|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
选择合适时机 直接内存dump出data段和text段的解密数据然后写入原来的so即可简单脱壳 SOURCE_ELF_PATH = r"dump2_libbaiduprotect.so" TARGET_ELF_PATH = r"libbaiduprotect.so" PATCH_VA_START = 0xc6f4 # 源ELF中要读取数据的起始VA PATCH_VA_END = 0x88ce4 # 源ELF中要读取数据的结束VA (不包含) TARGET_VA_START = 0xc6f4 # 目标ELF中要写入数据的起始VA 我看样例中libbaiduprotect.so的.text 起始到 .data段结束 应该为 0xA880~0xE1BB8
请问你为什么从 0xc6f4~0x88ce4 呢，不是很明白，请指教下，谢谢 |
|
|
2025-11-01 02:29:58.320 9182-9182 HOOK pid-9182 I [BaiduProtect::0xa4390]flush cache: start:0xb23c0 end:0xba738 2025-11-01 02:29:58.380 9182-9182 HOOK pid-9182 I [BaiduProtect::0xad3e0]flush cache: start:0xc6f4 end:0x88ce4 这里说错了,是rodata段可以看到这里的日志,rodata段和text段并不是完全加密的,否则这个壳就不能自解密了 |
|
|
|
|
|
请问这个日志是怎么获得的呢？ “ 2025-11-01 02:29:58.320 9182-9182 HOOK pid-9182 I [BaiduProtect::0xa4390]flush cache: start:0xb23c0 end:0xba738 2025-11-01 02:29:58.380 9182-9182 HOOK pid-9182 I [BaiduProtect::0xad3e0]flush cache: start:0xc6f4 end:0x88ce4 ” |
|
|
|
|
|
|
|
|
|
|
|
|
