[原创] 关于NativeBridge注入的检测和隐藏-Android安全-看雪安全社区

[原创] 关于NativeBridge注入的检测和隐藏

发表于: 2025-4-18 20:39 6819

[原创] 关于NativeBridge注入的检测和隐藏

无味

2025-4-18 20:39

6819

## 前言
在装有`Riru/LSPosed`的机子上, 突然发现`中国移动(com.greenpoint.android.mc10086.activity)`(中国电信也是)打不开了, 一直卡在启动页上, 让我看看是怎么回事.
1. 停用`LSPosed`依旧打不开
2. 停用`Riru`能打开
3. 注释`jni_hooks`依旧打不开
4. 注释`loader`(空loader.so)也不行
5. 注释`system.prop`中的`ro.dalvik.vm.native.bridge=libriruloader.so` 正常
6. 随意`resetprop ro.dalvik.vm.native.bridge xx`后`am restart`, 还原再打开也不行
7. 只有`zygote`启动前没有`ro.dalvik.vm.native.bridge`值或者为`0`才正常证明检测了`ro.dalvik.vm.native.bridge`的值,或者检测到了`resetprop`的修改

关于`resetprop`的检测可以看这个: 38fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1i4K6u0W2L8h3g2Q4x3V1k6F1N6h3I4D9M7s2c8J5i4K6g2X3k6r3g2$3i4K6u0r3y4U0l9`.
 ![图片描述](upload/attach/202504/98159_PDT5JSAFK2RBXM2.webp)
不过也证明不是, 因为改了之后再还原, 依旧打不开, 唯二的可能是就`zygote`中记录了参数值(也证明不是, 因为整个内存搜索了没有参数被记录)或者有标识成已尝试加载NativeBridge.

## 确认
### NativeBrige流程
具体就不啰嗦了, 可以看看这个文章: bf7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6T1L8r3!0Y4i4K6u0W2j5%4y4V1L8W2)9J5k6h3&6W2N6q4)9J5c8W2u0G2L8r3q4F1k6q4)9#2k6W2y4#2L8W2)9J5c8X3q4J5N6r3W2U0L8r3g2Q4x3V1k6V1k6i4c8S2K9h3I4K6i4K6u0r3y4o6V1$3z5o6R3K6x3e0p5`.

关键看<a href="elink@4a1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7#2)9J5k6h3q4F1k6s2u0G2K9h3c8Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8X3c8J5L8$3W2V1i4K6u0r3M7r3I4S2N6r3k6G2M7X3#2Q4x3V1k6K6N6i4m8W2M7Y4m8J5L8$3A6W2j5%4c8Q4x3V1k6E0j5h3W2F1i4K6u0r3i4K6u0n7i4K6u0r3L8h3q4A6L8W2)9K6b7h3q4J5N6q4)9J5c8X3I4A6j5X3&6S2N6r3W2$3k6h3u0J5K9h3c8Y4k6g2)9J5c8X3&6S2N6r3W2$3k6g2)9#2k6X3u0J5K9h3c8Y4k6g2)9J5k6h3y4U0i4K6y4n7k6s2u0U0i4K6y4p5y4U0p5I4z5e0M7K6y4U0b7K6y4U0N6U0z5h3f1@1x3o6c8U0y4$3c8S2y4U0V1H3x3o6j5#2z5r3j5I4j5U0p5$3j5K6b7J5k6o6m8V1j5g2)9K6b7X3I4Q4x3@1b7J5x3K6y4Q4x3@1k6Z5L8q4)9K6c8s2A6Z5i4K6u0V1j5$3^5`.">LoadNativeBridge</a>, 只要`ro.dalvik.vm.native.bridge`不空或者`0`都会执行到这
 ![图片描述](upload/attach/202504/98159_VRMJ9D7PA4A5PGT.webp)
看出来了吧, 只要有值(不是''或者0)就会调用<a href="elink@0b9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7#2)9J5k6h3q4F1k6s2u0G2K9h3c8Q4x3X3g2U0L8$3#2Q4x3V1k6S2L8X3c8J5L8$3W2V1i4K6u0r3M7r3I4S2N6r3k6G2M7X3#2Q4x3V1k6K6N6i4m8W2M7Y4m8J5L8$3A6W2j5%4c8Q4x3V1k6E0j5h3W2F1i4K6u0r3i4K6u0n7i4K6u0r3L8h3q4A6L8W2)9K6b7h3q4J5N6q4)9J5c8X3I4A6j5X3&6S2N6r3W2$3k6h3u0J5K9h3c8Y4k6g2)9J5c8X3&6S2N6r3W2$3k6g2)9#2k6X3u0J5K9h3c8Y4k6g2)9J5k6h3y4U0i4K6y4n7k6s2u0U0i4K6y4p5y4U0p5I4z5e0M7K6y4U0b7K6y4U0N6U0z5h3f1@1x3o6c8U0y4$3c8S2y4U0V1H3x3o6j5#2z5r3j5I4j5U0p5$3j5K6b7J5k6o6m8V1j5g2)9K6b7X3u0H3N6W2)9K6c8o6q4Q4x3@1u0T1M7s2c8Q4x3@1b7I4i4K6y4n7L8q4)9K6c8o6t1J5y4#2)9K6c8X3S2D9i4K6y4p5P5X3S2Q4x3X3c8U0L8W2)9J5y4X3N6K6L8W2)9K6c8p5y4D9L8%4y4W2e0X3q4@1K9i4k6W2b7Y4u0A6k6r3N6W2i4K6t1$3k6%4y4Q4x3@1c8w2h3g2c8t1c8g2)9J5y4e0y4m8i4K6t1#2x3V1k6Q4x3U0f1J5c8X3E0&6N6r3S2W2i4K6t1#2x3@1q4Q4x3U0f1J5c8W2)9J5y4e0u0r3j5h3&6V1M7X3!0A6k6q4)9J5k6h3N6G2L8$3N6D9k6i4y4G2N6i4u0U0k6g2)9J5k6h3y4G2L8g2)9J5y4e0u0r3M7r3I4S2N6r3k6G2M7X3#2Q4x3U0f1J5c8Y4y4#2M7r3g2J5M7s2u0G2K9X3g2U0N6q4)9J5y4e0u0r3L8h3q4A6L8W2)9J5y4e0u0r3i4K6t1#2x3V1k6E0j5h3W2F1i4K6t1#2x3@1k6D9j5h3&6Y4i4K6t1#2x3@1c8U0i4K6t1#2x3U0f1J5b7W2)9J5y4e0t1#2x3V1u0Q4x3U0f1K6c8Y4m8S2N6r3S2Q4x3U0f1K6c8r3q4J5N6q4)9J5y4e0u0r3L8r3W2T1L8X3q4@1K9i4k6W2j5Y4u0A6k6r3N6W2i4K6t1#2x3V1k6F1j5i4c8A6N6X3g2Q4y4h3k6T1M7X3W2V1k6$3g2Q4x3X3g2U0j5#2)9J5y4e0t1K6h3s2y4H3g2V1#2i4i4K6g2X3h3V1!0V1i4K6g2X3N6V1k6A6d9q4A6o6g2Y4c8o6P5e0W2b7x3i4g2S2L8h3y4m8k6U0g2@1g2h3y4K9j5i4A6f1f1o6c8F1d9r3x3`.">CloseNativeBridge</a>
看看CloseNativeBridge
```c

......
// Whether we had an error at some point.
static bool had_error = false;
......

static void CloseNativeBridge(bool with_error) {
  state = NativeBridgeState::kClosed;
  had_error |= with_error;
  ReleaseAppCodeCacheDir();
}

.........

bool NativeBridgeError() {
  return had_error;
}

```
`had_error`关键的值, 只要设置为true, 就再也不会是false了
`NativeBridgeError`会返回`had_error`
写个代码试下:
```c
 SandHook::ElfImg nativeBridge("libnativebridge.so");
 using NativeBridgeError_t = bool();
 auto *NativeBridgeError = nativeBridge.getSymbAddress<NativeBridgeError_t *>("NativeBridgeError");
 LOGI("NativeBridgeError[%p]=%d", NativeBridgeError, NativeBridgeError());

bool *nbm = (bool *) ((uintptr_t) nativeBridge.getBase() + 0x5288);
    *nbm = 0;
    LOGI("NativeBridgeError, from memory[%p]=%d", nbm, *nbm);
```
`这个0x5288是从IDA写复制来的`
 ![图片描述](upload/attach/202504/98159_DD62TV478HQ29WQ.webp)
通过`resetprop ro.dalvik.vm.native.bridge [0/xxx]`再次测试, **确认是这个检测点**
```
20:23:53.066 10026-10061 NativeGuard   I  dl_iterate_phdr, get module base /apex/com.android.art/lib64/libnativebridge.so: 0x7b13725000
20:23:53.066 10026-10061 NativeGuard   I  NativeBridgeError[0x7b13727ef0]=1
20:23:53.066 10026-10061 NativeGuard   I  NativeBridgeError, from memory[0x7b1372a288]=0
20:23:53.066 10026-10061 NativeGuard   I  NativeBridgeError check[0x7b13727ef0]=0
```

## 修复
那这个`0x5288`怎么搞出来呢? had_error 是个static, 没有符号, NativeBridgeError返回的也是值, 不是指针, 那只能得到NativeBridgeError指针后, 拿到汇编hex, 再去转换汇编码, 得到地址, 修复数据, 说干就干, 在线测试: f19K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6K9r3g2D9L8q4)9J5k6s2y4@1L8%4u0E0i4K6u0W2L8%4u0Y4i4K6u0r3L8$3&6D9K9h3&6W2i4K6u0r3e0$3&6D9K9h3&6W2i4K6u0V1b7i4y4K6k6h3#2T1L8r3g2J5i4K6u0V1j5h3&6V1i4K6u0V1c8r3W2K6j5i4y4K6k6h3#2T1L8r3g2J5i4K6u0r3i4K6y4r3L8%4m8U0L8$3c8W2M7#2)9K6c8o6l9^5i4K6u0n7x3o6m8Q4x3V1t1H3x3q4)9J5b7V1j5H3i4K6u0n7x3o6m8Q4x3V1t1J5x3g2)9J5b7U0c8m8i4K6u0n7x3K6W2Q4x3U0k6S2M7X3y4Z5i4K6y4p5j5i4u0E0y4U0c8Q4x3U0k6W2L8X3c8A6j5h3&6F1k6i4y4K6i4K6y4p5L8r3W2@1N6r3I4W2i4K6t1$3j5X3q4V1k6s2u0Q4x3@1b7H3P5o6l9H3x3o6l9H3x3o6l9H3i4K6t1$3k6r3W2K6i4K6g2X3N6$3W2@1K9q4)9#2k6X3q4V1k6s2u0Q4x3@1c8f1M7Y4g2W2i4K6t1$3k6r3W2K6i4K6g2X3N6$3W2@1K9q4)9#2k6Y4u0S2N6#2)9K6c8q4c8J5N6h3g2Q4x3U0k6V1K9i4y4Q4y4h3k6%4K9i4c8Z5i4K6g2X3K9h3&6K6i4K6y4p5g2s2u0#2k6g2)9J5x3$3c8A6M7$3q4K6M7$3g2E0j5X3I4&6
### 为什么要放弃
> 太难
### 别的方法?
 ![图片描述](upload/attach/202504/98159_KJS7R3B87EFYBPK.webp)
这个值好像正好在.bss块的头上, 直接尝试读取.bss的指针试下
 ![图片描述](upload/attach/202504/98159_RC475AHBEYE435K.webp)
> 这里偷懒一下, 正常应该通过文件获取`ehdr`指针, 再获取.bss块的首地址的
```c
// fix native bridge detection
void hideNativeBridgeError() {
 // fix native bridge detection
 dl_iterate_phdr([](struct dl_phdr_info *info, size_t map_size, void *data) -> int {
 if (strstr(info->dlpi_name, "libnativebridge.so")) {
 for (int i = 0; i < info->dlpi_phnum; i++) {
 auto phdr = &info->dlpi_phdr[i];
 if (phdr->p_type == PT_LOAD && (phdr->p_flags & PF_W) && (phdr->p_flags & PF_R) && phdr->p_filesz == 0) {
 LOGI("Riru found NativeBridge.had_error: 0x%lx", (off_t) phdr->p_vaddr);
 void *nb_point = reinterpret_cast<void *>(info->dlpi_addr);
 bool *nb_error_point = reinterpret_cast<bool *>(info->dlpi_addr + phdr->p_vaddr);
 LOGI("Riru NativeBridge: %p, NativeBridgeError: %p ==> %d", nb_point, nb_error_point, *nb_error_point);
 if (*nb_error_point != 0) {
 *nb_error_point = 0;
 LOGI("Riru fix NativeBridgeError: %p ==> %d", nb_error_point, *nb_error_point);
 }
 break;
 }
 }
 return 1;
 }
 return 0;
 }, nullptr);
}
```

放进RIRU测试下
```
...
19:45:37.350   705-705   Riru64        D  jniRegisterNativeMethods com/android/internal/os/Zygote
19:45:37.350   705-705   Riru64        I  Riru found NativeBridge.had_error: 0x5288
19:45:37.350   705-705   Riru64        I  Riru NativeBridge: 0x7dbb1a9000, NativeBridgeError: 0x7dbb1ae288 ==> 1
19:45:37.350   705-705   Riru64        I  Riru fix NativeBridgeError: 0x7dbb1ae288 ==> 0
19:45:37.350   705-705   Riru64        I  replaced com.android.internal.os.Zygote#nativeForkAndSpecialize
...
```
这个注意下, 要dlopebnn执行完后再修复, 一般放在`onRegisterZygote`方法里

## 打开了, 也结束了

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#逆向分析 #HOOK注入 #工具脚本

收藏・13

点赞・10

打赏

最新回复 (5)
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 2 楼看不懂系列 2025-4-24 09:35 0
Thehepta 雪币： 3596 活跃值： (7395) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 235 粉丝 282 关注私信	Thehepta 3 3 楼这个点确实没研究过,有时间研究下,不过目前ro.dalvik.vm.native.bridge的方式其实已经不太行了 2025-4-24 09:47 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 4 楼 Thehepta 这个点确实没研究过,有时间研究下,不过目前ro.dalvik.vm.native.bridge的方式其实已经不太行了方便注入和隐藏呀, LD_PRELOAD隐藏总是比较麻烦 2025-4-24 10:30 0
DirtyAngle 雪币： 757 活跃值： (5687) 能力值： ( LV3，RANK：20 ) 在线值：发帖 30 回帖 224 粉丝 69 关注私信	DirtyAngle 5 楼 resetprop检测是不是失效了 prop ro.boot.mode 100663296 prop ro.boot.flash.locked 16777216 prop ro.boot.memcg 16777216 prop ro.boot.vbmeta.size 67108864 prop ro.boot.vbmeta.digest 1073741824 prop ro.boot.vbmeta.hash_alg 100663296 prop ro.boot.vbmeta.avb_version 50331648 prop ro.boot.vbmeta.device_state 100663296 prop ro.boot.vbmeta.invalidate_on_er 50331648 prop ro.boot.dtb_idx 16777216 prop ro.boot.baseband 50331648 prop ro.boot.dtbo_idx 16777216 prop ro.boot.hardware 67108864 prop ro.boot.hardware.sku 134217728 prop ro.boot.revision 67108864 prop ro.boot.ssm_data 268435456 prop ro.boot.keymaster 16777216 prop ro.boot.bootdevice 218103808 prop ro.boot.bootloader 1006632960 2025-6-19 17:30 0
iBa0 雪币： 1560 活跃值： (5833) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 482 粉丝 37 关注私信	iBa0 6 楼牛逼啊，做了一篇笔记，确实挺有意思的奥，感谢分享 2026-1-13 18:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

无味

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (5)
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 2 楼看不懂系列 2025-4-24 09:35 0
Thehepta 雪币： 3596 活跃值： (7395) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 235 粉丝 282 关注私信	Thehepta 3 3 楼这个点确实没研究过,有时间研究下,不过目前ro.dalvik.vm.native.bridge的方式其实已经不太行了 2025-4-24 09:47 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 4 楼 Thehepta 这个点确实没研究过,有时间研究下,不过目前ro.dalvik.vm.native.bridge的方式其实已经不太行了方便注入和隐藏呀, LD_PRELOAD隐藏总是比较麻烦 2025-4-24 10:30 0
DirtyAngle 雪币： 757 活跃值： (5687) 能力值： ( LV3，RANK：20 ) 在线值：发帖 30 回帖 224 粉丝 69 关注私信	DirtyAngle 5 楼 resetprop检测是不是失效了 prop ro.boot.mode 100663296 prop ro.boot.flash.locked 16777216 prop ro.boot.memcg 16777216 prop ro.boot.vbmeta.size 67108864 prop ro.boot.vbmeta.digest 1073741824 prop ro.boot.vbmeta.hash_alg 100663296 prop ro.boot.vbmeta.avb_version 50331648 prop ro.boot.vbmeta.device_state 100663296 prop ro.boot.vbmeta.invalidate_on_er 50331648 prop ro.boot.dtb_idx 16777216 prop ro.boot.baseband 50331648 prop ro.boot.dtbo_idx 16777216 prop ro.boot.hardware 67108864 prop ro.boot.hardware.sku 134217728 prop ro.boot.revision 67108864 prop ro.boot.ssm_data 268435456 prop ro.boot.keymaster 16777216 prop ro.boot.bootdevice 218103808 prop ro.boot.bootloader 1006632960 2025-6-19 17:30 0
iBa0 雪币： 1560 活跃值： (5833) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 482 粉丝 37 关注私信	iBa0 6 楼牛逼啊，做了一篇笔记，确实挺有意思的奥，感谢分享 2026-1-13 18:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复