[原创]梆libSecShell 流程分析-Android安全-看雪安全社区

# 声明
本文仅限于技术讨论，不得用于非法途径，后果自负。
# init_proc
 ![图片描述](upload/attach/202409/856431_M28DCTB2V3EEFAX.webp)
在这个so中init_proc 负责在内存中解密so中的JNI_OnLoad，并且填充导入表，值得注意的是，如果你hook了initProc 那么会导致JNI_OnLoad解密失败，这部分原因笔者不在细究，有兴趣的自行研究。
# dump so
由于初始so关键信息被抹除，我们需要在init_proc 执行完之后dump so 用作静态分析，这里采用hook libc的__dl__ZL10call_arrayIPFviPPcS1_EEvPKcPT_jbS5_（每台手机有可能不一样），在调用initarray的第一个函数时dump。
# 修复so
这里使用的是git上<mark class="encrypted">7deK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6o6K9r3g2F1P5h3q4F1k6$3#2A6L8X3M7&6i4K6u0r3f1$3!0r3K9i4S2W2M7R3`.`.</mark> 修复后发现导入表被initProc填充为绝对地址，需要还原符号。
发现ida 自动生成的extern表 这里直接拿到ida自动生成的表地址，通过frida的符号解析出so中的导入表中的每一个表指向的函数名称，进行比对然后将dump下来的so中的导入表填充ida的extern表 dump脚本
 ![图片描述](upload/attach/202409/856431_9TU44CVN35QNMNP.webp)

```
dump() {
        if (this.libso == null) {
            return -1;
        }

}
            logd(pGot.toString())
            logd("dump so:" + this.soName + " to " + file_path);
            file_handle.write(libso_buffer!);
            file_handle.flush();
            file_handle.close();
            log("[dump]:"+ file_path);
        }
    }
```
# 字符串解密
程序使用的大部分字符串都被加密，加密方法为栈赋值密文，解密函数解密密文
 ![图片描述](upload/attach/202409/856431_2ZG2W2NTHXMF2D3.webp)
## 解密函数

```
__int64 __fastcall sub_181D4(__int64 result, int a2, char a3)
{
  int v3; // w5
  char v4; // w7

v3 = 0;
  v4 = *(result + 1) ^ a3;
  while ( a2 > v3 )
  {
    *(result + v3) = v4 ^ *(result + v3 + 2);
    ++v3;
  }
  *(result + v3) = 0;
  return result;
}
```
# 间接跳转
为了干扰ida的引用分析，使用间接跳转
 ![图片描述](upload/attach/202409/856431_84JD7E7C5P8D7EK.webp)
 ![图片描述](upload/attach/202409/856431_TZUFR24PABUHEER.webp)
# init_array
以下将按程序顺序讲述程序执行功能
## getAndroidVersion
通过_system_property_get("ro.build.version.sdk"),_system_property_get("ro.build.version.release")来获取androdi版本
## getDalvikAndART
_system_property_get("ro.yunos.version"),_system_property_get("ro.yunos.version.release") 获取java虚拟机的类型
## getLibcApi
使用dlopen打开libc dlsym获取下列几个函数

```
mprotect
mmap
munmap
fopen
fclose
fgets
fwrite
fread
sprintf
pthread_create
```
其中fopen，fclose，fgets，fwrite，fread，sprintf，pthread_create 被定义为了全局结构体，其余为全局函数指针因此，ida定义结构结构体

```
00000000 struct libcPFuncAry // sizeof=0x38
00000000 {                                       // XREF: .data:g_func_fopen_ptr/r
00000000     FILE *(__fastcall *pFopen)(const char *filename, const char *modes);
00000000                                         // XREF: sub_158AC+30/r
00000000                                         // sub_15AE0+14/r ...
00000008     int (__fastcall *pFclose)(FILE *stream); // XREF: sub_E1F78/o
00000008                                         // sub_E1F78+4/r
00000010     char *(__fastcall *pFgets)(char *s, int n, FILE *stream);
00000010                                         // XREF: inotify_init_function+28/o
00000010                                         // inotify_init_function+AC/r
00000018     unsigned __int64 (__fastcall *pFwrite)(__int64 a1, unsigned __int64 a2, unsigned __int64 a3, __int64 a4);
00000018                                         // XREF: sub_1989C/o
00000018                                         // sub_1989C+C/r ...
00000020     unsigned __int64 (__fastcall *pFread)(char *a1, unsigned __int64 a2, unsigned __int64 a3, __int64 a4);
00000020                                         // XREF: .text&ARM.extab:0000000000037FE8/o
00000020                                         // .text&ARM.extab:0000000000037FF4/r
00000028     __int64 (*pSprintf)(__int64 a1, unsigned __int8 *a2, ...);
00000028                                         // XREF: struc_func_ptr_ctor+18/o
00000028                                         // struc_func_ptr_ctor+1C/r
00000030     __int64 (__fastcall *pPthread_create)(_QWORD *a1, __int64 a2, __int64 a3, __int64 a4);
00000030                                         // XREF: operator new(ulong)+44/o
00000030                                         // operator new(ulong)+4C/r ...
00000038 };

```
值得疑惑的是 这个函数还顺手通过 _system_property_get("ro.board.platform")获取主板名称，对"rk3399"进行比对，结果存放全局变量
 ![图片描述](upload/attach/202409/856431_VNV3U7K5CQZB4AC.webp)
 ![图片描述](upload/attach/202409/856431_3X6CW6C3E9WBWGF.webp)
## findDex2Oat
fopen("/proc/18607/cmdline","r")，比较/system/bin/dex2oat,如果找到返回，
 ![图片描述](upload/attach/202409/856431_M9XZYXC28FVQ48J.webp)
##getLD_OPT_PACKAGENAME
通过getEnv获取这两个字段 没有看懂在干嘛，不过条件没有满足，程序返回了
 ![图片描述](upload/attach/202409/856431_QHFXTX7SXC4TCX5.webp)
# JNI_OnLoad
这里ida没有识别为函数，我们需要手动添加地址,从开头向下翻翻到

```
BL              __stack_chk_fail
```
就是结束地址了
ida_funcs.add_func（startEa.endEa）
## switch识别
由于大量使用了控制流混淆导致ida识别switch出现问题这里我们手动告诉ida
 ![图片描述](upload/attach/202409/856431_UKTYA44U7S4ZRXX.webp)
Edit =>Other=>Specify switch idiom
 ![图片描述](upload/attach/202409/856431_M42Q3PNKSSDRXXJ.webp) 
手动修复下
## checkcpuabi
获取cpuabi到全局变量
## get SoName
获取so名称到全局变量
## decodeStr
解密 com_SecShell_SecShell_H
## getLibcApi
重新获取Api
## getPKGNAME
获取 com_SecShell_SecShell_H 中的PKGNAME字段
## 解密数据
接下来一顿骚操作，我晕了，解密数据，略过
 ![图片描述](upload/attach/202409/856431_XSXSJMVQUZJ3QDR.webp)
## 反射调用

```
FindClass android/app/ActivityThread
GetStaticMethodID currentActivityThread
CallStaticObjectMethod currentActivityThread
GetMethodID getSystemContext
CallObjectMethod getSystemContext
FindClass  android/app/ContextImpl
GetMethodID getPackageManager
CallObjectMethod getPackageManager
GetMethodID getPackageInfo
NewStringUTF 包名
CallObjectMethod getPackageInfo
GetFieldID applicationInfo
GetObjectField  applicationInfo:Landroid/content/pm/ApplicationInfo
>GetObjectClass applicationInfo:Landroid/content/pm/ApplicationInfo
GetFieldID sourceDir
GetObjectField sourceDir
GetStringUTFChars sourceDir
GetFieldID dataDir
GetObjectField dataDir
GetStringUTFChars dataDir
GetFieldID nativeLibraryDir
GetObjectField nativeLibraryDir
GetStringUTFChars nativeLibraryDir
```
## CheckPakeName
校验包名
 ![图片描述](upload/attach/202409/856431_MNGHFMY773ZE3F6.webp)
## getMPAAS
 ![图片描述](upload/attach/202409/856431_7H55JX4K8KVXUA4.webp)
## GetLibcArt
打开/proc/self/maps 获取lib_libart 地址
## 解密字符串 
![图片描述](upload/attach/202409/856431_HQ7KCX25GYEKZ6S.webp)
 ![图片描述](upload/attach/202409/856431_6KW2BZURDFFGGF6.webp)
## RegisterNatives
注册jni函数
 ![图片描述](upload/attach/202409/856431_NHQSVKRS4YMFE6Z.webp)
## loadDex
拼接字符串
  ![图片描述](upload/attach/202409/856431_D8YSUGRGGSX2EFR.webp)
### hooklibcNewFunc
防dexDump
https://bbs.kanxue.com/thread-223320.htm
 ![图片描述](upload/attach/202409/856431_C5XA265S42FT3RB.webp)
  ![图片描述](upload/attach/202409/856431_MA3G3YPGYUQD4MB.webp)
### nopDex2Oat

![图片描述](upload/attach/202409/856431_SKW2N2EMXCH6UWW.webp)
### loadDex
解密字符串
  ![图片描述](upload/attach/202409/856431_RA9GBM2VFH3K662.webp)
调javaapi
 ![图片描述](upload/attach/202409/856431_5P4B9N22CRDTJU4.webp)
 ![图片描述](upload/attach/202409/856431_A5WF6TMHQ8F53S2.webp)
### d.e
解密字符串

```
dalvik/system/DexPathList
akeInMemoryDexElements
([Ljava/nio/ByteBuffer;Ljava/util/List;)[Ldalvik/system/DexPathList$Element;
java/nio/ByteBuffer
wra
([B)Ljava/nio/ByteBuffer;
java/util/ArrayList
size
```
加载dex 这里可以dump了
 ![图片描述](upload/attach/202409/856431_UPD4B7BCRUHWMY8.webp)
## antiDebug
### checkFridaTaskGdbus
打开/proc/self/task /proc/self/task/6268/status 查找frida特征
### createAntiThread
  ![图片描述](upload/attach/202409/856431_B9225AAE4G3QUHC.webp)
#### antiThread
 ![图片描述](upload/attach/202409/856431_YZK6C9FAH9C2EJT.webp)
####透明加密
   https://bbs.kanxue.com/thread-226358.htm
 ![图片描述](upload/attach/202409/856431_DJDP5YWGM3VRURN.webp)
## CheckPakename
打开/proc/self/cmdline 比较包名

## 结语
至此，加固分析结束，由于trace只会走流程其他分析流程可能走不到，但是控制流混淆太恶心了，告一段落了

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-9-23 16:44 被method编辑，原因：修复图片

#脱壳反混淆

最新回复 (15)
快乐的小跳蛙雪币： 930 活跃值： (5422) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 87 粉丝 3 关注私信	快乐的小跳蛙 2 楼前排膜拜 2024-9-23 15:55 0
New对象处雪币： 368 活跃值： (8180) 能力值： ( LV3，RANK：30 ) 在线值：发帖 6 回帖 183 粉丝 32 关注私信	New对象处 3 楼图片是不是全丢失了 2024-9-23 16:18 0
method 雪币： 1972 活跃值： (8178) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 268 粉丝 134 关注私信	method 1 4 楼 New对象处图片是不是全丢失了已修复 2024-9-23 16:47 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 708 粉丝 7 关注私信	mb_ldbucrik 5 楼感谢分享 2024-9-23 23:52 0
bluegatar 雪币： 6 活跃值： (5959) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 242 粉丝 6 关注私信	bluegatar 6 楼 https://bbs.kanxue.com/thread-226358.htm 真是什么？主题给删除了 2024-9-24 13:24 0
method 雪币： 1972 活跃值： (8178) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 268 粉丝 134 关注私信	method 1 7 楼 bluegatar https://bbs.kanxue.com/thread-226358.htm 真是什么？主题给删除了会员区 2024-9-24 15:41 0
wx_wyx 雪币： 198 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 32 粉丝 0 关注私信	wx_wyx 8 楼感谢分享 2024-9-28 18:07 0
artake 雪币： 13 活跃值： (2721) 能力值： ( LV4，RANK：40 ) 在线值：发帖 13 回帖 188 粉丝 1 关注私信	artake 9 楼用什么trace的，请教一下 2024-9-30 17:32 0
jfztaq 雪币： 261 活跃值： (1422) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 344 粉丝 1 关注私信	jfztaq 10 楼大佬，能分析下i国网这个怎么开启webview调试吗，是抽取壳 2024-10-1 07:17 0
method 雪币： 1972 活跃值： (8178) 能力值： ( LV5，RANK：70 ) 在线值：发帖 13 回帖 268 粉丝 134 关注私信	method 1 11 楼 artake 用什么trace的，请教一下 frida 2024-10-2 19:49 0
陈某人雪币： 1771 活跃值： (6944) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 64 粉丝 2 关注私信	陈某人 12 楼感谢分享 2024-11-14 20:52 0
bluegatar 雪币： 6 活跃值： (5959) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 242 粉丝 6 关注私信	bluegatar 13 楼棒棒被干的透透的 2024-11-15 15:23 0
破绽百出雪币： 698 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 111 粉丝 1 关注私信	破绽百出 14 楼 trace脚本能分享吗 2024-11-16 02:25 0
陈某人雪币： 1771 活跃值： (6944) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 64 粉丝 2 关注私信	陈某人 15 楼 666 2024-11-16 14:43 0
mb_cfjwplfo 雪币： 319 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 95 粉丝 20 关注私信	mb_cfjwplfo 16 楼大佬，我想问一下为什么public static native Object[] e(Object obj, List<IOException> list, String str); hook这个方法没反应啊，它不是调用了吗 2025-11-8 23:03 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复