原因是它默認會在最終添加`'\0'`而導致報錯。

```jsx
function replaceEvalString(jscode, offset, replaceStr) {
    for (let i = 0; i < replaceStr.length; i++) {
        Memory.writeU8(jscode.add(offset + i), replaceStr.charCodeAt(i))
    }
}

// 例:
function cheatAutoChopTree(jscode) {
    let replaceStr = 'true || "                                 "';
    replaceEvalString(jscode, 0x3861f6, replaceStr)
}
```

## 某砍樹手遊實踐

以某款砍樹遊戲來進行簡單的實踐。

遊戲有自動砍樹的功能，但需要符合一定條件

![](upload/attach/202409/946537_ES6S6JXU6F49CYT.webp)

如何找到對應的邏輯在哪個`.jsc`中？直接搜字符串就可以。

利用上述替換思路4來修改對應的js判斷邏輯，最終效果：

![](upload/attach/202409/946537_UQX3R2EPVDQWWRQ.webp)

## 結語

思路4那種替換手段有大小限制，不能隨意地修改，暫時還未找到能隨意修改的手段，有知道的大佬還請不嗇賜教，有任何想法也歡迎交流^^

## 後記
在評論區的一位大佬指點下，終於是找到一種更優的替換方案，相比起思路4來說要方便太多了。
最開始時我其實也嘗試過這種直接的js明文替換，但APP會卡死/閃退，現在才發現是frida的api所致，那時在開辟內存空間時使用了Memory.alloc、Memory.allocUtf8String，改成使用libc.so的malloc就不會閃退了，具體為什麼會這樣我也不清楚，看看以後有沒有機會研究下frida的源碼吧^^

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-9-23 10:05 被ngiokweng编辑，原因： no.

#基础理论 #逆向分析 #其他

收藏・30

点赞・11

打赏

最新回复 (60) 1 2 3 ▶
万里星河雪币： 273 活跃值： (2389) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 2 楼感谢分享学习了 2024-9-6 00:40 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 3 楼我用脚本hook evalstring没有反应，就attach上了然后就一直没反应了，是什么原因 2024-9-11 22:25 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 4 楼 mb_eunzmkbp 我用脚本hook evalstring没有反应，就attach上了然后就一直没反应了，是什么原因哪個APP 2024-9-12 09:10 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 5 楼 ngiokweng 哪個APP 就是文章最后提到的砍树手游 2024-9-12 17:48 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 6 楼 mb_eunzmkbp 就是文章最后提到的砍树手游可能是版本不一樣, 我測試用的是台版的 2024-9-12 20:33 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 7 楼 ngiokweng 可能是版本不一樣, 我測試用的是台版的好的感谢 2024-9-13 12:26 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 8 楼 ngiokweng 哪個APP 寻道大千吧 2024-9-19 12:36 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 9 楼 ngiokweng 哪個APP 。。。最后于 2026-1-26 21:08 被樊辉编辑，原因： 2024-9-19 12:53 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 10 楼樊辉 ngiokweng 哪個APP 。。。是大小沒錯，至於替換的方式有很多種，能成功都好說 2024-9-19 21:31 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 11 楼 ngiokweng 是大小沒錯，至於替換的方式有很多種，能成功都好說上面我发的代码能成功，你可以试试 2024-9-20 14:38 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 12 楼樊辉上面我发的代码能成功，你可以试试成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退 2024-9-20 18:25 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 13 楼 ngiokweng 成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退。。。最后于 2026-1-26 21:09 被樊辉编辑，原因： 2024-9-20 18:33 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 14 楼樊辉 ngiokweng 成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退。 ... 感謝分享, 我有空試試。還想請問下有沒有直接替換密文.jsc的方法？ 2024-9-20 19:06 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 15 楼 ngiokweng 感謝分享, 我有空試試。還想請問下有沒有直接替換密文.jsc的方法？我没试过直接替换密文，应该得往前翻源码了。 2024-9-22 07:43 0
纯废物雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	纯废物 16 楼如果是用Java开发的要怎么弄 2024-9-24 23:15 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 17 楼 mb_rdqahqsz 如果是用Java开发的要怎么弄沒看懂你的意思 2024-9-25 10:24 0
2666fff 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	2666fff 18 楼 3.x试过没有方法三的. 另外查key的so代码跟2.x有区别没 2024-10-9 22:49 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 19 楼 2666fff 3.x试过没有方法三的. 另外查key的so代码跟2.x有区别没有樣本嗎, 我沒遇過3.x的 2024-10-10 09:35 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 20 楼 ngiokweng 有樣本嗎, 我沒遇過3.x的 libcocos.so的对吧，我不知道能不能直接发游戏名字，密钥倒是能直接找到就是hook不出来，不知道啥原因 2024-10-10 14:31 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 21 楼 mb_eunzmkbp libcocos.so的对吧，我不知道能不能直接发游戏名字，密钥倒是能直接找到就是hook不出来，不知道啥原因你把APP名字base64編碼下再發出來就好了 2024-10-10 15:21 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 22 楼 ngiokweng 你把APP名字base64編碼下再發出來就好了 taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 2024-10-10 16:29 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 23 楼 mb_eunzmkbp taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 你這個樣本不是3.X吧, 我說的3.X是指Cocos Creator的版本, 生成的so名字也不叫libcocos2djs.so 最后于 2024-10-10 22:58 被ngiokweng编辑，原因： 2024-10-10 22:56 0
2666fff 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	2666fff 24 楼 ngiokweng 有樣本嗎, 我沒遇過3.x的编了一个3.8.2 的小游戏,. 最新版本是.3 应该差别不大, 我看了下so大概都被混淆了. 下面是base64编码下载地址. 6ZO+5o6lOiBodHRwczovL3Bhbi5iYWlkdS5jb20vcy8xMXEzNDZHa21ONGVXYVpTQUgtNWJ6UT9wd2Q9bXBnMiDmj5Dlj5bnoIE6IG1wZzIg5aSN5Yi26L+Z5q615YaF5a655ZCO5omT5byA55m+5bqm572R55uY5omL5py6QXBw77yM5pON5L2c5pu05pa55L6/5ZOmIAotLeadpeiHqueZvuW6pue9keebmOi2hee6p+S8muWRmHY555qE5YiG5Lqr 2024-10-10 23:54 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 25 楼 ngiokweng mb_eunzmkbp taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 你這個樣本不是3 ... 是的呀,zuzong模拟器:传承，是libcocos.so，不是libcocos2djs 2024-10-11 01:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

ngiokweng

发帖

172

回帖

280

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (60) 1 2 3 ▶
万里星河雪币： 273 活跃值： (2389) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 2 楼感谢分享学习了 2024-9-6 00:40 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 3 楼我用脚本hook evalstring没有反应，就attach上了然后就一直没反应了，是什么原因 2024-9-11 22:25 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 4 楼 mb_eunzmkbp 我用脚本hook evalstring没有反应，就attach上了然后就一直没反应了，是什么原因哪個APP 2024-9-12 09:10 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 5 楼 ngiokweng 哪個APP 就是文章最后提到的砍树手游 2024-9-12 17:48 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 6 楼 mb_eunzmkbp 就是文章最后提到的砍树手游可能是版本不一樣, 我測試用的是台版的 2024-9-12 20:33 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 7 楼 ngiokweng 可能是版本不一樣, 我測試用的是台版的好的感谢 2024-9-13 12:26 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 8 楼 ngiokweng 哪個APP 寻道大千吧 2024-9-19 12:36 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 9 楼 ngiokweng 哪個APP 。。。最后于 2026-1-26 21:08 被樊辉编辑，原因： 2024-9-19 12:53 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 10 楼樊辉 ngiokweng 哪個APP 。。。是大小沒錯，至於替換的方式有很多種，能成功都好說 2024-9-19 21:31 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 11 楼 ngiokweng 是大小沒錯，至於替換的方式有很多種，能成功都好說上面我发的代码能成功，你可以试试 2024-9-20 14:38 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 12 楼樊辉上面我发的代码能成功，你可以试试成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退 2024-9-20 18:25 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 13 楼 ngiokweng 成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退。。。最后于 2026-1-26 21:09 被樊辉编辑，原因： 2024-9-20 18:33 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 14 楼樊辉 ngiokweng 成功是指hook evalString嗎？這個我也可以，我失敗的那種情況是我想直接替換.jsc，但會閃退。 ... 感謝分享, 我有空試試。還想請問下有沒有直接替換密文.jsc的方法？ 2024-9-20 19:06 0
樊辉雪币： 258 活跃值： (1883) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 163 粉丝 1 关注私信	樊辉 15 楼 ngiokweng 感謝分享, 我有空試試。還想請問下有沒有直接替換密文.jsc的方法？我没试过直接替换密文，应该得往前翻源码了。 2024-9-22 07:43 0
纯废物雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	纯废物 16 楼如果是用Java开发的要怎么弄 2024-9-24 23:15 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 17 楼 mb_rdqahqsz 如果是用Java开发的要怎么弄沒看懂你的意思 2024-9-25 10:24 0
2666fff 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	2666fff 18 楼 3.x试过没有方法三的. 另外查key的so代码跟2.x有区别没 2024-10-9 22:49 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 19 楼 2666fff 3.x试过没有方法三的. 另外查key的so代码跟2.x有区别没有樣本嗎, 我沒遇過3.x的 2024-10-10 09:35 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 20 楼 ngiokweng 有樣本嗎, 我沒遇過3.x的 libcocos.so的对吧，我不知道能不能直接发游戏名字，密钥倒是能直接找到就是hook不出来，不知道啥原因 2024-10-10 14:31 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 21 楼 mb_eunzmkbp libcocos.so的对吧，我不知道能不能直接发游戏名字，密钥倒是能直接找到就是hook不出来，不知道啥原因你把APP名字base64編碼下再發出來就好了 2024-10-10 15:21 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 22 楼 ngiokweng 你把APP名字base64編碼下再發出來就好了 taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 2024-10-10 16:29 0
ngiokweng 雪币： 4000 活跃值： (7846) 能力值： ( LV12，RANK：280 ) 在线值：发帖 19 回帖 172 粉丝 297 关注私信	ngiokweng 5 23 楼 mb_eunzmkbp taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 你這個樣本不是3.X吧, 我說的3.X是指Cocos Creator的版本, 生成的so名字也不叫libcocos2djs.so 最后于 2024-10-10 22:58 被ngiokweng编辑，原因： 2024-10-10 22:56 0
2666fff 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	2666fff 24 楼 ngiokweng 有樣本嗎, 我沒遇過3.x的编了一个3.8.2 的小游戏,. 最新版本是.3 应该差别不大, 我看了下so大概都被混淆了. 下面是base64编码下载地址. 6ZO+5o6lOiBodHRwczovL3Bhbi5iYWlkdS5jb20vcy8xMXEzNDZHa21ONGVXYVpTQUgtNWJ6UT9wd2Q9bXBnMiDmj5Dlj5bnoIE6IG1wZzIg5aSN5Yi26L+Z5q615YaF5a655ZCO5omT5byA55m+5bqm572R55uY5omL5py6QXBw77yM5pON5L2c5pu05pa55L6/5ZOmIAotLeadpeiHqueZvuW6pue9keebmOi2hee6p+S8muWRmHY555qE5YiG5Lqr 2024-10-10 23:54 0
mb_eunzmkbp 雪币： 533 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_eunzmkbp 25 楼 ngiokweng mb_eunzmkbp taptap上下载的，56WW5a6X5qih5ouf5Zmo77ya5Lyg5om/ 你這個樣本不是3 ... 是的呀,zuzong模拟器:传承，是libcocos.so，不是libcocos2djs 2024-10-11 01:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复