Frida与Android CTF

sandalwood

原文链接：Frida与Android CTF

前言

最近练习了下CTF中Android相关题目，发现三题分别考察了三个点：
1、Frida Java Hook与静态函数的主动调用
2、Frida遍历ClassLoader从而Hook动态加载的Ddex的函数
3、Frida Native Hook去反调试

第一题 Frida静态函数的主动调用
首先安装第一款APP运行发现提示说需要输入纯数字，另外当输入错误时会调试”请继续加油“。

将该APK文件拖入jadx中进行静态分析发现，输入的用户名和密码的字符串拼接作为参数，然后传入vvvv方法。

然后查看VVVV函数，发现input参数限制长度为5位，并且经过eeeee方法得到的结果和p一致，需要同时满足这两个条件，才可以获得flag

继续分析eeeee方法，发现sssss方法在获取字符串的Sha-1值，ccccc方法将sha-1的摘要转化成了16进制字符串的形式，该算法不可逆。

通过对以上分析得知，想要获取flag有两种思路：
1、根据flag长度为5位数字，进行爆破
2、通过frida hook函数返回值强制返回true

但如果使用第二种方法，发现该check失效，输入任何五位数字都可提示成功，也就失去了题目的意义。接下来我们编写frida脚本进行第一种方法爆破解题。
因反编译的结果不能完全相信，首先使用Objection分析，因两段逻辑判断，所以在APP中输入5位纯数字，发现objection中VVVV调用了eeeee，因此验证了Jadx反编译的内容确实没错。

对com.kanxue.pediy1.VVVV类中的方法eeeee进行主动调用。
编写frida脚本，爆破拿到flag为66888

1. var CONTEXT = null;
   
2. 
   
3. function getObjClassName(obj) {
   
4.     if (!jclazz) {
   
5.         var jclazz = Java.use("java.lang.Class");
   
6.     }
   
7.     if (!jobj) {
   
8.         var jobj = Java.use("java.lang.Object");
   
9.     }
   
10.     return jclazz.getName.call(jobj.getClass.call(obj));
    
11. }
    
12. 
    
13. function hookReturn() {
    
14.     Java.perform(function () {
    
15.         Java.use("com.kanxue.pediy1.VVVVV").VVVV.implementation = function (context, str) {
    
16.             var result = this.VVVV(context, str)
    
17.             console.log("context,str,result => ", context, str, result);
    
18.             console.log("context className is => ", getObjClassName(context));
    
19.             CONTEXT = context;
    
20.             return true;
    
21.         }
    
22.     })
    
23. }
    
24. function invoke() {
    
25.     Java.perform(function () {
    
26.         //console.log("CONTEXT IS => ",CONTEXT)
    
27.         var MainActivity = null;
    
28.         Java.choose("com.kanxue.pediy1.MainActivity", {
    
29.             onMatch: function (instance) {
    
30.                 MainActivity = instance;
    
31.             },
    
32.             onComplete: function () { }
    
33.         })
    
34.         var CONTEXT2 = Java.use("com.kanxue.pediy1.MainActivity$1").$new(MainActivity);
    
35.         var javaString = Java.use("java.lang.String").$new("12345");
    
36.         for (var x = 0; x < (99999 + 1); x++) {
    
37.             var result = Java.use("com.kanxue.pediy1.VVVVV").VVVV(CONTEXT2, String(x));
    
38.             console.log("now x is => ", String(x))
    
39.             if (result) {
    
40.                 console.log("found result is => ", String(x))
    
41.                 break;
    
42.             }
    
43.         }
    
44.     })
    
45. 
    
46. }
    
47. 
    
48. function main() {
    
49.     hookReturn()
    
50. }

复制代码

验证成功

第二题 Frida Hook动态加载Dex

通过Jadx分析发现了Dex的动态加载以及Native函数的引入。

动态加载dex并调用动态加载的dex中的VVVV函数，首先解压该APK包，使用Jadx打开classes.dex文件发现本题算法和第一题一样

所以可以编写frida脚本，通过枚举ClassLoader选择正确的classLoader再对函数进行主动调用爆破得到flag。

1. function invoke2() {
   
2.     Java.perform(function () {
   
3.         Java.enumerateClassLoaders({
   
4.             onMatch: function (loader) {
   
5.                 try {
   
6.                     if (loader.findClass("com.kanxue.pediy1.VVVVV")) {
   
7.                         console.log("Successfully found loader")
   
8.                         console.log(loader);
   
9.                         Java.classFactory.loader = loader;
   
10.                     }
    
11.                 }
    
12.                 catch (error) {
    
13.                     console.log("find error:" + error)
    
14.                 }
    
15.             },
    
16.             onComplete: function () {
    
17.                 console.log("end1")
    
18.             }
    
19.         })
    
20.         var javaString = Java.use("java.lang.String").$new("12345");
    
21.         for (var x = 0; x < (99999 + 1); x++) {
    
22.             var result = Java.use("com.kanxue.pediy1.VVVVV").VVVV(String(x));         
    
23.             console.log("now x is => ", String(x))
    
24.             if (result) {
    
25.                 console.log("found result is => ", String(x))
    
26.                 break;
    
27.             }
    
28.         }
    
29.     })
    
30. }
    
31. 
    
32. function main() {
    
33. 
    
34. }
    
35. setImmediate(main)

复制代码

不过测试发现flag不对

继续分析发现还对stringFromJNI还做了一层处理，这个函数是native函数，所以要进行两层主动调用。

1. function invoke2() {
   
2.   Java.perform(function () {
   
3.     var MainActivity = null;
   
4.     Java.choose("com.kanxue.pediy1.MainActivity",{
   
5.       onMatch:function(instance){
   
6.         MainActivity = instance;
   
7.       },
   
8.       onComplete:function(){}
   
9.     })
   
10.     var loader1 = null;
    
11.     var loader2 = null;
    
12.     Java.enumerateClassLoaders({
    
13.       onMatch: function (loader) {
    
14.         try {
    
15.           if (loader.findClass("com.kanxue.pediy1.VVVVV")) {
    
16.             console.log("Successfully found loader")
    
17.             console.log(loader);
    
18.             loader2 = loader;
    
19.             Java.classFactory.loader = loader2;
    
20.           }else if(loader.findClass("com.kanxue.pediy1.MainActivity")){console.log("Successfully found loader")
    
21.                                                                        console.log(loader);
    
22.                                                                        loader1 = loader;
    
23.                                                                       }else{
    
24.                                                                       }
    
25.         }
    
26.         catch (error) {
    
27.           console.log("find error:" + error)
    
28.         }
    
29.       },
    
30.       onComplete: function () {
    
31.         console.log("end1")
    
32.       }
    
33.     })
    
34.     var javaString = Java.use("java.lang.String").$new("12345");
    
35.     for (var x = 0; x < (99999 + 1); x++) {
    
36.       var result1 = MainActivity.stringFromJNI(String(100000 - x));
    
37.       var result2 = Java.use("com.kanxue.pediy1.VVVVV").VVVV(String(result1));         
    
38.       console.log("now x is => ", String(x))
    
39.       if (result2) {
    
40.         console.log("found result2 is => ", String(100000 - x))
    
41.         break;
    
42.       }
    
43.     }
    
44.   })
    
45. }
    
46. function main() {
    
47. }
    
48. setImmediate(main)

复制代码

测试发现flag66998时正确

当然也可以使用IDA查看so文件，分析stringFromJNI函数，发现将输入的数字字符串转换为int然后加了一进行返回，所以正确的flag应该为66999 - 1 = 66998

第三题 Native层去反调试

该题在第二题的基础上加入了native层对Frida的反调试。
反调试逻辑：
通过一直循环创建Socket连接，遍历端口，检查端口是否被占用，收到“REJECT”时，说明frida-server正在运行，然后直接kill掉进程。
测试也发现当通过frida进行hook时，APP会崩掉。

绕过思路：
可以通过将系统中的kill进行替换，从而达到程序无法执行kill命令，保持APP正常运行来绕过反调试。编写相关脚本如下：

1. frida -U -f com.kanxue.pediy1 -l /Users/tale/Downloads/20220317/111.js  --no-pause

复制代码

1. function replaceKill(){
   
2.     var kill_addr = Module.findExportByName("libc.so", "kill");
   
3.     Interceptor.replace(kill_addr,new NativeCallback(function(arg0,arg1){
   
4.         console.log("arg0=> ",arg0)
   
5.         console.log("arg1=> ",arg1)
   
6.     },"int",['int','int']))
   
7. }
   
8. 
   
9. function main() {
   
10.     replaceKill();
    
11. }

复制代码

发现frida-server和APP正常运行，从而成功绕过了对frida的反调试。
接下来将反调试代码加入到题目二中进行爆破可成功得到该题目flag99998。

验证成功

总结

这三道题主要逻辑就是输入flag验证对错,并且flag的求解都是通过爆破长度为5位的数字，程序本身利用hash加密后与程序已有密文进行对比，总体来说可以使用Frida爆破一把梭。

参考资料

https://bbs.pediy.com/thread-260550.htm