[原创]关于NativeDetector中的检测到Umount-Android安全-看雪安全社区

[原创]关于NativeDetector中的检测到Umount

发表于: 2025-4-28 19:05 5911

[原创]关于NativeDetector中的检测到Umount

无味

2025-4-28 19:05

5911

## 检测
`Native Detector`中能检测到:'/debug_rakdisk/.magisk/modules/xx/riru/lib64'
 ![图片描述](upload/attach/202504/98159_44PZJG2AG8A5B8P.webp)

## 猜测
还是直接上ce搜索:
 ![图片描述](upload/attach/202504/98159_2Y465VU8DCWA5FV.webp)
对一下区块, 最可疑的就是`[anon:stack_and_tls:main]`
```shell
redmi:/ # cat /proc/1097/maps | grep 7a077
7a076a0000-7a07768000 r--p 00000000 00:00 0                              [anon:linker_alloc]
7a07768000-7a07788000 r--s 00000000 00:11 13760                          /dev/__properties__/u:object_r:vndk_prop:s0
7a07788000-7a0778b000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a0778b000-7a0778d000 r--p 00041000 07:78 53                             /apex/com.android.art/javalib/arm64/boot-core-icu4j.art
7a0778d000-7a07791000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a07791000-7a07792000 r--p 0001d000 07:78 56                             /apex/com.android.art/javalib/arm64/boot-core-libart.art
7a07792000-7a07794000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a07794000-7a07795000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_lob]
7a07795000-7a0779a000 rw-p 00000000 00:00 0                              [anon:System property context nodes]
7a0779a000-7a0779b000 ---p 00000000 00:00 0 
7a0779b000-7a0779f000 rw-p 00000000 00:00 0                              [anon:stack_and_tls:main]
7a0779f000-7a077a0000 ---p 00000000 00:00 0 
7a077a0000-7a077a4000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a077a4000-7a077a5000 rw-p 00000000 00:00 0                              [anon:ReadFileToBuffer]
7a077a5000-7a077ab000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a077ab000-7a0780f000 r--p 00000000 00:00 0                              [anon:linker_alloc]
```
找到内存区块后, 难道是通过哪个指针泄露的?
随便改点字符就没有了, 再下面随便复制一下是相同的字符串, 又能搜索到了, 证明只是通过`[anon:stack_and_tls:main]`的字符串`/debug_ramdisk/.magisk/`搜索

![图片描述](upload/attach/202504/98159_US7P9UAMYD9EQW6.webp)
 ![图片描述](upload/attach/202504/98159_D59MWPX673DSXZU.webp)

## 探索
> 这个指针是从哪来的呢?
```c
if (android_prop::GetApiLevel() >= __ANDROID_API_O__) {
        auto *dir = dirname(path);
        auto *ns = &__loader_android_create_namespace == nullptr ? nullptr :
                   __loader_android_create_namespace(path, dir, nullptr,
                                                     2/*ANDROID_NAMESPACE_TYPE_SHARED*/,
                                                     nullptr, nullptr,
                                                     reinterpret_cast<void *>(&DlopenExt));
        if (ns) {
            info.flags = ANDROID_DLEXT_USE_NAMESPACE;
            info.library_namespace = ns;

LOGD("open %s with namespace %p, dir: %p", path, ns, dir);
        } else {
            LOGD("cannot create namespace for %s", path);
        }
    }
```
就是`android`的`DlopenExt`方法里的, 当要`__loader_android_create_namespace`时会有一个`dirname`查询目录.

## 结论
可以在每次`open`之后直接清除这个字符串
```c
// 直接清除
memset(dir, 0, strlen(dir));
```
也可以随便改一下关键字, 或者自己也搜索内存改下算了.

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-4-29 09:55 被无味编辑，原因：优化

#漏洞相关 #其他 #工具脚本

收藏・4

点赞・4

打赏

最新回复 (18)
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 2 楼能否分析下检测到风险应用：他这个包名检测现在是怎么检测的呢？为什么隐藏应用列表隐藏仍然无效？最后于 2025-4-28 22:54 被hacker521编辑，原因： 2025-4-28 22:52 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 3 楼 hacker521 能否分析下检测到风险应用：他这个包名检测现在是怎么检测的呢？为什么 隐藏应用列表隐藏仍然无效？包名检测无意义，开源的直接改名，不开源的在android进程中hook packageManager 2025-4-28 22:59 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 4 楼就是单纯想了解下这个检测包名的原理~ 很好奇如果不改包名单纯的隐藏应用列表怎么才能隐藏？ 2025-4-28 23:02 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 5 楼 hacker521 就是单纯想了解下这个检测包名的原理~ 很好奇如果不改包名单纯的隐藏应用列表怎么才能隐藏？ android应用是通过Binder（aidl）向android（system_server）进程获取包名的，直接在内存中操作应该是没有办法的。 2025-4-28 23:07 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 6 楼无味 android应用是通过Binder（aidl）向android（system_server）进程获取包名的，直接在内存中操作应该是没有办法的。我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？ 2025-4-28 23:13 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 7 楼 hacker521 我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？ /data/data并不能判断，/data/app无法判断 2025-4-29 00:04 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 8 楼 hacker521 我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以 2025-4-29 09:33 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 9 楼你瞒我瞒以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以和安卓版本有很大关系, 再者包名的风险等级也算最低, 所以我认为检测包名无意义最后于 2025-4-29 09:57 被无味编辑，原因： 2025-4-29 09:56 0
huangjw 雪币： 6688 活跃值： (11872) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 511 粉丝 2 关注私信	huangjw 10 楼可以的 2025-4-29 10:20 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 11 楼无味你瞒我瞒以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以和安卓版本有很大关系, 再者包名的风险等级也算最 ... 现在有部分软件已经把mt列为风险app，检查针对用户安装了什么app，然后认为用户有可疑，这个还是有在商业app上面这么搞。存在这么搞肯定有对抗的需求了。 2025-4-29 14:15 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 12 楼它怎么检测的？最后于 2025-4-29 16:31 被hacker521编辑，原因： 2025-4-29 16:31 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 13 楼 hacker521 它怎么检测的？检测确实很厉害, 我对包名隐藏了解不多, 无能为力了 2025-4-29 19:45 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 14 楼无味检测确实很厉害, 我对包名隐藏了解不多, 无能为力了[em_055] 你分析下他so层的逻辑呀~ 2025-4-29 21:18 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 15 楼 hacker521 你分析下他so层的逻辑呀~ Ruru也能检测出来： c35K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1P5i4S2A6j5h3!0J5N6h3&6Q4x3V1k6d9N6i4u0#2i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8X3I4A6j5Y4u0S2M7Y4W2Q4x3V1k6K6M7X3y4Q4x3V1k6E0j5h3W2F1i4K6u0r3K9X3q4$3j5g2)9J5c8X3W2U0N6g2)9J5c8X3&6#2L8r3I4H3N6s2u0Q4x3V1k6S2M7s2m8D9K9i4y4@1k6r3g2@1k6h3y4@1L8%4t1`. 2025-4-29 22:55 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 16 楼无味 Ruru也能检测出来： db9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1P5i4S2A6j5h3!0J5N6h3&6Q4x3V1k6d9N6i4u0#2i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8X3I4A6j5Y4u0S2M7Y4W2Q4x3V1k6K6M7X3y4Q4x3V1k6E0j5h3W2F1i4K6u0r3K9X3q4$3j5g2)9J5c8X3W2U0N6g2)9J5c8X3&6#2L8r3I4H3N6s2u0Q4x3V1k6S2M7s2m8D9K9i4y4@1k6l9`.`. ... Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？ 2025-4-30 10:12 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 17 楼 hacker521 Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？你自己研究研究吧, 我对隐藏应用没兴趣 2025-4-30 10:40 0
mb_dovsgrdo 雪币： 17 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_dovsgrdo 18 楼 hacker521 Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？就是属性检测????，没你想象的那么高级 2026-2-13 22:07 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 19 楼 mb_dovsgrdo 就是属性检测????，没你想象的那么高级最新版的HMA已经可以隐藏了 2026-2-13 23:58 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

无味

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (18)
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 2 楼能否分析下检测到风险应用：他这个包名检测现在是怎么检测的呢？为什么隐藏应用列表隐藏仍然无效？最后于 2025-4-28 22:54 被hacker521编辑，原因： 2025-4-28 22:52 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 3 楼 hacker521 能否分析下检测到风险应用：他这个包名检测现在是怎么检测的呢？为什么 隐藏应用列表隐藏仍然无效？包名检测无意义，开源的直接改名，不开源的在android进程中hook packageManager 2025-4-28 22:59 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 4 楼就是单纯想了解下这个检测包名的原理~ 很好奇如果不改包名单纯的隐藏应用列表怎么才能隐藏？ 2025-4-28 23:02 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 5 楼 hacker521 就是单纯想了解下这个检测包名的原理~ 很好奇如果不改包名单纯的隐藏应用列表怎么才能隐藏？ android应用是通过Binder（aidl）向android（system_server）进程获取包名的，直接在内存中操作应该是没有办法的。 2025-4-28 23:07 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 6 楼无味 android应用是通过Binder（aidl）向android（system_server）进程获取包名的，直接在内存中操作应该是没有办法的。我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？ 2025-4-28 23:13 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 7 楼 hacker521 我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？ /data/data并不能判断，/data/app无法判断 2025-4-29 00:04 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 8 楼 hacker521 我怎么感觉这个是通过命令检测data目录下包名是否存在是返回文件不存在还是permission denied？以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以 2025-4-29 09:33 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 9 楼你瞒我瞒以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以和安卓版本有很大关系, 再者包名的风险等级也算最低, 所以我认为检测包名无意义最后于 2025-4-29 09:57 被无味编辑，原因： 2025-4-29 09:56 0
huangjw 雪币： 6688 活跃值： (11872) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 511 粉丝 2 关注私信	huangjw 10 楼可以的 2025-4-29 10:20 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 11 楼无味你瞒我瞒以前可以隐藏，自己看了一些帖子，有人在隐藏应用列表中打开数据隔离可以和安卓版本有很大关系, 再者包名的风险等级也算最 ... 现在有部分软件已经把mt列为风险app，检查针对用户安装了什么app，然后认为用户有可疑，这个还是有在商业app上面这么搞。存在这么搞肯定有对抗的需求了。 2025-4-29 14:15 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 12 楼它怎么检测的？最后于 2025-4-29 16:31 被hacker521编辑，原因： 2025-4-29 16:31 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 13 楼 hacker521 它怎么检测的？检测确实很厉害, 我对包名隐藏了解不多, 无能为力了 2025-4-29 19:45 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 14 楼无味检测确实很厉害, 我对包名隐藏了解不多, 无能为力了[em_055] 你分析下他so层的逻辑呀~ 2025-4-29 21:18 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 15 楼 hacker521 你分析下他so层的逻辑呀~ Ruru也能检测出来： c35K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1P5i4S2A6j5h3!0J5N6h3&6Q4x3V1k6d9N6i4u0#2i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8X3I4A6j5Y4u0S2M7Y4W2Q4x3V1k6K6M7X3y4Q4x3V1k6E0j5h3W2F1i4K6u0r3K9X3q4$3j5g2)9J5c8X3W2U0N6g2)9J5c8X3&6#2L8r3I4H3N6s2u0Q4x3V1k6S2M7s2m8D9K9i4y4@1k6r3g2@1k6h3y4@1L8%4t1`. 2025-4-29 22:55 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 16 楼无味 Ruru也能检测出来： db9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1P5i4S2A6j5h3!0J5N6h3&6Q4x3V1k6d9N6i4u0#2i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8X3I4A6j5Y4u0S2M7Y4W2Q4x3V1k6K6M7X3y4Q4x3V1k6E0j5h3W2F1i4K6u0r3K9X3q4$3j5g2)9J5c8X3W2U0N6g2)9J5c8X3&6#2L8r3I4H3N6s2u0Q4x3V1k6S2M7s2m8D9K9i4y4@1k6l9`.`. ... Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？ 2025-4-30 10:12 0
无味雪币： 95 活跃值： (943) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 17 楼 hacker521 Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？你自己研究研究吧, 我对隐藏应用没兴趣 2025-4-30 10:40 0
mb_dovsgrdo 雪币： 17 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	mb_dovsgrdo 18 楼 hacker521 Ruru没法检测隐藏应用列表开启隐藏以后得，但是NativeDetector 会，你看我截图，懂？就是属性检测????，没你想象的那么高级 2026-2-13 22:07 0
hacker521 雪币： 3017 活跃值： (5746) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 19 楼 mb_dovsgrdo 就是属性检测????，没你想象的那么高级最新版的HMA已经可以隐藏了 2026-2-13 23:58 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复