IDA远程调试Android中so文件
前言:
使用IDA进行动态调试so,有两种方式进行调试,一种是调试启动方式,调试启动可以调试jni_onload ,init_array 处的代码,可以在较早的时机得到调试权限,一般反调试会在较早的时候进行启动; 而另一种则是附加调试,附加调试是在APP已经运行起来的时候进行附加调试,这两种方式与Windows上的调试启动和附加调试概念很相似;下面我们来进行实践把...
实践环境:Windows 10 + IDA Pro 7.0 + Nexus5(4.4.4)
正文:
第一种调试启动:
1. 以调试的方式启动程序(这样可以在jni_onload ,init_array 处断下来)
adb shell am start -D -n com.yaotong.crackme/.MainActivity
![](https://i-blog.csdnimg.cn/blog_migrate/2f712627d9054bf47f3eaacaa02e2f66.png)
2. 在IDA的主目录 dbgsrv 目录下 ,找到 android_server,拷贝到手机的 data/local/tmp/ 目录下
adb push (android_server的目录) /data/local/tmp
![](https://i-blog.csdnimg.cn/blog_migrate/2caec61b7a211934f47adfb952558087.png)
3. 使用chmod修改android_server程序的执行权限并执行:
adb shell chmod 755 /data/local/tmp/android_server
![](https://i-blog.csdnimg.cn/blog_migrate/09bbefeb55fbb159724a87a6dfffe7ec.png)
执行android_server
adb shell
su
cd data/local/tmp
./android_server
![](https://i-blog.csdnimg.cn/blog_migrate/0180ca1f8cdd1d1caa01eecd1baf852a.png)
4. 新开一个cmd窗口使用forward程序进行端口转发:
adb forward tcp:23946 tcp:23946
![](https://i-blog.csdnimg.cn/blog_migrate/dadde38b66f6afc3e544122045be2017.png)
5. 打开方法调试:
打开IDA,选择菜单Debugger -> Attach -> Remote ARM Linux/Android debugger
![](https://i-blog.csdnimg.cn/blog_migrate/c85f4f004e3c811b541ac0521d53fff2.png)
6. Hostname 填写 127.0.0.1或者locahost (都是一个意思)
Port 自动填的23946
![](https://i-blog.csdnimg.cn/blog_migrate/56e4bb8788a50d94e0c2bdb0b515799d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/7d6c874a683b9d1205e8c294a328a468.png)
![](https://i-blog.csdnimg.cn/blog_migrate/556df2afed0726b2caabc27ea4254ae8.png)
8. 点击菜单Debugger->Debugger Opitions 在弹出的Debugger setup窗口的Events中选择 Suspend on Process entry和Suspend on thread start/exit 以及 Suspend on library load/unload,再点击OK退出。通过此操作可以设置程序在创建新线程和加载so时自动中断。
![](https://i-blog.csdnimg.cn/blog_migrate/84371015dd14f143efe0051ed1b2995c.png)
通过DDMS获取相应进程的端口号,然后使用jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=XXXX(DDMS查询到的端口号,一般ddms进行转发后的端口都是8700)
![](https://i-blog.csdnimg.cn/blog_migrate/7b688b903273dc769e5245dbe7f4bb0f.png)
![](https://i-blog.csdnimg.cn/blog_migrate/2e889ba76326bdc1663d57778c020280.png)
连接成功后,在IDA按F9后手机上的“waiting for debugger"提示会自动消失,这个时候应该已经断在新线程,或者加载so处了。
![](https://i-blog.csdnimg.cn/blog_migrate/e6a6aec3bda118be7ac476b2bb769e31.png)
9. 现在就可以在IDA中按下快捷键CTRL + S来查看要调试的so是否已经加载了,如果没有就F9,直到加载了为止;如果已经有了,就记下该so的start位置,然后另开一个ida分析.so库,找到JNI_ONLOAD的偏移地址,那么该JNI_OnLoad函数在进程中的真实地址就是so.start + JNI_OnLoad_Offset。
![](https://i-blog.csdnimg.cn/blog_migrate/eb80510047f908df5734ced97d3873f1.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ac20a293a62b2c5fd723af79866b8ac5.png)
这里需要说明的是:有可能在快捷键CTRL + S跳出的窗口中有两个同名的so,我们应当选择权限为RX的这个,RX一般是代码段,RW一般是数据段。
10. 得到真实地址后,在IDA中按下快捷键G跳转到这个地址,然后按下快捷键F2就完成在JNI_OnLoad函数入口处下断点了。如果想直接在native函数下断点,那么另开一个IDA 进行静态查看函数地址然后转换成为动态加载起来的地址,接着G到该地址下断点即可
11. 再次按下F9,则在JNI_OnLoad断了下来,接着就可以进行调试等系列操作了...
![](https://i-blog.csdnimg.cn/blog_migrate/3f8116745c313be4d2ced3e572fdfe4f.png)
adb shell
su
cd data/local/tmp
./android_server
6打开IDA,选择菜单Debugger -> Attach -> Remote ARM Linux/Android debugger
![](https://i-blog.csdnimg.cn/blog_migrate/c85f4f004e3c811b541ac0521d53fff2.png)
Hostname 填写 127.0.0.1或者locahost (都是一个意思)
Port 自动填的23946
![](https://i-blog.csdnimg.cn/blog_migrate/56e4bb8788a50d94e0c2bdb0b515799d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/7d6c874a683b9d1205e8c294a328a468.png)
![](https://i-blog.csdnimg.cn/blog_migrate/a430465553908847d6ac2e70f20317ad.png)
![](https://i-blog.csdnimg.cn/blog_migrate/845efdde290da4c3d6c5a6686cdd00d2.png)