一道Android題目逆向動態除錯-有解無憂

題目來源于海淀區網路與資訊安全管理員大賽，題目中將加密驗證演算法打包進.so，在程式中動態呼叫check，

本題目通過System.loadLibrary("native-lib")加載了libnative-lib.so檔案，該檔案通過jeb可以實作提取

圖1 題目關鍵代碼

除錯環境選擇與配置

mumu模擬器 x64位版本，測驗后發現sprintf會導致程式崩潰
夜神模擬器x64,x32的版本經過測驗后，sprintf均導致程式崩潰
雷電5模擬器測驗后,sprintf導致程式崩潰，動態除錯libnative-lib.so時，且無法下載libart.so
最終選用 mumu x32位版本可以進行除錯
動態除錯選用IDA+MUMU x86模擬器對動態庫libnative-lib.so除錯

除錯環境

adb的基礎配置

mumu模擬器使用的adb為adb_server.exe，這里將adb_server.exe為便于使用重新命名為adb.exe,打開一個cmd終端，adb 接入模擬器中

adb connect 127.0.0.1:7555

圖2 adb 服務端連接

通過adb 將apk 包安裝進安卓的模擬器

adb install test.apk

通過cmd再打開一個終端，通過adb shell可以直接進入到模擬器shell中

圖3 adb shell連接

【----幫助網安學習，以下所有學習資料免費領！加vx：yj009991，備注 “博客園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

應用程式的配置

在新起的cmd終端，通過動態除錯模式來啟動app

./adb shell am start -D -n com.example.dynamic/.MainActivity

android包實際的packet以及類如下圖所示com.example.dynamic/.MainActivity

圖4 adb 啟動程式分析

運行 adb shell am start命令后，mumu模擬器中如圖5所示

圖5 adb 動態除錯程式

IDA 的配置

上傳IDA的動態服務端android_x86_server到模擬器/data/local/tmp中，tmp檔案夾是具有可執行權限的

./adb push android_x86_server /data/local/tmp

圖6 查看tmp檔案夾權限

賦予android_x86_server可執行權限

chmod +x android_x86_server

執行android_x86_server，會監聽23946埠，但是仍需要通過adb進行埠轉發轉發到本地監聽

./adb.exe forward tcp:23946 tcp:23946

圖7 啟動IDA 除錯server端

通過以上步驟使啟動服務端IDA的監聽
配置本地IDA remote linux debug引數，如圖8所示

圖8 配置IDA動態除錯

通過attach process 打開遠程端的行程

圖9 IDA遠程attach

選擇對應的行程，這里選用1535行程

‘

圖10 附加到指定行程

通過以上步驟，將IDA 服務端和.so檔案關聯到一起，仍需要喚醒被除錯的程式，此時mumu模擬器中仍舊如圖11所示

圖11 dynamic程式界面

通過jdb來喚醒被除錯程式，本機除錯的時候jdb使用java sdk自帶的jdb，需要兩步操作
- 通過adb將行程進行轉發,行程號是圖n中所示的1535

./adb forward tcp:8700 jdwp:1535

通過jdb喚醒操作

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

再回到IDA中，選擇F9繼續運行程式，會彈出框選擇本地程式與遠程是否一樣選項框，主要匹配的是動態庫libnative-lib.so這個名字

圖12 IDA提示檢測到本地.so

IDA中斷點斷在ptrace前，mumu模擬器中界面未完全同步

圖13 附加到除錯行程后，dynamic界面

IDA中界面如下

圖14 IDA中顯示斷點

.so的除錯

反除錯繞過

該.so使用了ptrace 反除錯，在ptrace處設定斷點，下斷點的時候有兩種方案
1. 一種是設定IDA 的除錯除錯，設定載入lib的時候suspend

圖15 IDA除錯選項配置

當看到IDA中載入libnative-lib.so時，通過快捷鍵Ctrl-S打開加載的段，查找libnative-lib.so所在記憶體1

圖16 查看IDA中的代碼段

還可以在模擬器shell中，查看具體的記憶體資訊

圖17 adb shell中查看記憶體中的資料地址分布

在動態除錯的程序中,重置ptrace 的回傳值，繞過該處反除錯

圖18 重置eax的值

可以直接右鍵或者在eax暫存器上使用快捷鍵0重置

另外一種方式是直接在ptrace上下斷點，在除錯的時候當IDA彈窗如圖17所示時，程式會直接斷在ptrace斷點處，如果沒有彈出該彈窗，直接在IDA中分析該so時下的斷點無效，

圖19 重置eax的值

注冊native的方法

在 Native檔案中代碼如下

static JNINativeMethod jniMethods[] = {
 {"check", "(Ljava/lang/String;)Z", (void *)hello},
};
boolean xxxx( char* s) {
 // do something
 return JNI_TRUE;
}
#在JNI_OnLoad中呼叫RegisterNatives方法注冊Natives方法到JVM，建立映射關系，
int JNI_OnLoad(JavaVM *vm, void *reserved)
{
    JNIEnv *env；
    if ((*vm)->GetEnv(vm, (void **)&env, JNI_VERSION_1_4) != JNI_OK) {
        return JNI_ERR;
    }
?
    jclass cls = (*env)->FindClass(env, "LHelloJNI");
    if (cls == NULL)
        return JNI_ERR;
?
    int len = sizeof(jniMethods) / sizeof(jnimethods[0]);
    (*env)->RegisterNatives(env, cls, jniMethods, len);
?
    return JNI_VERSION_1_4;
}

check 函式的定位

在apk檔案中，反編譯后可以看到check函式位于libnative-lib.so中，但是libnative-lib.so中并沒有check函式

圖20 查找check函式

Java呼叫.so庫函式可以通過靜態注冊和動態注冊兩種方式，題目通過動態注冊的方式來對函式進行呼叫
在上圖中methods一列，是一個JNINativeMethod的陣列，JNINativeMethod結構包含三個成員

const char \*name: Java中宣告的native方法，
const char \*signature：方法的簽名，
void \*fnPtr： 函式指標

在題目的methods中，check字串，對應的函式指標為Z4xxxxP7_JNIEnvP8_jobjectP8_jstring ; xxxx(JNIEnv *,jobject *,jstring *)也就是xxxx函式，

圖21 定位check函式

MD5的簡單除錯

MD5_init的程序如下，根據初始值可以大概判定題目通過md5算hash值

*(_OWORD *)v63 = xmmword_B2E6FA40;
.rodata:B2E6FA40 xmmword_B2E6FA40 xmmword 1032547698BADCFEEFCDAB8967452301h

經過fff函式轉換后的md5值放入[esp+0B4]中

.text:B2E51040 8D 84 24 B4 00 00 00    lea     eax, [esp+0B4h]
.text:B2E51047 89 44 24 04             mov     [esp+4], eax
.text:B2E5104B 8D 44 24 58             lea     eax, [esp+58h]
.text:B2E5104F 89 04 24                mov     [esp], eax
.text:B2E51052 E8 A9 E7 FF FF          call    __Z4ffffP7MD5_CTXPh ; ffff(MD5_CTX *,uchar *)

讀取[esp+0xB4]的值

Python>esp=get_reg_value('esp')
Python>data=get_bytes(esp+0xb4,16)
Python>data.hex()
'a82e0cb168bfe134f22dbde167cf046c'

通過python計算wojiushidaan0!!!的md5值為

>>> import hashlib
>>> result=hashlib.md5("wojiushidaan0!!!".encode())
>>> result
<md5 _hashlib.HASH object @ 0x00000167FF8BDEF0>
>>> result.hexdigest()
'a82e0cb168bfe134f22dbde167cf046c'

兩者可以對應起來，題目計算了wojiushidaan0!!!的md5值
程式最終經過memcmp比較的時候的值為

.text:B2F11398 89 54 24 08             mov     [esp+8], edx
.text:B2F1139C 8B 44 24 14             mov     eax, [esp+14h]
.text:B2F113A0 89 44 24 04             mov     [esp+4], eax    ; s2
.text:B2F113A4 89 0C 24                mov     [esp], ecx      ; s1
.text:B2F113A7 E8 84 E4 FF FF          call    _memcmp

提取eax的值為

b'c640fc761edbd22f431efb861bc0e28a'

提取ecx的值為

b'12345678123456781234567812345678'

程式的輸入為

圖22 除錯flag結果

推導可知題目的正確輸入為

flag{c640fc761edbd22f431efb861bc0e28a}

圖23 驗證flag結果

在除錯md5的時候，使用了IDA的上色功能，通過單步步過除錯，給執行過的代碼染色
IDAPro 單步步過上色除錯腳本

def get_new_color(current_color):
  colors = [0xffe699, 0xffcc33, 0xe6ac00, 0xb38600]
  if current_color == 0xFFFFFF:
    return colors[0]
  if current_color in colors:
    pos = colors.index(current_color)
    if pos == len(colors)-1:
      return colors[pos]
    else:
      return colors[pos+1]
  return 0xFFFFFF
?
addr = ida_dbg.get_ip_val()
while addr < 0xB2ED241F:
  event = wait_for_next_event(WFNE_ANY, -1)
  t = step_over()
  addr = ida_dbg.get_ip_val()
  current_color = get_color(addr, CIC_ITEM)
  new_color = get_new_color(current_color)
  set_color(addr, CIC_ITEM, new_color)

#https://www.cnblogs.com/blacksunny/p/7300271.html參考trace 修改的step over

有待改進的地方

繞過反除錯依賴于動態除錯時的修改暫存器實作

本文涉及的命令

adb connect 127.0.0.1:7555
adb install test.apk
 ./adb shell am start -D -n com.example.dynamic/.MainActivity
./adb push android_x86_server /data/local/tmp
./adb.exe forward tcp:23946 tcp:23946
./adb forward tcp:8700 jdwp:1535
jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

更多靶場實驗練習、網安學習資料，請點擊這里>>

合天智匯：合天網路靶場、網安實戰虛擬環境

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/538366.html

標籤：其他

上一篇：第四次打靶

下一篇：軟體工程師進階，為軟體注入靈魂（用戶意識）