[原创]CTF自毁程序密码：逆向分析-Android安全-看雪安全社区

### 一、 背景
这一题很有迷惑性，看似简单的代码逻辑，一眼看到的答案，其实并不是真相，重点在他的反检测。大多数的时候我们通过静态分析（java层还是so层）找到他的加密算法，再逆向还原其算法就能找到最终的答案，但是这道题不是，接下来我们我们会用到**frida、AndroidNativeEmu、unidbg、IDA动静态调试**。
 ![图片描述](upload/attach/202412/961239_YDDXJHMA75SXPF8.webp)

### 二、静态分析
#### java层分析
从代码可以看出，输入的密码调用方法securityCheck(String str)，满足true则成功
 ![图片描述](upload/attach/202412/961239_VZ5Z7ZRXNZ2Q3FA.webp)
#### so层静态分析
找到Java_com_yaotong_crackme_MainActivity_securityCheck函数
1. 初始化检查
    byte_6359 和 byte_635A: 可能是静态变量，表示某些初始化是否已经完成。
    sub_2494 和 sub_24F4: 两个子函数，分别在第一次执行时被调用，可能用于解密或初始化全局变量。
    结果: 如果两个字节标志未设置，会调用这两个函数并设置标志位，确保只初始化一次。
2. 获取 Java 字符串的 UTF-8 值 v5 = (*a1)->GetStringUTFChars(a1, a3, 0);
3. 字符串比较
比较 Java 层传入的字符串 a3 是否与硬编码字符串 off_628C 匹配。如果匹配，返回 1，否则返回 0。
 ![图片描述](upload/attach/202412/961239_VZRK7X3CVWUCWW8.webp)
分析结果： v6 = off_628C; 就是我们需要的值，aWojiushidaan
 ![图片描述](upload/attach/202412/961239_US2ESM4UV2MA3RN.webp)
但是我们输入该值到APP中提示是不正确的，那么由此可以猜测，必然是APP启动后，有程序修改了off_628C的值。
### 三、AndroidNativeEmu模拟调用，验证下aWojiushidaan在静态下模拟调用，是否可以安全调用。

```
import logging
import sys
from unicorn import UC_HOOK_CODE, UC_HOOK_MEM_READ, UC_HOOK_MEM_WRITE
from unicorn.arm_const import *
from androidemu.emulator import Emulator

# Configure logging
logging.basicConfig(
    stream=sys.stdout,
    level=logging.DEBUG,
    format="%(asctime)s %(levelname)7s %(name)34s | %(message)s"
)

logger = logging.getLogger(__name__)

# Initialize emulator 实例化虚拟机
emulator = Emulator(vfp_inst_set=True)

# 加载Libc库
emulator.load_library("../example_binaries/32/libc.so", do_init=False)

# 加载要模拟的库
lib_module = emulator.load_library("libcrackme.so", do_init=False)

# 定义内存回调函数以监控变量 0x12A0 的变化
target_address = 0x4450+0xa009b000
string_length =100  # 假设最大字符串长度为 32 字节
# Show loaded modules 打印已经加载的模块
logger.info("Loaded modules:")
for module in emulator.modules:
    logger.info("[0x%x] %s" % (module.base, module.filename))

def memory_read_hook(uc, access, address, size, value, user_data):
    if address == target_address:
        # 获取当前值
        # print(uc.mem_read(address, string_length).decode('ascii', errors='ignore'))
        current_value = uc.mem_read(address, string_length).split(b'\0', 1)[0].decode('ascii', errors='ignore')
        print(f"【READ】 Address: 0x{address:X}, Current Value: {current_value}")

def memory_write_hook(uc, access, address, size, value, user_data):
    if address == target_address:
        # 获取写入的新值
        new_value = uc.mem_read(address, string_length).split(b'\0', 1)[0].decode('ascii', errors='ignore')
        print(f"【WRITE】 Address: 0x{address:X}, New Value: {new_value}")

# 注册指令和内存访问钩子
emulator.uc.hook_add(
    UC_HOOK_MEM_READ,  # 捕获内存读取
    memory_read_hook,
    None,
    target_address,
    target_address + string_length
)
emulator.uc.hook_add(
    UC_HOOK_MEM_WRITE,  # 捕获内存写入
    memory_write_hook,
    None,
    target_address,
    target_address + string_length
)

# 模拟运行函数
result1 = emulator.call_symbol(
    lib_module,
    'Java_com_yaotong_crackme_MainActivity_securityCheck',
    emulator.java_vm.jni_env.address_ptr,
    0,
    "wojiushidaan",//123
    is_return_jobject=False
)

# 输出结果
print("jnicheck result : {}".format(result1))

```
当我们分别输入 123 和 wojiushidaan 看返回的结果 
 ![图片描述](upload/attach/202412/961239_ATADW7SKX3E75YC.webp)
结论：我们可以很确定v6 = off_628C值就是我们输入的值。
### 四、解法（1）frida hook该函数。
在不考虑风控的前提下，明确了目标值用frida hook，是最快的方式，那就来吧，验证下。

```
function hook_so() {
    Java.perform(function(){
        var addr = Module.findBaseAddress("libcrackme.so");
        var v1 = addr.add(0x4450);
        console.log(v1.readCString());

});
}
function main() {
     hook_so()
}

setTimeout(main,4000)
```
 ![图片描述](upload/attach/202412/961239_2VD8Y4SFEJFTWM4.webp)
得到值 : aiyou,bucuoo 输入该值验证成功

### 五、解法（2）unidbg 模拟执行，打印关键参数

```
package com.yaotong.crackme;

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Module;
import com.github.unidbg.arm.backend.DynarmicFactory;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.AbstractJni;
import com.github.unidbg.linux.android.dvm.DalvikModule;
import com.github.unidbg.linux.android.dvm.DvmObject;
import com.github.unidbg.linux.android.dvm.VM;
import com.github.unidbg.memory.Memory;
import com.github.unidbg.pointer.UnidbgPointer;

import java.nio.charset.Charset;
import java.io.File;

public class MainActivity extends AbstractJni {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final Module module;
    private final Memory memory;

MainActivity() {
        // 创建模拟器
        emulator = AndroidEmulatorBuilder.for32Bit().addBackendFactory(new DynarmicFactory(true)).build();
        // 内存
        memory = emulator.getMemory();
        // 设置SDK
        memory.setLibraryResolver(new AndroidResolver(23));
        // 创建虚拟机
        vm = emulator.createDalvikVM(new File("unidbg-android/src/test/java/com/yaotong/crackme/you.apk"));
        //设置jni
        vm.setJni(this);
        //打印日志
        vm.setVerbose(true);
        // 运行so文件
        DalvikModule dalvikModule = vm.loadLibrary(new File("unidbg-android/src/test/java/com/yaotong/crackme/libcrackme.so"), true);
        //module
        module = dalvikModule.getModule();
        // 调用JNI——onload
//        dalvikModule.callJNI_OnLoad(emulator);
        vm.callJNI_OnLoad(emulator, module);
        HookAddr();

}

/**
     * 打印 Hex Dump 格式的数据
     *
     * @param data 要打印的字节数组
     */
    private static void printHexDump(byte[] data) {
        int bytesPerLine = 16; // 每行打印16个字节

for (int i = 0; i < data.length; i += bytesPerLine) {
            // 打印当前行的地址（偏移量）
            System.out.printf("%08X  ", i);
            // 打印当前行的十六进制数据
            for (int j = 0; j < bytesPerLine; j++) {
                if (i + j < data.length) {
                    System.out.printf("%02X ", data[i + j]);
                } else {
                    System.out.print("   "); // 如果剩余字节不足16个，填充空格
                }
            }
            System.out.print("  |");
            // 打印当前行的字符内容（ASCII）
            for (int j = 0; j < bytesPerLine; j++) {
                if (i + j < data.length) {
                    byte b = data[i + j];
                    if (b >= 32 && b <= 126) {
                        System.out.print((char) b); // 打印可打印字符
                    } else {
                        System.out.print("."); // 打印不可打印字符
                    }
                } else {
                    System.out.print(" "); // 填充空格
                }
            }
            System.out.println("|");
        }
    }

public static void main(String[] args) {
        MainActivity test = new MainActivity();
        System.out.println(test.getSName());
    }

public void HookAddr() {
        // 目标地址，这里是示例地址 0x628C 0x4450
        long targetAddress = module.base + 0x4450;

// 使用 UnidbgPointer 来获取目标地址的数据
        UnidbgPointer pointer = UnidbgPointer.pointer(emulator, targetAddress);

// 读取目标地址的数据，假设它是一个字符串，长度为 16 字节
        byte[] data = pointer.getByteArray(0, 16); // 读取16个字节
        printHexDump(data);
        // 将读取的字节转换为字符串
        // 将读取的字节转换为字符串，并指定正确的编码（例如 UTF-8 或 GBK）
        String value = new String(data, Charset.forName("GBK")); // 使用 UTF-8 编码
        // 打印地址和读取的内容
        System.out.println("Address: " + Long.toHexString(targetAddress));
        System.out.println("Data at address: " + value);
    }

//符号调用
    public Boolean getSName() {
        // 创建一个vm对象
        DvmObject<?> dvmObject = vm.resolveClass("com/yaotong/crackme/MainActivity").newObject(null);
        String input = "123";
//        byte[] inputByte = input.getBytes(StandardCharsets.UTF_8);
        boolean success = dvmObject.callJniMethodBoolean(emulator, "securityCheck(Ljava/lang/string;)Z", input);

System.out.println("[symble] Call the so md5 function result is ==> " + success);

return success;
    }

}

```
执行验证结果如图所示：
 ![图片描述](upload/attach/202412/961239_VU9D7K7CJVWEFRF.webp)
通过模拟下调用（符号调用），在hook关键参数地址，运行后，获得的正确flag:aiyou,bucuoo,然后我们在输入flag 则显示true,成功！！！

### 六、解法（3）IDA动态调试
如果不喜欢用frida IDA动态调试也是比较通用直接的，可以一步一步跟踪查看代码的运行逻辑。
#### 调试前准备：
1. 查看getprop ro.debuggable的值:adb shell getprop ro.debuggable
![图片描述](upload/attach/202412/961239_Z8M33U7QFUZZZZK.webp)
2. Magisk 重置 ro.debuggable （重启失效）
adb shell #adb进入命令行模式
magisk resetprop ro.debuggable 1
 ![图片描述](upload/attach/202412/961239_VDKFZNHXSMTQD8W.webp)
#### 开始动态调试
 ![图片描述](upload/attach/202412/961239_ZZ37379BDTJDEXG.webp)
在Module list窗口（Debugger->Debugger windows->Module list）中找到libcrackme.so，双击它，f5进入伪代码页面，在目标函数下断点，v6 = off_C0B0E28C;
 ![图片描述](upload/attach/202412/961239_9T6B4NU5VE83QZB.webp)
 ![图片描述](upload/attach/202412/961239_WETYFUS878FEJ9S.webp)
按下F9,弹出错误警告。
 ![图片描述](upload/attach/202412/961239_4UH5WVUXFVS852S.webp)
从这一系列的操作我们可以发现，wojiushidaan 这个值，在APP运行后，被重新赋值了。在进行调试的时候报错，说明有反调试存在。
#### IDA常见的反调试手段
 ‌1.端口检测‌：调试器在进行远程调试时，会占用一些固定的端口号。IDA Pro可以通过读取/proc/net/tcp文件，查找远程调试所用的23946端口，若发现该端口被占用，则说明进程正在被IDA调试‌
2.关键文件检测‌：通过修改android_server文件的名称，防止调试器找到并连接该文件‌
3.进程ID检测‌：在没有调试时，TracerPid为0；运行调试时，TracerPid会变为调试器的进程ID。通过修改系统调用函数，伪造TracerPid为0，以欺骗调试器‌
4.Java层反调试‌：在AndroidManifest.xml中设置android:debuggable="false"，并在build.prop中设置ro.debuggable=0，防止应用在调试模式下运行。此外，可以通过检测Debug.isDebuggerConnected()方法的返回值来判断是否被调试‌
5.自我调试‌：父进程创建一个子进程，通过子进程调试父进程。这种方式消耗的系统资源较少，且能有效阻止其他进程调试受保护的进程‌。
#### 反反调试
我们要在so文件加载之前进行调试。这样就能判断程序大概检测位置，逐渐深入，定位问题的所在。
APK 重新打包成 debuuger 模式
```
1.apktool d -f app.apk -o app_source
2.修改 AndroidManifest.xml,找到解包后的 AndroidManifest.xml 文件，确认以下内容：
检查 android:debuggable 属性是否设置为 true，如果没有则添加：
<application android:debuggable="true" ... >
如果已经有 android:debuggable 属性，直接改为 true。
3. 重新打包 APK apktool b app_source -o app_debuggable.apk
4.签名新 APK 使用 keytool 生成调试密钥（如果没有现成的密钥）：
keytool -genkey -v -keystore debug.keystore -alias debug -keyalg RSA -keysize 2048 -validity 10000
签名 APK：
jarsigner -verbose -keystore debug.keystore -storepass android -keypass android app_debuggable.apk debug
```
 adb shell am start -D -n com.yaotong.crackme/.MainActivity 以调试模式启动app，让程序停在加载so文件之前。
 ![图片描述](upload/attach/202412/961239_6HPAFTPXV83TQC6.webp)
IDA设置如下：
 ![图片描述](upload/attach/202412/961239_RJHREHUZ84MYZFA.webp)
连接jdb后，IDA运行绿色三角按钮，让程序把so文件加载出来。

```
adb shell ps | findStr com.yaotong.crackme
adb forward tcp:8855 jdwp:18518
jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8855
```
  ![图片描述](upload/attach/202412/961239_DG7HWVXGUREVSBA.webp)

![图片描述](upload/attach/202412/961239_STC69B3MPSWJ7J7.webp)
Ctrl+s 搜索进入我们的目标文件
 ![图片描述](upload/attach/202412/961239_X5SG9ZRKQ7DC7BC.webp)
进入JNI_Onload函数下断点进行调试
 ![图片描述](upload/attach/202412/961239_WQZXWPBHEUSQ98W.webp)
当前位置程序并没有奔溃，说明检测点还在后面，然后继续，跳到R7的时候报错了 那么检测点 位置找到了
 ![图片描述](upload/attach/202412/961239_ZA9GG76KF3F6MXP.webp)
把反调试的TracerPid 指令37 FF 2F E1 改为 00 00 00 00 就不会再有反调试的防护机制了
     ![图片描述](upload/attach/202412/961239_MMSB8C3RN4K7WUP.webp)
再进行正常调试。畅通无阻，顺利看到了off_D860B28C 的值 aiyou,bucuoo
 ![图片描述](upload/attach/202412/961239_BZ6GS3A9ED7J3SB.webp)

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#逆向分析

上传的附件：

自毁程序密码_1.0原版.apk （261.18kb，33次下载）

最新回复 (4)
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 2 楼 ida的截图好模糊 2024-12-30 09:27 0
西贝Legion 雪币： 91 活跃值： (7440) 能力值： ( LV6，RANK：90 ) 在线值：发帖 24 回帖 60 粉丝 125 关注私信	西贝Legion 3 楼你瞒我瞒 ida的截图好模糊是有点，上传之前还挺清楚的，不知道是不是网站有压缩处理。 2024-12-30 10:07 0
像风一样呢雪币： 1726 活跃值： (2171) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 39 粉丝 7 关注私信	像风一样呢 4 楼非常详细，谢谢分享！ 2025-1-5 19:33 0
lemontree@me 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	lemontree@me 5 楼想问下大佬偏移0x4450怎么来的 2025-11-9 11:14 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复