1.教程 Demo
2.IDEA
3.IDA

文件访问 (File Access) 补环境是 Unidbg 应用中仅次于 JNI 补环境的重要环节。当 Unidbg 模拟执行的原生库（. So 文件）尝试通过文件 I/O 操作访问文件系统时——例如读取设备信息 (/proc/cpuinfo)、检测运行环境 (/proc/self/maps、/xbin/su) 或校验自身完整性 (APK 文件)——Unidbg 必须能够对这些访问请求作出响应。在一个纯净的 Unidbg 环境中，这些被访问的目标文件通常是不存在的。如果一个关键的文件访问失败或返回了不符合预期的内容，原生库可能会改变其执行逻辑、触发风控机制或直接中断执行。因此，文件访问补环境的目的就是通过 Unidbg 的 IOResolver 责任链机制拦截这些文件系统调用，并提供一个内容、权限都符合原生库逻辑预期的虚拟文件或目录。

Unidbg 并未将所有文件处理逻辑写死，而是采用了一种灵活的责任链模式。当代码尝试访问一个文件时，请求会依次通过一个处理器链，直到被成功处理或最终失败。
这个处理链的顺序通常是：

在 resolve 方法中，你可以返回一个 FileResult 对象，它有三种状态：
4. FileResult.success(FileIO): 表示文件访问成功，返回一个 FileIO 对象。这是最常用的方式。
5. FileResult.failed(errno): 表示文件访问失败，并返回一个指定的错误码，如 UnixEmulator.EACCES (权限不足)。
6. FileResult.fallback(): 表示回退，只有当其他所有处理器都无法处理时，才会由它来处理。

处理文件访问需要结合三方面的知识：Linux/Android 文件系统知识、对业务（风控/检测）的经验以及 Unidbg 的实现方法。

当需要返回一个真实存在的文件时，SimpleFileIO 是最佳选择。你需要将文件从真机上导出，并放置在你的项目路径下。
案例：补 boot_id 和 APK 文件
boot_id 常用于生成设备指纹，而 APK 文件访问常用于签名校验或资源读取，两者都必须处理。
boot_id 文件在开机时生成，在设备关机前不会改变内容。我们将这个文件从真机上 push 出来

当文件内容需要动态生成或随机化时（例如躲避基于设备指纹的风控），ByteArrayFileIO 非常有用。它直接接收一个字节数组作为文件内容。
案例：随机化 boot_id 和补 CPU 频率

注意：ByteArrayFileIO 不支持写入操作，如果样本需要写入文件，使用它会抛出 UnsupportedOperationException。

多数情况下，对于环境检测类的文件（如 su 文件），我们什么都不做，让它自然失败即可。但在某些特殊场景，需要手动返回失败。
案例：模拟无 Root 权限
有些 Root 检测会尝试访问 /data 目录的权限。由于 Unidbg 的虚拟文件系统会自动创建 /data 目录导致访问成功，我们需要手动拦截并返回“权限不足”。

/proc 目录下的文件访问频率极高，且容易出错，需要特殊对待。

maps 文件记录了进程的内存映射，是所有文件访问中处理起来最复杂也最重要的一项。原生库通过读取它来检查环境中是否存在 Frida、Xposed 等 Hook 框架的特征模块，或者获取自身 APK 文件的路径以进行签名校验。

处理 maps 的三种核心策略:
面对 maps 的复杂性，理论上的最佳方案是完全逆向分析其所有检测点，然后构造一份完美的 maps 文件。但在实践中，我们可以采用以下三种更高效的策略，并根据情况灵活选择。

}
```

首先，一个应用程序（例如一个 App 的 .so 文件）通常不会自己从零开始实现所有功能。它会依赖大量由操作系统或第三方提供的共享库（Shared Libraries），在 Android/Linux 中，这些库通常是 .so 文件（Shared Object）。
库函数就是这些共享库中提供的、可供应用程序调用的、预先编译好的函数。

当你的 so 文件调用 fopen 时，它实际上是在请求操作系统加载 libc.so，并执行其中的 fopen 函数代码。

案例 1：补 getProperty
__system_property_get 函数详解
在 Android 系统中，App 获取设备信息（如型号、品牌、系统版本等）最常用、最底层的手段之一就是调用 libc.so 库中的 __system_property_get 函数。理解并控制这个函数，是 Unidbg 环境模拟的重中之重。
1. 它是做什么的？
__system_property_get 是一个 C 函数，原型如下：

小结:
深入讲解了 Unidbg 实现此功能的核心机制——基于责任链模式的 IOResolver，并介绍了如何通过 SimpleFileIO（处理真实文件）、ByteArrayFileIO（动态生成内容）等 FileIO 对象来制定精细化的文件处理策略。课程重点剖析了 /proc/self/maps、/proc/self/status 等高频检测文件的处理技巧与策略，强调了按需构造、精准伪造的核心思想。
解释了原生库对 libc.so 等系统共享库函数的依赖，并指出直接 Hook 这些底层函数是伪造设备信息、绕过风控检测的关键。课程以 Android 系统中最常见的属性获取函数 __system_property_get 为例，详细演示了如何使用 Unidbg 自带的 SystemPropertyHook 或更底层的 Dobby 框架来拦截函数调用，从而实现对运行环境的深度伪造。

完整代码:

百度云
阿里云
哔哩哔哩
教程开源地址
PS: 解压密码都是 52 pj，阿里云由于不能分享压缩包，所以下载 exe 文件，双击自解压

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！