吾爱破解 - LCG - LSG |安卓破解|病毒分析|破解软件|www.40881110.com

 ?#19968;?#23494;码
 注册[Register]

QQ登录

只需一步£¬快速开始

查看: 11148|回复: 108
上一主题 下一主题

[Android 原创] Android中"最右App"的签名算法解析(ARM指令学习恶心篇)

    [复制链接]
跳转到指定楼层
楼主
jiangwei212 发表于 2019-2-25 08:35 回帖奖励
本帖最后由 jiangwei212 于 2019-2-25 15:59 编辑

一¡¢前言

今天开始我们后续会开展三篇左右的arm指令学习£¬因为之前一直都有同学和我说有没有详细的arm指令分析£¬这个之前的确一直没有好的样本£¬有的人可能说可以用自己写的C代码然后反编译so来学习£¬那样因为都知道了原始代码所以解析来就没啥难度£¬这一次正好用最右这个app的签名算法作为样本学习£¬为什么用它的呢£¿因为之前有同学找我分析了一下£¬分析过程中觉得是个学习指令的好样本就分享给大家£¬因为他的签名算法稍微有点复杂£¬所以就分为三篇来介绍£¬希望通过这一系列的文章之后大家能够了解到arm指令的常规语法£¬能够简单的分析so代码逻辑¡£

二¡¢逆向分析
接下来我们首先看这个应用的签名算法调用的so和方法£¬这个后续会提供样本£¬我们用Jadx打开应用找到他的native方法£º

然后找到了so文件之后£¬用IDA直接打开£¬找到核心的?#29992;?#20989;数sub_5070£¬这个后面文章会详细介绍如何找到这个函数的£¬因为本文的目的是为了解析arm指令集的知识£¬我们查看这个函数的伪代码£º

通过分析£¬第一个?#38382;?#26159;?#29992;?#20869;容£¬第二个?#38382;?#26159;长度£¬第三个?#38382;?#26159;?#29992;?#20043;后的?#22336;?#20018;£º

我们本?#26408;?#35201;把这段代码解析出来£¬看着其实也不复杂£¬但是这个?#29992;?#31639;法后续还有好几个这样的循环操作£¬都是?#32440;?#30340;位操作£¬首先不着急£¬我们先把初始化的代码看一下£º

这里有一段初始化代码£¬不过我们通过简单分析之后发现其实没那么难£¬这一段可以直接阅读以下£¬这里会判断当前?#22336;?#20018;的信息是否大于64£¬如果小于64就把后面的数据补0£¬这里可以看到是分组进行数据操作£¬一组数据是64个?#32440;Ú£?#20250;把?#29992;?#25968;据用分组的?#38382;?#36827;行操作¡£


三¡¢Hook?#29992;?#20989;数
我们先用Frida去hook这个函数£¬把?#29992;?#30340;信息打印出来然后在分析arm指令£¬最后用代码实现这个算法来看看结果是否正?#32602;?/font>

看到这里把?#38382;?#21644;结果都打印出来了£¬看到我们在后续的分析过程中会动态调试就用这个原始?#29992;?#20449;息£¬然后看看hook代码£º

这里看到一个小?#35760;É£?#25105;们在之前的Frdia框架学习中知道如何hook未导出的函数£¬都是通过查看maps文件得到so地?#32602;?#28982;后?#30001;?#38656;要hook的函数地址就是这个函数的绝对地址了£¬但是这样每次都要查看maps文件太麻烦了£¬所以这里可以借助已经导出的函数绝对地址减去相对地址就是基地?#32602;?#28982;后在?#30001;?#38656;要hook的未导出的函数相对地址就是这个函数的绝对地址了£º

这里看到JNI_OnLoad是一个导出函数£¬然后减去他的相对地址就是so在内存中的基地址了£¬最后?#30001;?#25105;们需要hook的函数地址即可¡£不了解Frida框架的同学可以看这篇文章£ºAndroid中的Hook家族Frida框架用法解析£»


四¡¢动态调试
有了这个原始?#29992;?#20449;息£¬接下来我们就开始动态调试来解读那段arm指令吧£¬我们还?#21069;œ找?#21069;的套?#32602;?#25226;应用的so?#22870;?#21040;自己的工程中£¬然后把native的类原封不动的?#22870;?#36807;来£º

然后运行开始我们的动态调试£¬关于动态调试不想在多说了£¬可以购买我的逆向大黄书¡¶Android应用安全防护和逆向分析¡·书里面会详细介绍这个操作步骤£º
第一步£º运行android_server


第二步£º转发端口和运行应用(Debug模式)


第三步£ºIDA附件进程


第四步£º运行jdb连接调试


然后这里记得在设置一下Debug Option£º

然后一路往下运行F9即可£¬点击工程中的按钮£¬加载so即可£º

在模块窗口中找到so的基地?#32602;¬¼由?#25105;们需要调试的函数相对地址就是这个函数的绝对地?#32602;?/font>

这时候发现不是常规的arm指令£¬可以按P键进行显示£º

然后就可以下断点调试了£¬一路往下按F7即可单步调试£¬到第一个知识点的地方£º一般MOVW指令是赋值的地方£¬这里看到我们常见的指令后面都有一个W£¬?#28909;çMOV->MOVW其实含义都差不多£º

这里看到会赋值四个常量值给R8,R9,R10,R12寄存器£¬往下走之后看看寄存器的内容£º

发现了这四个赋值之后的内容£¬我们在用代码把静态代码的地方打印一下£º

这里有多处赋值£¬不要关心只要在乎一次赋值就好£º

看到这里打印的值就是上面的寄存器中的值£¬所以这里大家以后再静态分析代码看到常量的时候对应的指令都是MOV¡£继续往下走£º

在往下的过程中会发现有几处是跳转指令£¬这里大家记住如果发现有跳转指令最后在指令的后面一条指令打上断点£¬这样为了防止跳转不回来了£¬发现想回来的话可以按F9到下个断点即可¡£

这里发现有一个常量?#22336;?#20018;应该是?#29992;?#25968;据£¬但是这个和我们Frida进行hook的不一样呀£¿这里郁闷了一?#38382;?#38388;结果发现£¬是代码初始化的时候也会走到这里£¬所以我们直接F9过了这一次执行£¬又到了sub_5070的地方£¬这时候发现数据就对了£º

然后往下走发现就到了那个第一个位操作循环了£º

这个地方逻辑其实就是对原始数据进行操作£¬这里我们可以直?#24433;?#36825;段代码?#22870;?#20986;去即可£¬然后在来静态分析初始化代码£º

就这样我们可以把初始化代码用C代码实现出来了£º

这里看到实现代码很简单的£¬继续往下走动态调试£º

这里就到了我们需要详细分析的地方了£¬看到这里有几个非常重要的指令£ºAND指令进?#26032;?#36753;"与"操作£»
ORR指令进?#26032;?#36753;"或"操作£»
EOR指令进?#26032;?#36753;"异或"操作£»
ORN指令进?#26032;?#36753;"或非"操作£»
BIC指令进行"RN AND NOT RM"操作£»
我们直接动态调试看结果£º

首先这几个位操作£¬操作的数据是我们开始初始化的四个常量值£¬继续往下走£º

一般我们遇到LDR指令£¬都会对应的寄存器内容£¬因为LDR指令?#21069;?#20869;存中的常量地址中的数据加载到指定寄存器中£¬这里看到这个?#22336;?#20018;信息其实就是我们?#29992;?#30340;数据£¬这里一次会加载四个?#32440;Ú£?/font>

看到加载到R12寄存器中£¬继续往下走£¬这里的ADD£¬CMP£¬MOV等指令就不多介绍了£¬因为太简单了£º

又看到一个LDR指令£¬继续查看寄存器的地址内容发现了一个类似于密钥库的数据£¬我们再回到静态代码块中£º

看到这里的确用到一个常量池£¬每次取出16?#32440;Ú£?#19968;共64个?#32440;?#23494;钥库数据£¬我?#21069;?#23494;钥库数据摘取出来即可£º

继续往下走£º

这里发现了一条关键指令就是循环右移操作£º

我?#21069;?#36825;一部分代码用C语言实现一下£¬然后打印结果看到了和上面的动态调试结果是一样的£¬所以我们就?#35757;?#19968;部分指令解析完成了£¬继续往下看£º

又到了一个循环右移20位的地方了£¬看到操作后的结果£¬我们在C代码中打印看看结果对不对£º

看到结果是一致的£¬到这里我们已经过了一半了£¬后面还有两处循环右移操作£¬其实指令都差不多£¬这里就不在多分析了£¬可以看看操作后的结果£¬一位是循环了四次我们都查看一下£º




看到这四次循环的结果£¬然后在把C代码打印结果是否一致£º

看到了吧解密数据结果一致£¬所以到这里我们就?#35757;?#19968;部分的循?#26041;?#26524;解析出来了£¬本文的内容到这里就结束了£¬因为每一步调试都截图了£¬所以图片也很多写的过程中也难受£¬希望看完之后点赞分享¡£


五¡¢指令总结
本文看完之后£¬我们学习到了一些新的指令和特殊指令的处理办法£º
  • 1¡¢现在很多?#29992;?#31639;法都?#19981;?#29992;?#32440;?#30340;位操作£¬?#28909;?#19982;或非¡¢异或等£¬这些指令是AND/ORR/EOR/BIC等¡£
  • 2¡¢一般看到LDR指令都要想到?#21069;?#19968;个常量地址中的值赋值给当前寄存器£¬这时候可以习惯性的查看加载地址的常量值¡£?#28909;?#36825;里的密钥库信息¡£
  • 3¡¢对于跳转指令BL等£¬一定要记得在他的下一条指令打断点为了防止跳转过去之后回不来了£¬这样就很难受¡£
  • 4¡¢IDA打开so之后记得F5查看伪代码£¬为了快速实现?#29992;?#31639;法£¬有时候没必要读懂每一行arm指令£¬只要用关键代码实现了即可£¬每一步代码执行之后通过打印值和动态调试之后的结果进行比对是否一致¡£


六¡¢总结

关于最右app的签名算法解析全过程等这一系列文章解析完了在来说£¬本文解密用的是C语言£¬用Xcode跑的£¬大家可以用自?#21512;不?#30340;编译器跑就好了£¬看so代码的时候不是表示每一行arm指令都要看懂£¬而且大部分其实都能看到£¬有一些不常见的可能需要慢慢看和打印看结果¡£期待后续的两篇文?#24405;?#32493;看如何解析后续的?#29992;?#25805;作¡£欢迎购买本人逆向大黄书¡¸Android应用安全防护和逆向分析¡¹

点评

当初我就是没耐心看so而放弃逆向了£¬真是年轻气盛呀  发表于 2019-2-28 21:31
感觉自学逆向的都是大神£¬心性特别好£¬我那时候打开软件£¬看so库就看不懂了  发表于 2019-2-28 13:34

免费评分

参与人数 57吾爱币 +56 热心值 +56 收起 理由
maomaoxiong + 1 + 1 谢谢@Thanks£¡
叉叉学破解 + 1 + 1 谢谢@Thanks£¡
RCV + 1 + 1 谢谢@Thanks£¡
laughingsir38 + 1 + 1 我很赞同£¡
Dawning + 1 我很赞同£¡666666666大佬
a519809610 + 1 + 1 我很赞同£¡
yixi + 1 + 1 谢谢@Thanks£¡
ququ2019 + 1 + 1 谢谢@Thanks£¡
Wanua + 1 + 1 热心回复£¡
伞兵 + 1 我很赞同£¡
dxaw0261 + 1 + 1 谢谢@Thanks£¡
果子糖 + 1 谢谢@Thanks£¡
jiayou88999 + 1 + 1 我很赞同£¡
维C糖果 + 1 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
扶风季影 + 1 + 1 热心回复£¡
yangshunba + 1 我很赞同£¡
Jeffer + 1 + 1 我很赞同£¡
羽月莉音 + 1 + 1 谢谢@Thanks£¡
leiyanfu + 1 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
svnr + 1 我很赞同£¡
baifaqingsi + 1 + 1 我很赞同£¡
欲为大树¡£ + 1 + 1 热心回复£¡
ttimasdf + 2 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
时光/荏苒 + 1 + 1 热心回复£¡
willgoon + 1 + 1 欢迎分析讨论交流£¬吾爱破解论坛?#24515;?#26356;精彩£¡
bb8820 + 1 谢谢@Thanks£¡
zerglurker + 1 + 1 不错呀,非常具备可操作性
siuhoapdou + 1 + 1 谢谢@Thanks£¡
月还哎 + 1 + 1 用心讨论£¬?#19981;?#25552;升£¡
shock-c + 1 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
?#28902;?/a> + 1 + 1 我很赞同£¡
XhyEax + 1 + 1 666
xiexie + 1 + 1 用心讨论£¬?#19981;?#25552;升£¡
soyiC + 1 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
SomnusXZY + 1 + 1 热心回复£¡
修仙的阿莱耶 + 1 + 1 我很赞同£¡
挥汗如雨 + 2 + 1 热心回复£¡
肚子会饿 + 1 + 1 ?#34892;?#21457;布原创作?#32602;?#21566;爱破解论坛因你更精彩£¡
_pan + 1 + 1 用心讨论£¬?#19981;?#25552;升£¡
昆局水段 + 1 + 1 谢谢@Thanks£¡
poisonbcat + 1 + 1 谢谢@Thanks£¡
qn542231788 + 2 + 1 我一个门外汉居然全部看完了£¬也能看懂一部分£¬大佬厉害
jnez112358 + 1 + 1 谢谢@Thanks£¡
wxl2578 + 1 + 1 未导出函数直接模块基址加偏移不?#26032;·w?/td>
张老大爷 + 1 + 1 用心讨论£¬?#19981;?#25552;升£¡
hgfty1 + 1 + 1 用心讨论£¬?#19981;?#25552;升£¡
zouyu0008 + 1 + 1 热心回复£¡
hushuangpingwh + 1 + 1 谢谢@Thanks£¡
杀猪?#38376;?#20992; + 1 + 1 看吐了
涛之雨 + 2 + 1 ?#36710;?#26469;一波
探求 + 1 + 1 谢谢@Thanks£¡
一夜梦惊人 + 1 + 1 一直在学习¡£
alexkaer + 1 + 1 热心回复£¡
frankyxu + 1 + 1 谢谢@Thanks£¡
ncfly + 1 + 1 我很赞同£¡
丶咖?#35753;?#20022; + 1 + 1 谢谢@Thanks£¡
sunnylds7 + 1 + 1 热心回复£¡

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用¡¾论坛搜索¡¿功能£¬那里可能会?#24515;?#35201;找的答案或者已经有人发布过相同内容了£¬请勿重复发帖¡£

推荐
xjh88232259 发表于 2019-2-25 15:23
虽然有点看不懂£¬但是还是觉得讲的挺好的¡£
推荐
Mr.Xing 发表于 2019-2-27 17:03 来自?#21482;?/span>
看到这一篇文章的时候£¬第一?#20174;?#36825;不四哥的文章吗£¿还以为是谁借鉴了你的文章£¬没想到是本人啊£¡已收听£¬支持四哥
4#
陈世界 发表于 2019-2-25 09:03
5#
丶咖?#35753;?#20022; 发表于 2019-2-25 09:05
谢谢四哥
6#
frankyxu 发表于 2019-2-25 09:24
虽然有点看不懂£¬但是还是觉得讲的挺好的
7#
poca 发表于 2019-2-25 09:30
四哥每次都是干货
8#
alexkaer 发表于 2019-2-25 09:35
四哥优秀
9#
丶那年如此年少o 发表于 2019-2-25 09:44
四哥的技术贴£¬得先回帖再看¡£
10#
hmeng 发表于 2019-2-25 16:03
先回帖收藏£¬慢慢看
11#
涛之雨 发表于 2019-2-25 16:43
哪里都有右友¡£¡£¡£
?#36710;?#21491;友¡£¡£¡£¡£
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 提醒£º禁止复制他人回复等¡º恶意灌水¡»行为£¬违者重罚£¡

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2019-4-23 00:02

Powered by Discuz!

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表
Çò̽ÍøÀºÇòÖ¸Êı