-
-
[原创]三百6初探
-
发表于: 2025-7-9 18:26
-
现象
经过加固后的样子
2. 分析so
2.1 解密so
在init proc里面有解密一半的代码,
翻译成解密脚本:
2.2 分析入口函数
init_array无特殊操作
Jni_onload也没有什么操作?
才怪!
问下ai
找到入口函数
3.1 解密加载内部so
这块看雪好几个人写过,我这就简单嗦一下
此处是解密内部so入口,
like_decode_so如下:
由 ((*(__int64 (__fastcall **)(rawEncodeData *))(encode->some_fun + 24))(encode) & 1) != 0 )// 0x035938这一行将内部so地址传入,调用一个小型vmp解密解压数据, 再将解密数据传入下图的loadso函数:
decode_data 函数将so的program header和其他两个什么链接相关的表头解密
prelink_image 这个函数可以参考源码中的链接的那个函数将switch中的结构体补全
do_relocation 这个函数执行重定位
loadso执行完成后, 返回上层函数like_decode_so,最后调用init系列函数
3.2 修复so
本屌用开源代码修复内存dump链接完成后的内存数据导入表会异常, 不知道为什么, 最后用链接前的数据手动将解密的数据替换回去 然后再修复就ok了
[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！
最后于 2025-9-3 19:34
被DirtyAngle编辑
，原因： 疯狂星期四
|
|
|---|---|
|
|
来个深入分析
|
|
|
明天接着看 下班 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
