Unicorn与Android

Unicorn 是一款非常优秀的跨平台模拟执行框架，该框架可以跨平台执行Arm, Arm64 (Armv8), M68K, Mips, Sparc, & X86 (include X86_64)等指令集的原生程序。

Unicorn 不仅仅是模拟器，更是一种“硬件级”调试器，使用Unicorn的API可以轻松控制CPU寄存器、内存等资源，调试或调用目标二进制代码，现有的反调试手段对Unicorn 几乎是无效的。 目前国内的Unicorn 学习资料尚少，防御手段也稀缺，官方入门教程虽短小精悍缺无法让你快速驾驭强大的Unicorn，故写这一些列文章。这几篇文章将带你学习Unicorn 框架并开发一款支持JNI的原生程序调用框架、o-llvm 还原脚本、静态脱壳机等。

分析基于https://github.com/AeonLucid/AndroidNativeEmu 开源项目做分析。本人能力微薄，冒昧对此项目进行完善，目前已经实现更多的JNI 函数和syscall，完善mmap映射文件等。参考我的项目：

https://github.com/Chenyuxin/AndroidNativeEmu。
我由衷地感谢AndroidNativeEmu 原作者提供函数hook及模拟JNI的思路，我曾日思夜想如何优雅地模拟JNI，没想到该项目的实现方式竟然十分优雅。

我希望通过这一系列的文章，让更多的人学习Unicorn 框架，学习如何模拟调用，也希望厂商重视对Unicorn的检测！ 实践中，这都9102年了，我发现目前仍有加固产品能用Unicorn 跑出dex文件！这一些列的文章，不仅会学习Unicorn，还会学习到优秀的反汇编框架Capstone、汇编框架Keystone。

应用场景
Windows & Linux 跨平台调用Android Native 程序、Api监控、病毒分析、获取Code Coverage、加固方案分析、反混淆等。安全防御方面，简化Unicorn，魔改Unicorn，甚至可以打造一款让逆向工作者感觉云里雾里代码保护器。这里列出的应用场景只是冰山一角！

分析360加固的时候使用Unicorn ， 反调试清晰可见

检查status和tcp 文件，只需模拟文件系统，就可以绕过。

360加固寻找解压缩函数地址操作

Native 动态注册

操作ART

JNI操作一览无余

dump 某加固dex

文章列表
*
[x]Unicorn 快速入门
*
[x]Unicorn 优秀项目一览
*
[x]Unicorn 调试器编写
*
[x]Unicorn 分析o-llvm 真实块之间的关系
*
[x]Unicorn 调用SO之模块加载
*
[x]Unicorn 调用SO之内存管理
*
[x]Unicorn 调用SO之函数级Hook
*
[x]Unicorn 调用SO之系统调用
*
[x]Unicorn 调用SO之文件系统
*
[x]Unicorn 调用SO之实现 JNI Functions
*
[]Unicorn 调用SO框架已成，实战调用
*
[]Unicorn 检测技术
*
[]Unicorn 开发静态脱壳机