前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >如何脱壳加固过的Apk并利用其API“走近库”

如何脱壳加固过的Apk并利用其API“走近库”

作者头像
重生信息安全
发布2020-03-06 15:15:17
1.4K0
发布2020-03-06 15:15:17
举报
文章被收录于专栏:重生信息安全
0x00 寻找突破口

打开首页,emm 就一个登录页面,没了 随便写点东西提交看看

天生手欠的我一不小心就多输了一个单引号

WDNMD,除了数字和字母其他都不行? 这叫我怎么测? 刚刚要放弃,就在这时,首页的一个二维码吸引了我 正是安卓端的软件,眼前一亮,仿佛找到了打开新世界的大门

开开心心地把软件下载过来,想反编译找找看有什么可利用的接口

360加固? fa?!

我以为上帝关上了我的门,还会留个窗给我,结果还是无情地把窗给我锁上了

0x01 zjDroid脱壳

刀不锋利马太瘦,你拿什么工具和我斗。 我们已经知道不论是利用什么方法加固apk 若要让软件要正常运行,就必须让程序最终加载原dex文件,这样的话,如果我能dump出内存中已经加载的dex 就可以无视在加载dex前的一大堆解壳操作 而ZjDroid就可以做到这一点,ZjDroid是一款基于Xposed开发的插件,它可以轻松地hook住所有的activity,并且将软件当前加载的dex写出

在github上fork其源码,进行分析 有进行过Xposed插件开发的大佬们都知道,想让Xposed加载你编写的插件的核心代码 就必须在assest/xposed_init文件内写入你想要加载的核心代码的所在包

进入ReverseXposedModule类

可以看到图中两处红线标记处 因为我们的目的是Dump处dex文件,所以先对第二处红线标记处进行分析 跟进DexFileInfoCollecter的start方法

通过观察代码可知,第一处红线标记处程序利用反射找到了系统DexFile类的openDexFileNative方法 这个方法和系统加载dex文件有关,这里不深入分析 接着看第二处标记处,程序调用Xposed模块的hookMethod方法hook住了openDexFileNative方法 继续看第三处,在hook完成之后,只要系统调用到了openDexFileNative方法,红线处的代码就会执行 第三处红线处的代码用于获取加载的dex的信息,这里不深入分析 也就是说,只要用户打开某个app,系统调用dex文件的方法就会被执行,那么ZjDroid只需要hook住系统调用dex文件的方法,就可以在软件加载原dex后做任何事情了! hook加载dex方法的代码已经执行完毕

我们回到ReverseXposedModule类中的第一处红线标记处,进行分析 跟进其调用的initModuleContext方法

查看第一处标记,程序同样的找到了Application类的onCreate方法 开发过app的大佬们都很熟悉这个onCreate方法吧,这是每个软件在启动时默认最先执行的方法 这里ZjDroid同样对系统的Application类的onCreate方法进行了hook,换句话说,只要用户点开任何一个软件,都能被程序hook住 同样的,程序也是利用hookMethod进行的hook操作,hook后的操作在ApplicationOnCreateHook类中,跟进代码

可以看到程序给每个被hook的app注册了一个广播,跟进代码

分析代码可知,当被hook的app接收到含有com.zjdroid.invoke字符的广播时就会进入判断 程序将提取出广播中键为"target"和"cmd"的值 通过图中第二处红线下方的代码可知target就是app的pid号 在获取cmd的值后,cmd的值将被传入CommandHandlerParser类中 跟进代码

观察代码可知cmd的值就是一个json格式的字符串 程序将根据json中的值对应地执行操作 我们需要dump出dex文件,假设我发送的广播进入了ACTION_DUMP_DEXFILE分支 程序将向DumpDexFileCommandHandler类传入指定值,跟进代码

其中红线标记处就是dump dex文件的核心代码了 跟进

查看其中红线处,data成员调用的方法就是dump出内存中dex文件的代码,接着程序将data写出到指定目录 遗憾的是,红线出的代码为native层的代码,而native层的代码作者并没有开源 编译,运行 踩坑注意:这个工具的so文件似乎在5.0以上的安卓系统不起作用,所以我特意刷了一个4.4的安卓再去安装ZjDroid 在手机的Xposed中启用此插件,然后打开需要脱壳的app adb shell dumpsys activity top查看最顶层活动的PID号 接着发送广播dump出dex

dex被成功dump、

0x02 寻找接口

查看软件的入口 打开指定类 未加壳的dex成功被加载了! 我现在看到的是原dex的代码,而不是壳dex的代码!

可以看到onCreate方法为native层方法,但是接着往下看 getInfo方法中有一个利用post请求调用的登录接口 请求一下看看什么情况

WTF?返回的实体中告诉我无权调用此接口?! 难怪把onCreate方法放在native层里!一定是在onCreate方法中需要进行什么操作才能正常调用此接口 可native层的代码实在是无能为力 本打算就这么放弃了,最后一次在代码中搜索可能存在的接口

其中一处接口让我眼前一亮

WTF?!WTF?!居然可以请求!还没有过滤特殊符号?! 管理员还真是粗心

丢到sqlmap里

收工!

ps:具体细节不做演示,本文仅限圈内技术交流禁止用于非法用途!

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2019-11-27,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 重生信息安全 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
相关产品与服务
命令行工具
腾讯云命令行工具 TCCLI 是管理腾讯云资源的统一工具。使用腾讯云命令行工具,您可以快速调用腾讯云 API 来管理您的腾讯云资源。此外,您还可以基于腾讯云的命令行工具来做自动化和脚本处理,以更多样的方式进行组合和重用。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档