ks短视频sig3算法分析

逆向软件开发

已于 2024-12-09 16:20:23 修改

阅读量1.2k

点赞数 23

分类专栏：技术实战文章标签：音视频算法

于 2024-12-09 16:17:27 首次发布

本文链接：https://blog.csdn.net/2403_87731058/article/details/144348188

版权

sig3是某个很火的短视频的核心加密参数,48位,主要介绍深度ollvm混淆的so层算法如何还原,除此之外,此app还有大量的花指令需要处理,这块看龙哥的就好了,非常清晰.

1	`https://www.yuque.com/lilac-2hqvv/zfho3g/issny5?#%20%E3%80%8A%E8%8A%B1%E6%8C%87%E4%BB%A4%E5%A4%84%E7%90%86%EF%BC%88%E4%B8%80%EF%BC%89%E3%80%8B`

前提准备:

一份去花过后的so,so和apk放123云盘了,在文章末尾.
熟悉crc32,WhiteBoxaes,sha256以及hmac算法,了解越多你能还原的可能性就越大,了解的程度不限于算法细节,特征值,以及算法的魔改方向.本章除了白盒AES不过多介绍,因为写过很多篇了,需要的翻我之前的文章,crc32和sha256以及hmac都会详细介绍.如果你只知道一个md5也没关系,看完你也能收货很多逆向技巧.

因为写文章的时候没办法完全还原我最初的思路,所以我尽可能按照第一次分析这个so的思路来写,所以如果某个地方你觉得很神奇作者tm是怎么想到的,不要奇怪,因为他踩了很多坑,但是坑有很多,没办法完全展现出来,我只能确保你跟着我的思路算法一定可以搞出来,毕竟花几天分析一个so和你一个小时看完这篇文章是截然不同的.
我创建了一个逆向技术交流群,有需要的加我w lyaoyao__i(两个_)

unidbg辅助算法分析

此so有初始化校验,需要先初始化目标函数,否则不会返回正确结果.初始化这块也不是文章的重点,所以这块不详细介绍,一切与算法还原关系不大的我都会淡化,重点介绍上面的几个算法以及unidbg辅助分析算法的技巧.

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

package com.ks;

import com.github.unidbg.AndroidEmulator;

import com.github.unidbg.Emulator;

import com.github.unidbg.Module;

import com.github.unidbg.file.FileResult;

import com.github.unidbg.file.IOResolver;

import com.github.unidbg.linux.android.AndroidEmulatorBuilder;

import com.github.unidbg.linux.android.AndroidResolver;

import com.github.unidbg.linux.android.dvm.*;

import com.github.unidbg.linux.android.dvm.api.AssetManager;

import com.github.unidbg.linux.android.dvm.array.ArrayObject;

import com.github.unidbg.linux.android.dvm.wrapper.DvmBoolean;

import com.github.unidbg.linux.android.dvm.wrapper.DvmInteger;

import com.github.unidbg.memory.Memory;

import com.github.unidbg.virtualmodule.android.AndroidModule;

import com.github.unidbg.virtualmodule.android.JniGraphics;

import java.io.File;

import java.io.FileNotFoundException;

import java.util.ArrayList;

import java.util.List;

public class ks2 extends AbstractJni implements IOResolver{

@Override

public FileResult resolve(Emulator emulator, String pathname, int oflags) {

System.out.println("file open:"+pathname);

return null;

}

private final AndroidEmulator emulator;

private final VM vm;

private final Module module;

ks2(){

emulator = AndroidEmulatorBuilder.for64Bit().build();

// 获取模拟器的内存操作接口

final Memory memory = emulator.getMemory();

// 设置系统类库解析

memory.setLibraryResolver(new AndroidResolver(23));

// 创建Android虚拟机,传入APK，Unidbg可以替我们做部分签名校验的工作

vm = emulator.createDalvikVM(new File("unidbg-android/apks/ks/ks11.420.30984.apk"));

// 设置JNI

vm.setJni(this);

// 打印日志

vm.setVerbose(true);

new JniGraphics(emulator, vm).register(memory);

new AndroidModule(emulator, vm).register(memory);

emulator.getSyscallHandler().addIOResolver(this); //重定向io

// 加载目标SO

DalvikModule dm = vm.loadLibrary("kwsgmain", true);

// DalvikModule dm = vm.loadLibrary(new File("unidbg-android/apks/ks/libkwsgmain.so"), true);

//获取本SO模块的句柄,后续需要用它

module = dm.getModule();

// 调用JNI OnLoad

dm.callJNI_OnLoad(emulator);

};

public void callByAddress(){

List<Object> list = new ArrayList<>(4);

list.add(vm.getJNIEnv()); // 第⼀个参数是env

DvmObject<?> thiz = vm.resolveClass("com/kuaishou/android/security/internal/dispatch/JNICLibrary").newObject(null);

list.add(vm.addLocalObject(thiz)); // 第⼆个参数，实例⽅法是jobject，静态⽅法是jclass，直接填0，⼀般⽤不到。

DvmObject<?> context = vm.resolveClass("com/yxcorp/gifshow/App").newObject(null); // context

vm.addLocalObject(context);

list.add(10412); //参数1

StringObject appkey = new StringObject(vm, "d7b7d042-d4f2-4012-be60-d97ff2429c17"); // SO⽂件有校验

vm.addLocalObject(appkey);

DvmInteger intergetobj = DvmInteger.valueOf(vm, 0);

vm.addLocalObject(intergetobj);

list.add(vm.addLocalObject(new ArrayObject(intergetobj, appkey, intergetobj, intergetobj, context, intergetobj, intergetobj)));

// 直接通过地址调⽤

Number numbers = module.callFunction(emulator, 0x41680, list.toArray());

System.out.println("numbers:" + numbers);

DvmObject<?> object = vm.getObject(numbers.intValue());

String result = (String) object.getValue();

System.out.println("result:" + result);

};

@Override

public DvmObject<?> callObjectMethodV(BaseVM vm, DvmObject<?> dvmObject, String signature, VaList vaList) {

switch (signature) {

case "com/yxcorp/gifshow/App->getPackageCodePath()Ljava/lang/String;": {

return new StringObject(vm, "/data/app/com.smile.gifmaker-q14Fo0PSb77vTIOM1-iEqQ==/base.apk");

}

case "com/yxcorp/gifshow/App->getAssets()Landroid/content/res/AssetManager;": {

return new AssetManager(vm, signature);

}

case "com/yxcorp/gifshow/App->getPackageName()Ljava/lang/String;": {

return new StringObject(vm, "com.smile.gifmaker&

最低0.47元/天解锁文章