和爱豆更近一步——某爱豆聊天App反调试绕过-Android安全-看雪安全社区

# 和爱豆更近一步——某爱豆聊天App反调试绕过
# 1 引言
我分析的这款应用是韩国某大型娱乐公司旗下的爱豆聊天App。先选择想聊天的爱豆，然后付费就能和TA聊天了，可以和TA主动发消息。也能看到TA的日常动态。

这个应用的包名是：Y29tLmV2ZXJ5c2luZy5seXNu，版本：MS42LjEw。调试时为最新版。

本文有的地方参考了GPT，有错误的还请大家指正。
有了这个软件，你可以和下图的或其他爱豆聊天了。
![](upload/attach/202605/996488_SQNY4ZQVE4ZVCAK.webp)

# 2 开始调试、分析
使用的是Root过的Google Pixel 3 手机，手机存在的风险有以下几点：

* root
* magisk
* frida
* USB连接

## 2.1 观察行为
* 直接打开App: 提示root，然后应用退出了。如下图所示.

| ![](upload/attach/202605/996488_D8EE62JG6NEZS7H.webp)|![](upload/attach/202605/996488_KCG2MND5TZHBHJT.webp)|
| ----- | ----- |

* frida启动App: 如下图所示。

| ![](upload/attach/202605/996488_ARXYKUXZGKXYK42.webp)|  ![](upload/attach/202605/996488_K9BZ5PP6P3VQG8R.webp) |
| ----- | ----- |

可以看到这个应用至少检测到了我的两个风险，frida和root。

## 2.2 确定风控检测的组件
frida脚本如下：

```javascript
function hook_dlopen() {
    var mo = Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
		onEnter: function (args) 
		{
			var pathPtr = args[0];
			var realPath = ptr(pathPtr).readCString();
			LOG(`realPath: ${realPath}`);			
		}
        }
    );
}
```
输出结果如下：

```javascript
     ____
    / _  |   Frida 16.5.9 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://frida.re/docs/home/
   . . . .
   . . . .   Connected to Pixel 3 (id=89QX0DYW9)
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> realPath: /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/oat/arm64/base.odex
realPath: /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk!/lib/arm64-v8a/libdxxcuxd.so
```
这说明检测逻辑位于`libdxxcuxd.so` 。接下来就应该对这个so进行分析了。

先看看它有哪些初始化函数，现在的壳或者风险检测组件都喜欢把检测的逻辑放在这里，如下图所示。

![](upload/attach/202605/996488_3JSCZB3Z2YJ84E8.webp)

只有`DT_INIT_ARRAY` 类型的函数，没有`DT_INIT` 类型的。如果有`DT_INIT` 类型的，那么我们优先看`DT_INIT` 类型的，因为它的执行时间早于`DT_INIT_ARRAY` 类型的函数。且两者都优先于`JNI_OnLoad`执行。如下图所示。
 ![图片描述](upload/attach/202605/996488_VX6QTKTFYTASCKC.webp)

有两个初始化函数，为了方便阅读，我已经重命名了。

先说说调试的结论，要想用frida绕过这个风险检测，直接nop一个函数是不行的，因为会各种各样奇怪的崩溃问题。所以个人觉得更好的做法是修改跳转，让程序检测不出来即可。

### 2.2.1 init\_arr1
这个函数如下图所示。
 ![图片描述](upload/attach/202605/996488_PY2WA3U48Y7574N.webp)

#### (1) 检测`_progname`
* `_progname` ：当前进程程序名（program name）的全局变量。由`libc.so` 导出。

GPT回答是：

> Android App 进程里：
> /app\_process64 或者：com.xxx.xxx 取决于：
> 是否被 zygote 派生
> 有没有改 argv\[0\]
> 有没有调用 setproctitle
> 是否做了反调试/伪装
> 很多壳、加固、反作弊都会检查它。

#### (2) 检测`environ`
我的手机的值如下：

```bash
PATH=/sbin:/system/sbin:/system/bin:/system/xbin:/odm/bin:/vendor/bin:/vendor/xbin
DOWNLOAD_CACHE=/data/cache
ANDROID_BOOTLOGO=1
ANDROID_ROOT=/system
ANDROID_ASSETS=/system/app
ANDROID_DATA=/data
ANDROID_STORAGE=/storage
EXTERNAL_STORAGE=/sdcard
ASEC_MOUNTPOINT=/mnt/asec
BOOTCLASSPATH=/system/framework/core-oj.jar:/system/framework/core-libart.jar:/system/framework/conscrypt.jar:/system/framework/okhttp.jar:/system/framework/bouncycastle.jar:/system/framework/apache-xml.jar:/system/framework/ext.jar:/system/framework/framework.jar:/system/framework/telephony-common.jar:/system/framework/voip-common.jar:/system/framework/ims-common.jar:/system/framework/android.hidl.base-V1.0-java.jar:/system/framework/android.hidl.manager-V1.0-java.jar:/system/framework/framework-oahl-backward-compatibility.jar:/system/framework/android.test.base.jar
SYSTEMSERVERCLASSPATH=/system/framework/services.jar:/system/framework/ethernet-service.jar:/system/framework/wifi-service.jar:/system/framework/com.android.location.provider.jar
ANDROID_SOCKET_zygote=12
null
```
看到字符串`.sandbox` 和`com.lbe.parallel` ，说明它在检测沙箱、双开环境。

很多虚拟环境，如VirtualApp，双开助手，平行空间，VirtualXposed。会注入：`SOMETHING=.sandbox` 。或者包含路径`/data/user/0/com.xxx.sandbox/` 。

`com.lbe.parallel` 是平行空间（Parallel Space），著名的双开框架。

检测`environ` 是因为沙箱特别喜欢修改环境变量，例如：

```bash
LD_PRELOAD
LD_LIBRARY_PATH
PATH
CLASSPATH
TMPDIR
```
或者添加：

```bash
VIRTUAL_ENV
SANDBOX
```
因此`environ` 是反虚拟化的重要检测点。

#### (3) sub\_29E40: 内存完整性检查
`sub_294E0`中调用了`my_crc32` 来检查内存，偏移是`sub_10B44` 。
![图片描述](upload/attach/202605/996488_9823B5GWNRPTEDD.webp)
 ![图片描述](upload/attach/202605/996488_SQ3QXTTQQKWGXV7.webp)

下图是`sub_294E0` 的伪代码，含注释。
 ![图片描述](upload/attach/202605/996488_7WW595PJBCJMJKR.webp)

可以看到从A4078处开始，检查10CA8h个字节的内存crc32值。`sub_294E0` 是被`init_arr1` 调用的，首次调用时记下crc32到全局变量`dword_A4088` ，之后被调用时对比这段内存是否和最初的保持一致，如果不一致，就说明内存被修改了并调用`Kill_15DF0` 以创建线程的形式退出程序。

`LOG_7E2A8` 是日志函数，它会打印出风险字符串，也是弹窗显示的文字。

本小节的 `sub_294E0` 在别处被引用多次，说明有多个地方做了内存完整性检查，因此我们要注意。

#### (4) sub\_16A48: 检查blackdex
`sub_164A8` 检查了`_progname` 是否含`blackdex` 字符串，blackdex是一款脱壳的工具，自然也被组件视为风险因素了。
 ![图片描述](upload/attach/202605/996488_47YPWK9H8ST89YQ.webp)

#### (5) sub\_3DDB4：Frida检测、其它综合风险检测和风险评分
这个函数位于`sub_3DDB4`，且我使用的frida版本是16.5.9的。

有计算\_progname的crc32，和安装异常处理的sigHandler。
 ![图片描述](upload/attach/202605/996488_22QJJKEVVR2AX2J.webp)

然后就是经典的检测frida环节。调用了`scandir` 搜索`/proc/%d/task` ，%d是进程PID。看看它有哪些线程？

再读取`/proc/%s/comm` ，看看有没有和frida相关的字符串，有就说明App被frida“入侵”了。
 ![图片描述](upload/attach/202605/996488_VRY6VATYWRR5FCJ.webp)

这段代码里有好几个flag，可以说是用于做风险分数评估的。根据这些分数风控组件来决定要不要继续执行。

为什么要看`/proc/%d/task` 和`/proc/%s/comm` 呢？

先用frida注入一个自己写的App试试看。列举出有哪些线程。

![图片描述](upload/attach/202605/996488_MVRS2EP9CPQ8QBT.webp)

然后逐个线程的看。
 ![图片描述](upload/attach/202605/996488_XQ82EWYBBRFJEKT.webp)

所以说这是`libdxxcuxd.so` 在这里检查frida的原因。

不要忘了，本节的`sub_3DDB4` 还检查了其它的风险，调用了函数`RiskDetect_1D25C` ，如下图所示。

![图片描述](upload/attach/202605/996488_PQBR62AK6EF2T75.webp)

检测的字符串有以下：(/proc/%d/maps中)

```Plain Text
/data/local/tmp
/data/local/
.frida.server
/frida-agent
/frida
frida
com.saurik.substrate
com.xmodgame
XposedBridge
libxposed_
/data/dalx
jsonet.jshook
cn.mc.sq/files
cn.mm.gk/files
gamekiller
gamespeed
gamecih
gamehack
com.cnn.g
Nyki.DaX
libdaemon.so
libmhx.so
tools/files/binarm
lib-bulldog-daemon
```
返回0表示没有风险，-1表示有风险。

### 2.2.2 init\_arr2
这个函数代码少，暂时不是绕过反调试的关键。
![图片描述](upload/attach/202605/996488_S4CEDV48RBSA4FT.webp)
`sub_1017C` 如下图所示。
![图片描述](upload/attach/202605/996488_E42GVHYD9CTYYXX.webp)

`dlopen_46914`是自定义的dlopen，v19是输出变量，存放so文件各区段的关键信息。

`dlsym_10138` 和`dlsym_4B3E8` 都是寻找符号的函数，就是找到对应函数名的地址。其中`dlsym_10138` 内部调用了`dlsym_4B3E8` 。

![图片描述](upload/attach/202605/996488_TB5ABC2CQY3FGQW.webp)

![图片描述](upload/attach/202605/996488_53RE47XRJV896TK.webp)

![图片描述](upload/attach/202605/996488_9M6ECQ9D9BMGHQE.webp)

寻找/linker64里的关键函数，然后放到全局变量里。

### 2.2.3 绕过frida检测
先寻找切入点。因为风控组件的代码启动的比较早，所以我习惯在linker即将`.init_proc` 时注入frida的脚本。把`linker64` 拷贝到电脑上。

```Plain Text
adb pull /system/bin/linker64 google_pixel3_linker64
```
用IDA打开`google_pixel3_linker64` ，即拷贝出来的`linker64` 。

搜索关键字`call_constructors` ，得到这个函数和偏移是`2C274` 。

![图片描述](upload/attach/202605/996488_3UZ7EBN6HFU4NEF.webp)

frida脚本如下：

```javascript
const MSA_SO = "libdxxcuxd.so";
function hookInitProcCaller(){
// 
   var mo = Interceptor.attach(Process.findModuleByName('linker64').base.add(0x2C274),{
       onEnter(args){
		var mod = Process.findModuleByName(MSA_SO);
		if(mod != null){	
			// 测试打印
			LOG('Faster than anti-debug codes in `libdxxcuxd.so`');
			this.x0 = this.context.x0;
			this.realbase = mod.base;
			LOG(`${mod.name}! ${mod.base}`);

mo.detach();
		}
		
       },
       onLeave(ret){
		   //mo.detach();
	   }
    }
	)
}
// frida -U -f com.everysing.lysn -l test.js

function LOG(sth){
    console.log(sth);
}
setImmediate(hookInitProcCaller);
```
然后就能打印出以下内容:

```Plain Text
     ____
    / _  |   Frida 16.5.9 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://frida.re/docs/home/
   . . . .
   . . . .   Connected to Pixel 3 (id=89QX0DYW9)
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x7a0c48f000
Process terminated
[Pixel 3::com.everysing.lysn ]->

Thank you for using Frida!
```
这说明我们的代码是注入的比较早的。我们得先绕过frida检测，才能绕过其它的风险检测。

#### (1) 修改`RiskDetect_1D25C` 返回值
该函数被`sub_3DDB4` 调用。这个函数只是检测了许许多多的风险字符串，内部调用的只是字符串拷贝或者寻找子串的函数，没有额外的影响线程运行的函数。因此把它的返回值改为0即可。

这个函数头部的指令可以改为如下：

```
MOV X0, #0
RET
```
对应的frida脚本如下：

```javascript
function returnZero(addr){ // addr表示要修改的指令地址
    Memory.protect(addr, 0x8, 'rwx');      // 设置权限
    var writer = new Arm64Writer(addr);
    writer.putLdrRegU64('x0', 0) // mov x0, #0
	writer.putRet(); // ret
    writer.flush();
    writer.dispose();
}
```
调用：

```javascript
// 令RiskDetect_1D25C返回0
returnZero(ptr(this.realbase).add(0x1D25C));
```
#### (2) 不要scandir和强制跳转
 ![图片描述](upload/attach/202605/996488_3VZK38BDTXVZ58F.webp)

我们不能粗暴地把`scandir` 改成非法的，比如`-1` ，这样按照执行流程的话会让App退出的。
 ![图片描述](upload/attach/202605/996488_WV99TGECVA9TAA2.webp)

此外，还有一个全局变量`flag2_A5D9C` 的值要是`0x20` 。即绿色部分的指令应该被执行。再来看看`init_arr1` 处的代码，如下图所示。
 ![图片描述](upload/attach/202605/996488_YQR7GSKURQF9MUF.webp)

如果`flag2_A5D9C & 0x20` 为0，则App会退出。所以此时的想法是让程序在执行`scandir` 时直接跳转至`loc_3E928` 处，即不让风控组件扫描目录。

![图片描述](upload/attach/202605/996488_EJTZMU68MQQDKXU.webp)
 ![图片描述](upload/attach/202605/996488_ZQX8EFKZPD2B9S7.webp)

这样就能让`flag2_A5D9C & 0x20` **不为0了**，也就不会调用`kill_15FD0` 函数了。

经过调试`flag2_A5D9C` 可能会被其它的线程或函数修改成`flag2_A5D9C & 0x20` 为0的情况，为了保险起见，我们还要看哪里调用了`sub_3DDB4` 。

有两处调用了`sub_3DDB4` ，如下图所示。
 ![图片描述](upload/attach/202605/996488_XJR75NR6QQ5WQPA.webp)

* init\_arr1：
 ![图片描述](upload/attach/202605/996488_MPTWXE48UUGYTBY.webp)

把条件跳转`TBNZ   W1, #5, loc_100E8` ，改成`B loc_100E8` 。

* JNI\_OnLoad + C30处：

![图片描述](upload/attach/202605/996488_WUFZJK9DGU8UGP5.webp)

把`TBNZ   W1, #5, loc_8419C` 改成`b loc_8419C` 。

frida实现强制跳转的代码如下：

```javascript
function forceJump(addr, jmpAddr){ // addr：要修改的指令地址，jmpAddr：要跳转到哪里。
	//putBImm
	// 修改内存访问权限为RWX，不然写不进去。
    Memory.protect(addr, 4, 'rwx');      
    var writer = new Arm64Writer(addr);
    writer.putBImm(jmpAddr);
    writer.flush();
    writer.dispose();
}
```
调用：

```javascript
// 强制跳转
forceJump(ptr(this.realbase).add(0x100d0), ptr(this.realbase).add(0x100e8)); // init_arr1: flag2_A5D9C
forceJump(ptr(this.realbase).add(0x84184), ptr(this.realbase).add(0x8419C)); // JNI_OnLoad+3C0h: flag2_A5D9C
forceJump(ptr(this.realbase).add(0x3E154), ptr(this.realbase).add(0x3E928)); // sub_3DDB4中不要让其scandir
```
### 2.2.4 (存疑)修复访问错误
写好的frida脚本此时如下：

```javascript
const MSA_SO = "libdxxcuxd.so";
function hookInitProcCaller(){
   var mo = Interceptor.attach(Process.findModuleByName('linker64').base.add(0x2C274),{
       onEnter(args){
		var mod = Process.findModuleByName(MSA_SO);
		if(mod != null){	
			// 测试打印
			LOG('Faster than anti-debug codes in `libdxxcuxd.so`');
			this.x0 = this.context.x0;
			this.realbase = mod.base;
			LOG(`${mod.name}! ${mod.base}`);  
			// 1. 绕过frida检测
			// 令RiskDetect_1D25C返回0
			returnZero(ptr(this.realbase).add(0x1D25C));
			// 强制跳转
			forceJump(ptr(this.realbase).add(0x100d0), ptr(this.realbase).add(0x100e8)); // init_arr1: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x84184), ptr(this.realbase).add(0x8419C)); // JNI_OnLoad+3C0h: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x3E154), ptr(this.realbase).add(0x3E928)); // sub_3DDB4中不要让其scandir
			mo.detach();
		}
		
       },
       onLeave(ret){
		   //mo.detach();
	   }
    }
	)
}

function LOG(sth){
    console.log(sth);
}

function returnZero(addr){ // addr表示要修改的指令地址
    Memory.protect(addr, 0x8, 'rwx');      // 设置权限
    var writer = new Arm64Writer(addr);
    writer.putLdrRegU64('x0', 0) // mov x0, #0
	writer.putRet(); // ret
    writer.flush();
    writer.dispose();
}

function forceJump(addr, jmpAddr){ // addr：要修改的指令地址，jmpAddr：要跳转到哪里。
	//putBImm
	// 修改内存访问权限为RWX，不然写不进去。
    Memory.protect(addr, 4, 'rwx');      
    var writer = new Arm64Writer(addr);
    writer.putBImm(jmpAddr);
    writer.flush();
    writer.dispose();
}
// frida -U -f com.everysing.lysn -l test.js
setImmediate(hookInitProcCaller);
```
但是有报错：

```javascript
     ____
    / _  |   Frida 16.5.9 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://frida.re/docs/home/
   . . . .
   . . . .   Connected to Pixel 3 (id=89QX0DYW9)
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x7a0c44a000
Process crashed: Bad access due to protection failure

***
*** *** *** *** *** *** *** *** *** *** *** *** *** *** *** ***
Build fingerprint: 'Android/aosp_blueline/blueline:9/PQ3A.190801.002/cy11091557:user/release-keys'
Revision: 'MP1.0'
ABI: 'arm64'
pid: 29593, tid: 29593, name: .everysing.lysn  >>> com.everysing.lysn <<<
signal 11 (SIGSEGV), code 2 (SEGV_ACCERR), fault addr 0x7a4299fcbf
    x0  0000007a4299fcbf  x1  0000007fcd37a120  x2  0000000000000002  x3  0000000000000000
    x4  0000000000000000  x5  0000000000000100  x6  0000007a0c4f0320  x7  0000000000000025
    x8  0000007a0c4f0320  x9  0000000000000e6e  x10 0000000000000e7a  x11 0000007a3411ecdc
    x12 0000007a3411ed30  x13 0000007a3411ed84  x14 0000007a3411ede4  x15 0000000000000000
    x16 0000007a0c4ede90  x17 0000007ab6c20cb0  x18 0000000000000008  x19 0000007fcd37a340
    x20 0000007a0c4ee000  x21 0000007a0c4ee120  x22 0000000000000000  x23 000000001b57b2c1
    x24 000000001b57b2bf  x25 0000000000000000  x26 0000007fcd37a338  x27 0000007a0c4f0000
    x28 0000007a342e0460  x29 0000007fcd383478
    sp  0000007fcd379f40  lr  0000007a0c4ceba4  pc  0000007a0c45a918

backtrace:
    #00 pc 00000000004f4918  /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk (offset 0x4f4000)
***
[Pixel 3::com.everysing.lysn ]->

Thank you for using Frida!
```
重点是：`signal 11 (SIGSEGV), code 2 (SEGV_ACCERR), fault addr 0x7a4299fcbf` 和`pc  0000007a0c45a918` 这有助于我们锁定报错的位置。

`7a0c45a918 - 7a0c44a000` = 10918h，说明报错的位置在so的10918h处。`SEGV_ACCERR` 的意思是访问的内存地址是存在的，但是因为权限问题报错。例如某段内存是只读，但这条指令尝试写入，就会出现这种错误。

10918h如下图所示。
 ![图片描述](upload/attach/202605/996488_N6S3N7RHD8SDGFF.webp)

这是一个字符串拷贝的函数，STRB在存储字符到内存时有权限问题。被调用的地方看`lr  0000007a0c4ceba4` ，偏移值是`84BA4` 
 ![图片描述](upload/attach/202605/996488_2CDDY6AQJQPAE5H.webp)

个人不理解为啥这里会报错？v66，也就是x24的值，如果是风险分数，分数越高，是不是就访问到了权限为只读的内存了呢？这里有点奇怪……加上这个函数代码量太大了，实在分析不下去了哈哈。有懂的朋友可以帮忙看下，谢谢啦。
![图片描述](upload/attach/202605/996488_4BGSUHS5ZWUWAVH.webp)

无论如何，先试试再说吧。把出错的内存权限改成rw-。

```javascript
function hookBug(addr){
	Interceptor.attach(addr, {
		onEnter(args){
			LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
			Memory.protect(ptr(args[0]), 0x1000 , 'rw-');
			LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
		},
		onLeave(ret){}
	});
```
调用：

```javascript
hookBug(ptr(this.realbase).add(0x84BA0))
```
部分输出如下：

```javascript
   . . . .   Connected to Pixel 3 (id=89QX0DYW9)
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x7a0c493000
Protect: r--, addr: 0x7a42999cbf
Protect: rw-, addr: 0x7a42999cbf
[Pixel 3::com.everysing.lysn ]-> Process terminated
[Pixel 3::com.everysing.lysn ]->
```
如此看来确实是因为权限不够导致的错误，至少现在没有再报访问错误了。

### 2.2.5 绕过root检测
root检测一般是检查以下路径的文件是否存在：

```Plain Text
/system/bin/su
/system/xbin/su
/sbin/su
/data/local/su
......
```
幸运的是，这个App的风控组件没有用到什么`SVC #0` 去打开文件，不然真不好用frida去hook了。

写出的`hookFopen`脚本如下:

```javascript
function hookFopen(addr){
	// Module.findExportByName(null,"openat")
		Interceptor.attach(addr, {
		onEnter(args){
			if(ptr(args[0]).readCString().indexOf('/su') >= 0){
				LOG(`path: ${ptr(args[0]).readCString()}`)
				LOG(`x30: ${this.context.lr}`)
				//console.log('Call stack:\n' + Thread.backtrace(null, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n'));
				LOG("------------")
				LOG("")
			}
		},
		onLeave(ret){}
	}
)
}
```
调用：

```javascript
hookFopen(ptr(this.realbase).add(0x11F2C));
```
这里不建议用`console.log('Call stack:\n' + Thread.backtrace(null, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n'));` 去打印日志，因为打印出来的调用堆栈是错的，在这里准确的方法是打印出`x30` 即`lr` 寄存器的值。并过滤出参数含`/su` 的。

对了，这里再提一下，组件提前把函数地址写到了全局变量，直接hook `11F2C` 效果会好些，能少跟踪一个层级。
 ![图片描述](upload/attach/202605/996488_6TYARFYJMKJJM7D.webp)

函数`Fill_Global_FuncTable_18FA4` 获取`libc.so` 的很多函数地址写入全局变量里。
 ![图片描述](upload/attach/202605/996488_K4EMAP4U9MUZRVU.webp)

输出如下：

```
     ____
    / _  |   Frida 16.5.9 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://frida.re/docs/home/
   . . . .
   . . . .   Connected to Pixel 3 (id=89QX0DYW9)
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x7816795000
path: /system/xbin/su
x30: 0x78167a8138   
------------

path: /system/bin/su
x30: 0x78167a8138   
------------

path: /sbin/su      
x30: 0x78167a8138   
------------

path: /cache/su
x30: 0x78167a8138
------------

path: /data/local/bin/su
x30: 0x78167a8138
------------

path: /data/local/su
x30: 0x78167a8138
------------

path: /data/local/xbin/su
x30: 0x78167a8138
------------

path: /data/su
x30: 0x78167a8138
------------

path: /dev/su
x30: 0x78167a8138
------------

path: /vendor/xbin/su
x30: 0x78167a8138
------------

path: /vendor/bin/su
x30: 0x78167a8138
------------

path: /odm/bin/su
x30: 0x78167a8138
------------

path: /system/xbin/su
x30: 0x78167a8138
------------

path: /system/bin/su
x30: 0x78167a8138
------------

path: /system/sbin/su
x30: 0x78167a8138
------------

path: /sbin/su
x30: 0x78167a8138
------------

path: /system/xbin/bstk/su
x30: 0x78167a8138
------------

Protect: r--, addr: 0x784cfb71ff
Protect: rw-, addr: 0x784cfb71ff
```
还有一段错误，提示找不到so文件了，暂且不管它，我们绕过root检测再说。

```
Process crashed: java.lang.UnsatisfiedLinkError: dalvik.system.PathClassLoader[DexPathList[[zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/base.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.xxhdpi.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.zh.apk", zip file "/data/user/0/com.everysing.lysn/files/.b6cbeb45/305a9974/ֱخ׬زڮ.jar"],nativeLibraryDirectories=[/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5
CTyQ==/lib/arm64, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/base.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.xxhdpi.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.zh.apk!/lib/arm64-v8a, /system/lib64]]] couldn't find "lib.so"

***
FATAL EXCEPTION: main
Process: com.everysing.lysn, PID: 16781
java.lang.UnsatisfiedLinkError: dalvik.system.PathClassLoader[DexPathList[[zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/base.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.xxhdpi.apk", zip file "/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.zh.apk", zip file "/data/user/0/com.everysing.lysn/files/.b6cbeb45/305a9974/ֱخ׬زڮ.jar"],nativeLibraryDirectories=[/data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/lib/arm64,
 /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/base.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.arm64_v8a.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.xxhdpi.apk!/lib/arm64-v8a, /data/app/com.everysing.lysn-c9-EgfAc-xFa2cjUq5CTyQ==/split_config.zh.apk!/lib/arm64-v8a, /system/lib64]]] couldn't find 
"lib.so"
        at java.lang.Runtime.loadLibrary0(Runtime.java:1012)
        at java.lang.System.loadLibrary(System.java:1669)
        at com.liapp.y.۬ڳֳ֭د(رٳٲ֮ت.java:288)
        at com.briniclemobile.ittalk.organization.liborganization.<clinit>(ܬݭܭرڭ.java:79)
        at com.briniclemobile.ittalk.organization.liborganization.getUserPassword(Native Method)
        at com.everysing.lysn.data.local.user.UserDatabase$Companion.buildDatabase(֭شִܭީ.java:1589)
        at com.everysing.lysn.data.local.user.UserDatabase$Companion.getInstance(֭شִܭީ.java:1519)
        at com.everysing.lysn.data.local.di.DatabaseDaoModule.provideUserDao(ݮ۱۱ׯ٫.java:269)
        at com.everysing.lysn.data.local.di.DatabaseDaoModule_ProvideUserDaoFactory.provideUserDao(شڳڴ׳ٯ.java:479)
        at com.everysing.lysn.DaggerMyApplication_HiltComponents_SingletonC$SingletonCImpl$SwitchingProvider.get(ݴۯ׭ڴܰ.java:34139)
        at dagger.internal.DoubleCheck.getSynchronized(ٳ٭ױ֭ة.java:549)
        at dagger.internal.DoubleCheck.get(ٳ٭ױ֭ة.java:459)
        at com.everysing.lysn.DaggerMyApplication_HiltComponents_SingletonC$SingletonCImpl.userLocalRepositoryImpl(ݴۯ׭ڴܰ.java:32899)
        at com.everysing.lysn.DaggerMyApplication_HiltComponents_SingletonC$SingletonCImpl$SwitchingProvider.get(ݴۯ׭ڴܰ.java:34079)
        at dagger.internal.DoubleCheck.getSynchronized(ٳ٭ױ֭ة.java:549)
        at dagger.internal.DoubleCheck.get(ٳ٭ױ֭ة.java:459)
        at com.everysing.lysn.DaggerMyApplication_HiltComponents_SingletonC$SingletonCImpl.getUserRepository(ݴۯ׭ڴܰ.java:33709)
        at com.everysing.lysn.data.UserRepository$Companion.getInstance(رڮۯٲۮ.java:1599)
        at com.everysing.lysn.MyApplication.onCreate(ݭٯۮݮߪ.java:669)
        at com.liapp.x.onCreate(ܳׯڲֳد.java:419)
        at android.app.Instrumentation.callApplicationOnCreate(Instrumentation.java:1154)
        at android.app.ActivityThread.handleBindApplication(ActivityThread.java:5920)
        at android.app.ActivityThread.access$1100(ActivityThread.java:200)
        at android.app.ActivityThread$H.handleMessage(ActivityThread.java:1656)
        at android.os.Handler.dispatchMessage(Handler.java:106)
        at android.os.Looper.loop(Looper.java:193)
        at android.app.ActivityThread.main(ActivityThread.java:6718)
        at java.lang.reflect.Method.invoke(Native Method)
        at com.android.internal.os.RuntimeInit$MethodAndArgsCaller.run(RuntimeInit.java:493)
        at com.android.internal.os.ZygoteInit.main(ZygoteInit.java:858)
***
```
因为我们的错误是`/sbin/su` 存在，所以看到这里。

```Plain Text
path: /sbin/su      
x30: 0x78167a8138   
```
0x78167a8138 - libdxxcuxd.so! 0x7816795000 = 0x13138
 ![图片描述](upload/attach/202605/996488_YQCP2DDHQJXVSK2.webp)

经过多次调试，得到以下调用的逻辑链条。
 ![图片描述](upload/attach/202605/996488_C2EM2S66ZYUTSMK.webp)

下两张图分别是`sub_1C058` 和`sub_3FEA0` 的截图。
 ![图片描述](upload/attach/202605/996488_DTT5G6CS3GVWFT2.webp)
 ![图片描述](upload/attach/202605/996488_WDAHNEKUT94SBE4.webp)

那么保险的做法是：

* 把`sub_1C058` 和`sub_3FEA0`头部指令替换成`mov x0, #0; RET`

此时完整的代码如下：

```javascript
const MSA_SO = "libdxxcuxd.so";
function hookInitProcCaller(){
   var mo = Interceptor.attach(Process.findModuleByName('linker64').base.add(0x2C274),{
       onEnter(args){
		var mod = Process.findModuleByName(MSA_SO);
		if(mod != null){	
			// 测试打印
			LOG('Faster than anti-debug codes in `libdxxcuxd.so`');
			this.x0 = this.context.x0;
			this.realbase = mod.base;
			LOG(`${mod.name}! ${mod.base}`);  
			// 1. 绕过frida检测
			// 令RiskDetect_1D25C返回0
			returnZero(ptr(this.realbase).add(0x1D25C));
			// 强制跳转
			forceJump(ptr(this.realbase).add(0x100d0), ptr(this.realbase).add(0x100e8)); // init_arr1: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x84184), ptr(this.realbase).add(0x8419C)); // JNI_OnLoad+3C0h: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x3E154), ptr(this.realbase).add(0x3E928)); // sub_3DDB4中不要让其scandir
			// 解决内存访问错误的问题
			hookBug(ptr(this.realbase).add(0x84BA0))
			// 测试
			hookFopen(ptr(this.realbase).add(0x11F2C));
			// 2.绕过root
			returnZero(ptr(this.realbase).add(0x1C058)); // sub_1C058，写出/sbin/su字符串的
			returnZero(ptr(this.realbase).add(0x3FEA0)); // sub_3FEA0，检测Root的。
			mo.detach();
		}
		
       },
       onLeave(ret){
		   //mo.detach();
	   }
    }
	)
}

function LOG(sth){
    console.log(sth);
}

function hookBug(addr){
	Interceptor.attach(addr, {
		onEnter(args){
			LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
			Memory.protect(ptr(args[0]), 0x1000 , 'rw-');
			LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
		},
		onLeave(ret){}
	});
}

function hookFopen(addr){
	// Module.findExportByName(null,"openat")
		Interceptor.attach(addr, {
		onEnter(args){
			if(ptr(args[0]).readCString().indexOf('/su') >= 0){
				LOG(`path: ${ptr(args[0]).readCString()}`)
				LOG(`x30: ${this.context.lr}`)
				//console.log('Call stack:\n' + Thread.backtrace(null, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n'));
				LOG("------------")
				LOG("")
			}
		},
		onLeave(ret){}
	}
)
}

```
App没有提示frida或root。但是它重启了，并再次提示root。这属于正常现象，因为重启之后我们注入的frida代码是不存在的。

也许程序调用了`kill` 相关的函数促使进程退出的。

### 2.2.6 其它风险
后来经过分析发现`Kill_15FD0` 被引用次数也比较多。
 ![图片描述](upload/attach/202605/996488_8D7YHV8GHTUBGSB.webp)

使用frida跟踪它的参数，代码：

```javascript

}
	}
	)
}
```
输出：

```javascript
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x781674f000
Killer.
Protect: r--, addr: 0x784cfad1ff
Protect: rw-, addr: 0x784cfad1ff
Kill called.
x0: 0x7, x30: 0x78167d83dc
Call stack:
0x781ba8a70c
0x781ba8aac0
0x781ba83a88
0x781ba8b564
0x781ba8cdcc
0x781ba834ec
0x781ba9e68c
0x781ba8a8f0
0x781ba8a89c
0x781ba8ab8c
0x781ba8b4e4
0x781ba8b4e8
0x781ba86e58
0x781ba8833c
0x781ba88348
0x781ba87ef0
```
#### (1) so\_overflow
上级调用位置在`0x78167d83dc` ,即偏移`893DC` 。如下图所示。
 ![图片描述](upload/attach/202605/996488_A3U8YKV9F6WV6FA.webp)

当`(flag1_A5C78 & 0x2000000) != 0 ` 时App便退出了。我们要找到令`(flag1_A5C78 & 0x2000000) != 0 ` 的代码。这里只需要找它的交叉引用就行了。如下图所示，位于`sub_2AC2C` 。
 ![图片描述](upload/attach/202605/996488_TT7N24CZADSBQUS.webp)

![图片描述](upload/attach/202605/996488_4EJ2WYFYC88Y6XG.webp)

强制跳转的代码是:

```javascript
forceJump(ptr(this.realbase).add(0x2AE14), ptr(this.realbase).add(0x2AE3C)); // so_overflow
```
上图的全局变量`n18` 决定了`flag1_A5C78` 是否会被或0x2000000。好像是内存多次出现`split_config.*.apk` 就报这个错……

#### (2) com.everysing.lysn.apk
经过之前的代码风险绕过，现在弹窗变成了下图的样子。
 ![图片描述](upload/attach/202605/996488_WR3SJUNDQW97DX5.webp)
Hook `Kill_15FD0` 还是略显费力了，我们选择Hook日志函数。既能锁定出错的位置，还能知道当前有哪些风险没有绕过去。

代码：

```javascript
function hook_7E2A8(addr){
	Interceptor.attach(addr, {
	onEnter(args){
		LOG(`x0 flag: ${this.context.x0} - x30: ${this.context.lr} - Risk: ${ptr(args[2]).readCString()}`);
	},
	onLeave(ret){
		
	}
});
}
```
调用：

```javascript
hook_7E2A8(ptr(this.realbase).add(0x7E2A8)) // Log函数
```
输出：

```javascript
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x781674a000
x0 flag: 0x429 - x30: 0x7816793bf8 - Risk: com.everysing.lysn.apk
x0 flag: 0x443 - x30: 0x78167730e0 - Risk: USB Connected
x0 flag: 0x1b63 - x30: 0x7816781ed0 - Risk: com.topjohnwu.magisk
```
先看`x0 flag: 0x429 - x30: 0x7816793bf8 - Risk: com.everysing.lysn.apk` .上级调用偏移是`49bf8` 。v157 = 0x429。
 ![图片描述](upload/attach/202605/996488_NNGWRE2352KEBF8.webp)

所以我们要寻找`dword_A42A0 |= 0x10` 的地方。如下图所示。
 ![图片描述](upload/attach/202605/996488_C24EKYZMG4UPHSU.webp)

这个`MI MAX 3` 看着像是手机的品牌，不过我用的是pixel手机。
 ![图片描述](upload/attach/202605/996488_WTEY7V698TE5HXR.webp)

代码：

```javascript
forceJump(ptr(this.realbase).add(0x2ADF8), ptr(this.realbase).add(0x2Ae08)) // // API hooking com.everysing.lysn.apk
```
不过这里我也不理解，为啥会看手机品牌？还会出现`com.everysing.lysn.apk` 的字样？？

#### (3) Magisk
 ![图片描述](upload/attach/202605/996488_6MN8HQXC9AAEXXA.webp)

现在剩余两个风险：

```javascript
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x781678b000
x0 flag: 0x443 - x30: 0x78167b40e0 - Risk: USB Connected
x0 flag: 0x1b63 - x30: 0x78167c2ed0 - Risk: com.topjohnwu.magisk
```
我们来看Magisk检测怎么绕过去。

观察程序执行流：
 ![图片描述](upload/attach/202605/996488_9KBK68P84KTVKRT.webp)
 ![图片描述](upload/attach/202605/996488_BQ8F396SRQRUHVN.webp)

37B10处需要跳转至37ed0。代码：

```javascript
forceJump(ptr(this.realbase).add(0x37B10), ptr(this.realbase).add(0x37ED0)) // Magisk
```
#### (4) USB Connected
```javascript
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x781678b000
x0 flag: 0x443 - x30: 0x78167b40e0 - Risk: USB Connected
```
上级调用在`290E0` ，如下图所示。
 ![图片描述](upload/attach/202605/996488_5XC8G9EX4PXZZNA.webp)

这里使`flag1_A5C78 &2 != 0` 。但我没仔细看，初步猜测是调用Java方法判断是否USB连接。
 ![图片描述](upload/attach/202605/996488_F9BVEYVHYQNDDAZ.webp)

绕过的代码：

```javascript
forceJump(ptr(this.realbase).add(0x28EA0), ptr(this.realbase).add(0x28f34)) // usb connected
```
#### (5) Multi-hooking
```javascript
Spawned `com.everysing.lysn`. Resuming main thread!
[Pixel 3::com.everysing.lysn ]-> Faster than anti-debug codes in `libdxxcuxd.so`
libdxxcuxd.so! 0x7816781000
x0 flag: 0x441 - x30: 0x78167aaeb4 - Risk: Multi-hooking
```
由于前面修改的地方比较多，此处又报错Multi-hooking。上级调用在`29Eb4` 。
 ![图片描述](upload/attach/202605/996488_583DMXDVMZKX3U9.webp)
 ![图片描述](upload/attach/202605/996488_8WNVUDKZDSGUUHJ.webp)

代码：

```javascript
forceJump(ptr(this.realbase).add(0x29E10), ptr(this.realbase).add(0x29ecc)) // Multi-hooking
```

---
自此，已经绕过我的手机存在的风险了，如下图所示。能保持这个界面输入。也没显示弹窗。

| ![图片描述](upload/attach/202605/996488_FMDMENNT6C5CTFV.webp)| ![图片描述](upload/attach/202605/996488_E62UTSTQJ9K8NVH.webp)|
| ----- | ----- |

# 3 结论和其它注意事项
* 字符串加密：不是按照固定的模式，有三种分别是凯撒加密，单字节异或，单字节递增1异或。
* 风险检测绕过：强烈不建议直接把某个函数的头部改成RET，这个组件检测点比较多。这样做的话容易让App卡死或因为一些数据导致后续的dex不能正常解密，App也会闪退。
* 其它风险检测：我的手机没装Xposed, BlackDex等插件，分析过程也没有用IDA去调试，所以有些检测点没有绕过。这时建议Hook `LOG_7E2A8` ，看看是否有输出。有输出就分析上级调用，并使用frida脚本绕过之。
* 这个组件代码量比较大，没有分析完善，大家可以继续分析、补充。
* 手机投屏会偶有以下风险报出：（overlay有“覆盖、涂层”的意思， 不知道是不是指这个。）

```javascript
x0 flag: 0x233d - x30: 0x781681f190 - Risk: OVERLAY_1
```
出现这个风险OVERLAY\_1，App并没有退出。

# 4 完整代码
```javascript
const MSA_SO = "libdxxcuxd.so";
function hookInitProcCaller(){
   var mo = Interceptor.attach(Process.findModuleByName('linker64').base.add(0x2C274),{
       onEnter(args){
		var mod = Process.findModuleByName(MSA_SO);
		if(mod != null){	
			// 测试打印
			LOG('Faster than anti-debug codes in `libdxxcuxd.so`');
			this.x0 = this.context.x0;
			this.realbase = mod.base;
			LOG(`${mod.name}! ${mod.base}`);

//hookKill2();
			// 1. 绕过frida检测
			// 令RiskDetect_1D25C返回0
			returnZero(ptr(this.realbase).add(0x1D25C));
			// 强制跳转
			forceJump(ptr(this.realbase).add(0x100d0), ptr(this.realbase).add(0x100e8)); // init_arr1: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x84184), ptr(this.realbase).add(0x8419C)); // JNI_OnLoad+3C0h: flag2_A5D9C
			forceJump(ptr(this.realbase).add(0x3E154), ptr(this.realbase).add(0x3E928)); // sub_3DDB4中不要让其scandir
			// 解决内存访问错误的问题
			hookBug(ptr(this.realbase).add(0x84BA0))
			// 测试
			//hookFopen(ptr(this.realbase).add(0x11F2C));
			// 2.绕过root
			returnZero(ptr(this.realbase).add(0x1C058)); // sub_1C058，写出/sbin/su字符串的
			returnZero(ptr(this.realbase).add(0x3FEA0)); // sub_3FEA0，检测Root的。
			// hookKill
			// hookKill(ptr(this.realbase).add(0x15Fd0)); // 15Fd0 160e8
			forceJump(ptr(this.realbase).add(0x2AE14), ptr(this.realbase).add(0x2AE3C)) // so_overflow
			forceJump(ptr(this.realbase).add(0x2ADF8), ptr(this.realbase).add(0x2Ae08)) // API hooking com.everysing.lysn.apk
			forceJump(ptr(this.realbase).add(0x37B10), ptr(this.realbase).add(0x37ED0)) // Magisk
			forceJump(ptr(this.realbase).add(0x28EA0), ptr(this.realbase).add(0x28f34)) // usb connected
			forceJump(ptr(this.realbase).add(0x29E10), ptr(this.realbase).add(0x29ecc)) // Multi-hooking
			hook_7E2A8(ptr(this.realbase).add(0x7E2A8)) // Log函数
			//followIns(ptr(this.realbase).add(0x841F4))
			mo.detach();
		}
		
       },
       onLeave(ret){
		   //mo.detach();
	   }
    }
	)
}

function LOG(sth){
    console.log(sth);
}

function hookBug(addr){
	Interceptor.attach(addr, {
		onEnter(args){
			//LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
			Memory.protect(ptr(args[0]), 0x1000 , 'rw-');
			//LOG(`Protect: ${Memory.queryProtection(ptr(args[0]))}, addr: ${args[0]}`)
		},
		onLeave(ret){}
	});
}

}
	}
	)
}

function hookKill2()
{
	Interceptor.attach(Module.findExportByName(null,"kill"),{
		onEnter(args){
			LOG(`x30: ${this.context.lr}`)
			LOG(`pid: ${args[0]}, signal: ${args[1]}`)
			LOG(`kill called.`);
			console.log('Call stack:\n' + Thread.backtrace(null, Backtracer.FUZZY).map(DebugSymbol.fromAddress).join('\n'));
			
		},
		onLeave(ret){}
	})
}

function followIns(init_arr1_ptr){
	Interceptor.attach(init_arr1_ptr, {
        onEnter(args) {
            let tid = Process.getCurrentThreadId()
            this.tid = tid
            console.log(`进入函数，开始 trace [${tid}]`);
            Stalker.follow(tid, {
                events: {
                    call: false,
                    ret: false,
                    exec: true,
                    block: false,
                    compile: false
                },
                transform(iterator) {
                    let instruction = iterator.next();
                    do {
                        const address = instruction.address;
                        const module = getModuleByAddressSafe(address);
                        let modInfo = "";

if (module && module.name === MSA_SO) {
                            const offset = ptr(address).sub(module.base);
                            modInfo = `[${module.name}!${offset}]`;

console.log(
                                `[${address}] ${modInfo} ${instruction.mnemonic} ${instruction.opStr}`
                            );
                        }
                        iterator.keep();
                    } while ((instruction = iterator.next()) !== null);
                },
            });
        },

onLeave(retval) {
            console.log(`函数退出，停止 trace [${this.tid}]`);
            Stalker.unfollow(this.tid);
			Stalker.garbageCollect();
        }
	});
}

function getModuleByAddressSafe(address) {
    try {
        // 尝试获取模块
        var module = Process.getModuleByAddress(address);

// 如果模块存在，返回模块
        if (module) {
            return module;
        } else {
            // 如果没有找到模块，返回 null
            return null;
        }
    } catch (e) {
        // 捕获异常，返回 null
        return null;
    }
}

function hook_7E2A8(addr){
	Interceptor.attach(addr, {
	onEnter(args){
		LOG(`x0 flag: ${this.context.x0} - x30: ${this.context.lr} - Risk: ${ptr(args[2]).readCString()}`);
	},
	onLeave(ret){
		
	}
});
}
```
# 5 附件
调试数据库, IDA 7.7 Pro。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最新回复 (69) 1 2 3 ▶
magicianlz 雪币： 48 活跃值： (439) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	magicianlz 2 楼期待更多优质内容的分享，论坛有你更精彩！ 2026-5-15 17:29 0
ldehua 雪币： 158 活跃值： (2731) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 111 粉丝 0 关注私信	ldehua 3 楼感谢分享 2026-5-15 23:57 0
SomeMx 雪币： 4211 活跃值： (5614) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 158 粉丝 1 关注私信	SomeMx 4 楼学习一下 2026-5-16 00:13 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 5 楼向大佬学习 2026-5-16 14:34 0
Zepp7289 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 147 粉丝 0 关注私信	Zepp7289 6 楼 tql 2026-5-16 14:39 0
末日大哥雪币： 1122 活跃值： (2201) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 159 粉丝 0 关注私信	末日大哥 7 楼 666 2026-5-16 15:03 0
mb_bluyfunp 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_bluyfunp 8 楼终于找到提供app包名的帖子了，其他帖子一个包名都没有提供，这让新人想跟练的机会都没有，感谢UP 2026-5-17 11:09 3
mb_xjdhrmck 雪币： 78 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 154 粉丝 0 关注私信	mb_xjdhrmck 9 楼 66 2026-5-17 23:38 0
mb_rndpmawh 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	mb_rndpmawh 10 楼学习 2026-5-18 08:15 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 259 粉丝 0 关注私信	mb_cbgtaveo 11 楼 55555555555 2026-5-18 11:15 0
4Chan 雪币： 375 活跃值： (4087) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 202 粉丝 12 关注私信	4Chan 12 楼学习一下 2026-5-18 11:46 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 13 楼 666 2026-5-18 12:10 0
tonykros 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	tonykros 14 楼 666 2026-5-18 12:45 0
mb_uzmffdbw 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_uzmffdbw 15 楼 666 2026-5-18 15:40 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 16 楼 666 2026-5-18 15:54 0
cpannn 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 75 粉丝 0 关注私信	cpannn 17 楼 666666666,xuexile 2026-5-18 21:06 0
x1a0f3n9 雪币： 85 活跃值： (1785) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 64 粉丝 95 关注私信	x1a0f3n9 18 楼感谢分享 2026-5-19 10:22 0
shuangmou 雪币： 754 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 68 粉丝 1 关注私信	shuangmou 19 楼感谢分享 2026-5-19 10:47 0
mb_jnmxfjku 雪币： 109 活跃值： (820) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 149 粉丝 0 关注私信	mb_jnmxfjku 20 楼 666 2026-5-19 13:49 0
318 雪币： 220 活跃值： (291) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 6 粉丝 3 关注私信	318 21 楼感谢分享 2026-5-19 19:24 0
不具名的悲伤雪币： 3 活跃值： (1835) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 126 粉丝 0 关注私信	不具名的悲伤 22 楼 6 2026-5-19 20:30 0
guijingwen 雪币： 7377 活跃值： (7605) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 312 粉丝 0 关注私信	guijingwen 23 楼 66 2026-5-19 20:56 0
mb_qimctavn 雪币： 5327 活跃值： (6780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 401 粉丝 1 关注私信	mb_qimctavn 24 楼 6 2026-5-20 10:59 0
mb_dsvrufqa 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_dsvrufqa 25 楼 6666 2026-5-20 11:25 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复