一例APP绕过root检测解密

最新推荐文章于 2024-07-11 14:24:50 发布

白帽黑客2659

最新推荐文章于 2024-07-11 14:24:50 发布

阅读量1.1k

点赞数 19

文章标签：网络安全 web安全网安入门学习安全

本文链接：https://blog.csdn.net/2301_81504583/article/details/139853005

版权

一例APP绕过root检测解密

前言

最近在分析一款app时遇见了root检测，数据包加密，花了时间简单研究了一下，记录下学习的过程。

抛出问题

打开app发现提示检测到设备为root设备，闪退。能看到提示，推测应该是java层的检测。

拖进jadx发现是加固的。

通过frida绕过检测

java层常见root检测大多是通过检测系统文件：一些路径下的su文件，一些root的app相关文件。

  "/data/local/bin/su",
  "/data/local/su",
  "/data/local/xbin/su",
  "/dev/com.koushikdutta.superuser.daemon/",
  "/sbin/su",
  "/system/app/Superuser.apk",
  "/system/bin/failsafe/su",
  "/system/bin/su",
  "/su/bin/su",
  "/system/etc/init.d/99SuperSUDaemon",
  "/system/sd/xbin/su",
  "/system/xbin/busybox",
  "/system/xbin/daemonsu",
  "/system/xbin/su",
  "/system/sbin/su",
  "/vendor/bin/su",
  "/cache/su",
  "/data/su",
  "/dev/su",
  "/system/bin/.ext/su",
  "/system/usr/we-need-root/su",
  "/system/app/Kinguser.apk",
  "/data/adb/magisk",
  "/sbin/.magisk",
  "/cache/.disable_magisk",
  "/dev/.magisk.unblock",
  "/cache/magisk.log",
  "/data/adb/magisk.img",
  "/data/adb/magisk.db",
  "/data/adb/magisk_simple",
  "/init.magisk.rc",
  "/system/xbin/ku.sud"

检测一些root的app如magisk等。

  "com.noshufou.android.su",
  "com.noshufou.android.su.elite",
  "eu.chainfire.supersu",
  "com.koushikdutta.superuser",
  "com.thirdparty.superuser",
  "com.yellowes.su",
  "com.koushikdutta.rommanager",
  "com.koushikdutta.rommanager.license",
  "com.dimonvideo.luckypatcher",
  "com.chelpus.lackypatch",
  "com.ramdroid.appquarantine",
  "com.ramdroid.appquarantinepro",
  "com.topjohnwu.magisk",
  "com.kingroot.kinguser",
  "com.kingo.root",
  "com.smedialink.oneclickroot",
  "com.zhiqupk.root.global",
  "com.alephzain.framaroot",
  "com.android.vending.billing.InAppBillingService.COIN",
  "com.android.vending.billing.InAppBillingService.LUCK",
  "com.chelpus.luckypatcher",
  "com.blackmartalpha",
  "org.blackmart.market",
  "com.allinone.free",
  "com.repodroid.app",
  "org.creeplays.hack",
  "com.baseappfull.fwd",
  "com.zmapp",
  "com.dv.marketmod.installer",
  "org.mobilism.android",
  "com.android.wp.net.log",
  "com.android.camera.update",
  "cc.madkite.freedom",
  "com.solohsu.android.edxp.manager",
  "org.meowcat.edxposed.manager",
  "com.xmodgame",
  "com.cih.game_cih",
  "com.charles.lpoqasert",
  "catch_.me_.if_.you_.can_"

这里通过一些公开的脚本去绕过，直接可以绕过。

frida -U -f com.xxxx.xxxx -l anti_root.js --no-pause

此时不再闪退。

数据包测试

挂上代理进行测试抓包，发现存在参数加密。

还是需要脱壳进行分析。这里已经绕过了root检测，没有frida检测，直接上frida-dexdump就行。

frida-dexdump -FU

分析后定位到类：com.xxxx.xxxx.utils.http.DESHelp 直接hook就行。

frida rpc

只是hook加解密还是用很多不方便的地方，有时候需要去主动调用对应的加解密函数。这里可以用brida，或者是httpdecrypt等工具。这里提供一个通过python frida交互，使用rpc来完成主动调用。调用也很简单，只是代码写死在了js脚本中，所用使用rpc.exports开启RPC调用接口，后面使用python来调用。

 function htddecrypt(param,key){
      var result;
      Java.perform(function () {
          
          var hclass = Java.use("com.xxxx.xxxx.utils.http.DESHelp");
          var hexarry = hclass.parseHexStr2Byte(param);
          param = byteToString(hexarry);
          console.log("[*] Hooking ...");
          result = hclass.decrypt(param, key);
          //console.log(result); 
      });
      return result;
  }

  function htdencrypt(param,key){
      var result;
      var enc
      Java.perform(function () {
          var hclass = Java.use("com.xxxx.xxxx.utils.http.DESHelp");
          console.log(param);
          enc = hclass.encrypt(param, key);
          //console.log(result); 
          var hexarry = stringToByte(enc);
          result = hclass.parseByte2HexStr(hexarry);
      });
      return result;
  }    

  rpc.exports = {  
      rpcfunc: htdencrypt,
      rpcfunc1: htddecrypt

  }

通过python中代码:

session = frida.get_usb_device().attach("com.xxxx.xxxx")   
script = frida_rpc(session)
param = str(sys.argv[2])
ret = script.exports.rpcfunc(param,"CCCk+H%b6.MMMMkoKKK")
print(ret)

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。