[原创] 关于hunter检测的隐藏-Android安全-看雪安全社区

[原创] 关于hunter检测的隐藏

发表于: 2025-4-29 23:08 14770

[原创] 关于hunter检测的隐藏

无味

2025-4-29 23:08

14770

## 检测点
 ![图片描述](upload/attach/202505/98159_ZWAFFA3WFCGRPKR.webp)
 ![图片描述](upload/attach/202504/98159_8JQ8YMR23UCF7KJ.webp)

### Find Xposed Api
这种最好过的了, 直接自编译一下`lsposed`, 改改包名类名就行了.

### Hunter可能已经被注入
这种就是有可执行的匿名内存, 参考: <mark class="encrypted">6e2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5k6i4k6W2L8Y4W2Q4x3V1k6m8L8X3c8J5L8$3W2V1i4K6u0V1e0r3W2T1M7X3q4J5P5g2)9J5k6q4u0W2L8h3q4H3i4K6u0V1d9r3W2V1k6b7`.`.</mark>
我的方法是`open`一个`/system/lib`下的正常so文件(要求文件大小比内存块大), `mmap`后, `move`内存后`mremap`回去, 但有些应用会崩溃,原因没查出来, 所以**看看**就好, 生产环境不能用, 过`hunter` `momo` `nativeTest`是没有问题的
#### 底下那一堆Find JVM Method Is Hooked也是在匿名内存搞定后就没了

### inMemoryDexClassLoader
这个就更好过了
```c
        jmethodID initMid;
        if (sdk_int < __ANDROID_API_Q__) {
            // https://cs.android.com/android/platform/superproject/+/android-9.0.0_r1:libcore/dalvik/src/main/java/dalvik/system/BaseDexClassLoader.java;l=123
            initMid = JNI_GetMethodID(env, in_memory_classloader, "<init>",
                                      "([Ljava/nio/ByteBuffer;Ljava/lang/ClassLoader;)V");
        } else {
            // https://cs.android.com/android/platform/superproject/+/android-10.0.0_r1:libcore/dalvik/src/main/java/dalvik/system/BaseDexClassLoader.java;l=173
            initMid = JNI_GetMethodID(env, in_memory_classloader, "<init>",
                                      "([Ljava/nio/ByteBuffer;Ljava/lang/String;Ljava/lang/ClassLoader;)V");
        }
        auto byte_buffer_class = JNI_FindClass(env, "java/nio/ByteBuffer");
        auto dex_buffer = env->NewDirectByteBuffer(dex_data, dex_size);
        auto dex_buffer_array = JNI_NewObjectArray(env, 1, byte_buffer_class, dex_buffer);

if (sdk_int < __ANDROID_API_Q__) {
            if (auto my_cl = JNI_NewObject(env, in_memory_classloader, initMid,
                                           dex_buffer_array, sys_classloader)) {
                inject_class_loader_ = JNI_NewGlobalRef(env, my_cl);
            }
        } else {
            jstring librarySearchPath = nullptr;
            if (auto my_cl = JNI_NewObject(env, in_memory_classloader, initMid,
                                           dex_buffer_array, librarySearchPath, sys_classloader)) {
                inject_class_loader_ = JNI_NewGlobalRef(env, my_cl);
            }
        }
```
直接调它的父类

### CRC校验
这个也简单, 可以参考: https://bbs.kanxue.com/thread-285790.htm

## hunter的检测相对NativeTest简单点
 ![图片描述](upload/attach/202504/98159_F8AA5WZN4H4PZB6.webp)

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-4-30 14:11 被无味编辑，原因：格式

#逆向分析 #其他 #漏洞相关

收藏・21

点赞・5

打赏

最新回复 (22)
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 709 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2025-4-30 00:06 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 3 楼 Check Find Root In Mounts 这个呢 2025-4-30 09:50 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 4 楼小黄鸭爱学习 Check Find Root In Mounts 这个呢直接用delta magisk 2025-4-30 10:08 0
hacker521 雪币： 2686 活跃值： (5851) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 226 粉丝 30 关注私信	hacker521 5 楼无味直接用delta magisk 没用的最后于 2025-4-30 10:47 被hacker521编辑，原因： 2025-4-30 10:46 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 6 楼 hacker521 无味直接用delta magisk 没用的我无法复现这个检测点, 所以也没办法了 2025-4-30 11:57 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 7 楼无味直接用delta magisk 开启zygisk_next暴露信息 ``` APatch /debug_ramdisk tmpfs rw,seclabel,relatime,size=3675100k,nr_inodes=918775 0 0 APatch /debug_ramdisk/pts devpts rw,seclabel,relatime,mode=600,ptmxmode=000 0 0 ``` 直接用模块过滤掉了最后于 2025-4-30 17:26 被小黄鸭爱学习编辑，原因： 2025-4-30 15:36 0
肉蚌葱鸡雪币： 0 活跃值： (1983) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 39 粉丝 5 关注私信	肉蚌葱鸡 8 楼 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃 2025-5-5 10:44 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 9 楼肉蚌葱鸡 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃我改了肯定只是给我自己用, 别人的模块肯定是要自己改了重编译的 2025-5-5 10:54 0
yinsel 雪币： 470 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	yinsel 10 楼这个hunter有官方地址吗哪里能下载最新版 2025-5-5 15:30 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 11 楼 yinsel 这个hunter有官方地址吗哪里能下载最新版 github有下载地址。74bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4x3U0V1$3y4o6R3^5x3K6t1H3i4K6u0r3d9s2g2F1N6r3g2J5g2i4m8V1j5i4c8W2 2025-5-5 15:50 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 12 楼肉蚌葱鸡 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃都自己编译了，还用什么第三方模块啊 2025-5-6 17:44 0
wx_最爱老大雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 1 关注私信	wx_最爱老大 13 楼小黄鸭爱学习无味直接用delta magisk 开启zygisk_next暴露信息```APatch /debug_ramdisk tmp ... 具体是哪个模块啊？ 2025-5-8 10:12 0
粑粑做蛋挞雪币： 130 活跃值： (85) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	粑粑做蛋挞 14 楼大佬能帮忙写个检测的demo嘛，有偿 2025-5-15 00:31 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	mb_kgsesxqm 15 楼楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的 2025-6-7 18:56 0
wx_ln 雪币： 58 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 27 粉丝 0 关注私信	wx_ln 16 楼 bl有办法过？ 2025-6-9 02:37 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 17 楼酷安搜一下很多教程的。 2025-6-9 14:03 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 18 楼 mb_kgsesxqm 楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的为啥不来看看我的课呢？Hunter全部源码都讲了毕竟是我写的。 2025-6-9 14:05 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 19 楼 mb_kgsesxqm 楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的写的不错，点个赞 2025-6-9 14:06 0
torrent选手雪币： 228 活跃值： (761) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	torrent选手 20 楼没得基础的看不懂，555 2025-6-12 11:06 0
mb_ebiwunmj 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	mb_ebiwunmj 21 楼大佬 inMemoryDexClassLoader 咋过的有点没看懂 2025-6-12 16:53 0
mb_elqwyvnm 雪币： 2755 活跃值： (3490) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 170 粉丝 0 关注私信	mb_elqwyvnm 22 楼很好的知识点 2025-6-12 17:07 0
JanusXiao 雪币： 149 活跃值： (555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	JanusXiao 23 楼珍惜Any 为啥不来看看我的课呢？Hunter全部源码都讲了 [em_056] 毕竟是我写的。哪个课? 2026-1-6 19:36 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (22)
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 709 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2025-4-30 00:06 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 3 楼 Check Find Root In Mounts 这个呢 2025-4-30 09:50 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 4 楼小黄鸭爱学习 Check Find Root In Mounts 这个呢直接用delta magisk 2025-4-30 10:08 0
hacker521 雪币： 2686 活跃值： (5851) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 226 粉丝 30 关注私信	hacker521 5 楼无味直接用delta magisk 没用的最后于 2025-4-30 10:47 被hacker521编辑，原因： 2025-4-30 10:46 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 6 楼 hacker521 无味直接用delta magisk 没用的我无法复现这个检测点, 所以也没办法了 2025-4-30 11:57 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 7 楼无味直接用delta magisk 开启zygisk_next暴露信息 ``` APatch /debug_ramdisk tmpfs rw,seclabel,relatime,size=3675100k,nr_inodes=918775 0 0 APatch /debug_ramdisk/pts devpts rw,seclabel,relatime,mode=600,ptmxmode=000 0 0 ``` 直接用模块过滤掉了最后于 2025-4-30 17:26 被小黄鸭爱学习编辑，原因： 2025-4-30 15:36 0
肉蚌葱鸡雪币： 0 活跃值： (1983) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 39 粉丝 5 关注私信	肉蚌葱鸡 8 楼 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃 2025-5-5 10:44 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 9 楼肉蚌葱鸡 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃我改了肯定只是给我自己用, 别人的模块肯定是要自己改了重编译的 2025-5-5 10:54 0
yinsel 雪币： 470 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	yinsel 10 楼这个hunter有官方地址吗哪里能下载最新版 2025-5-5 15:30 0
无味雪币： 95 活跃值： (948) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 51 粉丝 64 关注私信	无味 11 楼 yinsel 这个hunter有官方地址吗哪里能下载最新版 github有下载地址。74bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4x3U0V1$3y4o6R3^5x3K6t1H3i4K6u0r3d9s2g2F1N6r3g2J5g2i4m8V1j5i4c8W2 2025-5-5 15:50 0
小黄鸭爱学习雪币： 2986 活跃值： (5957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 339 粉丝 154 关注私信	小黄鸭爱学习 12 楼肉蚌葱鸡 Find Xposed Api 你改了xposed api 别人模块如何查找到api 你把xposed改成qposed 可别人开发的模块还是以xposed去查找所有第三方模块都崩溃都自己编译了，还用什么第三方模块啊 2025-5-6 17:44 0
wx_最爱老大雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 1 关注私信	wx_最爱老大 13 楼小黄鸭爱学习无味直接用delta magisk 开启zygisk_next暴露信息```APatch /debug_ramdisk tmp ... 具体是哪个模块啊？ 2025-5-8 10:12 0
粑粑做蛋挞雪币： 130 活跃值： (85) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	粑粑做蛋挞 14 楼大佬能帮忙写个检测的demo嘛，有偿 2025-5-15 00:31 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	mb_kgsesxqm 15 楼楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的 2025-6-7 18:56 0
wx_ln 雪币： 58 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 27 粉丝 0 关注私信	wx_ln 16 楼 bl有办法过？ 2025-6-9 02:37 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 17 楼酷安搜一下很多教程的。 2025-6-9 14:03 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 18 楼 mb_kgsesxqm 楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的为啥不来看看我的课呢？Hunter全部源码都讲了毕竟是我写的。 2025-6-9 14:05 0
珍惜Any 雪币： 6762 活跃值： (17189) 能力值： ( LV9，RANK：270 ) 在线值：发帖 31 回帖 484 粉丝 1821 关注私信	珍惜Any 4 19 楼 mb_kgsesxqm 楼主，我想问个问题，hook svc后重定向被检测到了，对方之前用readlink检测，后来过掉了，现在又检测重定向，不知道还有哪些方法可以用来检测路径的写的不错，点个赞 2025-6-9 14:06 0
torrent选手雪币： 228 活跃值： (761) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	torrent选手 20 楼没得基础的看不懂，555 2025-6-12 11:06 0
mb_ebiwunmj 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	mb_ebiwunmj 21 楼大佬 inMemoryDexClassLoader 咋过的有点没看懂 2025-6-12 16:53 0
mb_elqwyvnm 雪币： 2755 活跃值： (3490) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 170 粉丝 0 关注私信	mb_elqwyvnm 22 楼很好的知识点 2025-6-12 17:07 0
JanusXiao 雪币： 149 活跃值： (555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	JanusXiao 23 楼珍惜Any 为啥不来看看我的课呢？Hunter全部源码都讲了 [em_056] 毕竟是我写的。哪个课? 2026-1-6 19:36 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复