so文件分析的一些心得

chenqiang

原文链接：so文件分析的一些心得

​
用到的方法：
1.java层反调试so层反调试
2.静态动态分析so层
3.frida来hook java层和so层
4.Android的文件格式
先第一题ill-intentions，这个就非常简单了，直接hook函数就能看见flag（分享这道题目主要想练练frida hook so）：

查壳查壳：

​

编辑

手机的运行界面只有文字，其他的啥也没有：

​

编辑

然后分析java层：

从程序得入口点开始分析：

1. 
   
2. package com.example.application;
   
3. 
   
4. import android.app.Activity;
   
5. import android.content.IntentFilter;
   
6. import android.os.Bundle;
   
7. import android.view.View;
   
8. import android.widget.TextView;
   
9. 
   
10. public class MainActivity extends Activity {
    
11.     public MainActivity() {
    
12.         super();
    
13.     }
    
14. 
    
15.     public void onCreate(Bundle arg6) {
    
16.         super.onCreate(arg6);
    
17.         TextView v2 = new TextView(this.getApplicationContext());
    
18.         v2.setText("Select the activity you wish to interact with.To-Do: Add buttons to select activity, for now use Send_to_Activity");
    
19. // 输出再屏幕上的文字
    
20.         this.setContentView(((View)v2));
    
21.         IntentFilter v0 = new IntentFilter();
    
22.         v0.addAction("com.ctf.INCOMING_INTENT");
    
23.         this.registerReceiver(new Send_to_Activity(), v0, "ctf.permission._MSG", null);
    
24. // 注册一个广播
    
25.     }
    
26. }

复制代码

然后就要看看这个广播的调用了：

1. package com.example.application;
   
2. 
   
3. import android.content.BroadcastReceiver;
   
4. import android.content.Context;
   
5. import android.content.Intent;
   
6. import android.widget.Toast;
   
7. 
   
8. public class Send_to_Activity extends BroadcastReceiver {
   
9.     public Send_to_Activity() {
   
10.         super();
    
11.     }
    
12. 
    
13.     public void onReceive(Context arg5, Intent arg6) {
    
14.         String get_message = arg6.getStringExtra("msg");
    
15.         if(get_message.equalsIgnoreCase("ThisIsTheRealOne")) {
    
16. // 接收不同的信息，跳向不同的分支
    
17.             arg5.startActivity(new Intent(arg5, ThisIsTheRealOne.class));
    
18.         }
    
19.         else if(get_message.equalsIgnoreCase("IsThisTheRealOne")) {
    
20.             arg5.startActivity(new Intent(arg5, IsThisTheRealOne.class));
    
21.         }
    
22.         else if(get_message.equalsIgnoreCase("DefinitelyNotThisOne")) {
    
23.             arg5.startActivity(new Intent(arg5, DefinitelyNotThisOne.class));
    
24.         }
    
25.         else {
    
26.             Toast.makeText(arg5, "Which Activity do you wish to interact with?", 1).show();
    
27.         }
    
28.     }

复制代码

然后发现跳向的分支最后都是so层函数的调用：

1. ublic class DefinitelyNotThisOne extends Activity {
   
2.     static {
   
3.         System.loadLibrary("hello-jni");
   
4.     }

复制代码

然后根据程序的运行界面，看看三个so层函数的返回值就可以了：

​

编辑

最后再第二个so的结果中发现了flag：

1. 
   
2. perhapsThis_args:[1] TRytfrgooq|F{i-JovFBungFk\VlphgQbwvjHuDgaeTzuSt.@Lex^
   
3. [2] ZGFkNGIwYzIWYjEzMTUWNjVjNTVlNjZhOGJkNhYtODIyOGEaMTMWNmQaOTVjZjkhMzRjYmUzZGE?
   
4. [3] MzQxZTZmZjAxMmIiMWUzNjUxMmRiYjIxNDUwYTUxMWItZGQzNWUtMzkyOWYyMmQeYjZmMzEaNDQ?
   
5. perhapsThis_result: Congratulation!YouFoundTheRightActivityHereYouGo-CTF{IDontHaveABadjokeSorry}

复制代码

先看第二个LoopCrypto

老规矩，先查壳：

​

编辑

然后就可以看看java层啦：

先在xml文件中找到文件的入口点就可以分析了：

​

编辑

然后进入到入口点：

​

编辑

就是用这个函数Decode.m2957a()先解密两个字符串。

然后用这个方法获取输入文本框中的内容和按钮的点击：
button.setOnClickListener(newView$OnClickListenerC0657a(editText));
frida（之前做ctf的时候不知道还能hook，都是一点点的还原算法，修复代码跑程序，frida这个工具真的yyds）：

​

编辑

刚开始用frida，不是很确定行不行，还是老方法转成java代码看看吧。
发现也没有什么就是一个字符串解密，跑一下就行了：

​

编辑

然后解密完这些字符串，java层就剩一个重要函数了。
然后就该分析这个函数了：

​

编辑

转到函数定义的部分去：

​

编辑

先简单说一下这个onclick方法，不是很重要：
就是获取app的signature签名，然后md5运算，然后再进一步运算转成16进制。

​

编辑

然后看关键函数：
发现就是将text输入的内容给f1764a。

​

编辑

然后f1764a中的内容传到了这个方法中。

然后发现这个check方法是在so层的：

​

编辑

到此为止java层分析就结束了，我来分享一下总结出来的so层的分析思路：

首先我是先看init_array节区，这是加载最早的一个部分了，所以从这里开始分析：

​

编辑

然后就该分析sub_83DC函数了（分析之前还是要导入JNI.h头文件和进行代码修复，我这里只展示修复之后的代码了）：

首先第一步是读取字符串，然后解密，这里有必要看一下，因为字符串中的值在之后的程序运行过程中会调用的：

​

编辑

先看看unk_F130这个字符串中的值：

​

编辑

然后解密之后是这样的：
/proc/%d/status这个应该是文件的路径名。
r这暂时不知道是干啥的。
TracerPid好了解密出这个字符串就知道为什么不让调试进程了，这个东西就是反调试的。

在往下看就是读取文件中的内容，还是反调试的流程。

​

编辑

到此为止init_array节区就分析完了（反调试的地方也找到了）。

过反调试这里有两种方法：

第一种是用那个so_helper工具来修改so文件(但是这个不好操作，bug很多)。

​

编辑

在用ak重新打包编译一下：

​

编辑

还有一种是用frida来HOOk初始化函数：

​

编辑

这样初始化函数的反调试就可以被过掉了。

然后在分析这个check函数的时候就不用担心反调试的问题了。

然后就该分析JNI_onload了：

​

编辑

然后跟进分析那个函数sub_88C4：

发现是这样的：

​

编辑

然后还得看看怎么解密的字符串啊，就得分析sub_8740函数了：

这个函数就是解密字符串的，，你看他调用的这个类，是不是和之前的那个是一样的，所以直接用刚才的java脚本跑一下就好了。

​

编辑

然后返回上一层函数就该看check函数了：

​

编辑

继续跟进分析sub_8690函数：

​

编辑
这个函数sub_8690（）是对app的签名校验，我刚刚过反调试的那个步骤中重新打包了app，然后运行程序的时候这个就会弹窗“You changed the signature!”。

​

编辑

正常应该是这样的：

​

编辑

所以要是修改so的话这里也要修改一下（还是万能的nop就行），但是如果用frida过去的话，就不会报这个错误了，所以推荐一下解题过程中还是用frida过反调试吧，不用修改太多的地方。

然后就要分析那个解密signature的函数sub_85E0（）因为从java层传来了signature参数，所以对参数的加解密一定是重要的：

再看看之前的java层传递参数到so层的过程：
​编辑
editText->f1764a
signatures（签名）->signatureArr->instance->digest->sb->str
f1764a和str就是传入so层的参数啊。

​

编辑

接下来就要分析sub_84D0（）这个函数了：

​

编辑

直接hook吧，这么多代码都是运算的也不好分析，反正就是要最后一个结果，注意hook的时候之前的frida不要关，不然app的init_array字段的反调试会很难受。

py脚本跑一下（关键代码如下）：

​

编辑

然后输出的数据用idc脚本导入ida中便于分析：

​

编辑

之后导入的这些数据就是没有好的办法，之前学的方法就是alt+G切换为thumb模式，摁C转成代码，摁P声明成函数，然后F5。


最后附上脚本：

1. 
   
2. #include<bits/stdc++.h>
   
3. using namespace std;
   
4. void destr();
   
5. void tea_decode1(uint32_t *origin, uint32_t *key) {
   
6.     uint32_t v0 = origin[0], v1 = origin[1], i;
   
7.     uint32_t delta = 0x61C88647;
   
8.     uint32_t sum = 0xC6EF3720;
   
9.     uint32_t k0 = key[0], k1 = key[1], k2 = key[2], k3 = key[3];
   
10.     for (i = 0; i < 32; i++) {                       
    
11.         v1 -= ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3);
    
12.         v0 -= ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1);
    
13.         sum += delta;
    
14.     }                                             
    
15.     origin[0] = v0;
    
16.     origin[1] = v1;
    
17. }
    
18. 
    
19. 
    
20. int main() {
    
21.     destr();
    
22.     uint32_t v27[8];
    
23.     v27[0] = 0x26BB4EA4;
    
24.     v27[1] = 0x69BBDC43;
    
25.     v27[2] = 0xDB3F2F5C;
    
26.     v27[3] = 0x7BBD2F9F;
    
27.     v27[4] = 0x65CDFE31;
    
28.     v27[5] = 0x3E91AEC4;
    
29.     v27[6] = 0xE703AF94;
    
30.     v27[7] = 0xC7D1E1F4;
    
31.     uint32_t key[4];
    
32.     key[0] = 0x67616C66;
    
33.     key[1] = 0x6948747B;
    
34.     key[2] = 0x24215F53;
    
35.     key[3] = 0x37256E5F;
    
36. 
    
37.     for (int i = 0; i < 8; i += 2) {
    
38.         tea_decode1(&v27[i], key);
    
39.     }
    
40.     cout << (char *) v27 << std::endl;
    
41.     return 0;
    
42. }
    
43. 
    
44. void destr() {
    
45.     uint32_t v26[10], v25[10];
    
46.     v26[0] = 0x821A9220;
    
47.     v26[1] = 0x96CD43F3;
    
48.     v26[2] = 0x36D481BA;
    
49.     v26[3] = 0xCB2C076D;
    
50.     v26[4] = 0xDC65768;
    
51.     v26[5] = 0xBAB4DE5D;
    
52.     v26[6] = 0x7571980F;
    
53.     v26[7] = 0xE382ECC7;
    
54.     v26[8] = 0xC733E8E0;
    
55.     v26[9] = 0x74812F26;
    
56.     v25[0] = 0x1DA05DA0;
    
57.     v25[1] = 0xB07E328;
    
58.     v25[2] = 0xB572D778;
    
59.     v25[3] = 0xC3EE27BB;
    
60.     v25[4] = 0xD200541B;
    
61.     v25[5] = 0xA595C8E0;
    
62.     v25[6] = 0x44B3A5C8;
    
63.     v25[7] = 0x21F11604;
    
64.     v25[8] = 0xDD1EBA82;
    
65.     v25[9] = 0xD4CBF19C;
    
66.     uint32_t key[4];
    
67.     key[0] = 0x67616C66;
    
68.     key[1] = 0x6948747B;
    
69.     key[2] = 0x24215F53;
    
70.     key[3] = 0x37256E5F;
    
71. 
    
72.     for (int i = 0; i < 10; i += 2) {
    
73.         tea_decode1(&v25[i], key);
    
74.     }
    
75.     cout << (char *) v25 << std::endl;
    
76. 
    
77.     for (int i = 0; i < 10; i += 2) {
    
78.         tea_decode1(&v26[i], key);
    
79.     }
    
80.     cout << (char *) v26 << std::endl;
    
81. }

复制代码

flag附上：

​

编辑
再看看最后一个题放松放松APK逆向-2

这个题不难，但是想到方法不简单，要看2进制代码的格式。

安装到手机的过程中就会出错，所以直接看看程序的入口点吧，好家伙XML文件没了：

​

编辑

然后用UE打开看看吧，然后再打开几个正常的apk文件看看哪里改了：

这个是正常的XML文件：

​

编辑

这个是错误的XML文件显示：

​

编辑

要修改的话直接复制粘贴保存就好了，然后用ak重新编译一下：

直接发现flag的样式：

​

编辑
​