Android脱壳之整体脱壳原理与实践，腾讯T3大牛总结

最新推荐文章于 2024-05-11 21:49:41 发布
最新推荐文章于 2024-05-11 21:49:41 发布
阅读量393 收藏 8
点赞数 5
分类专栏： 2024年程序员学习 文章标签： android
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_54926105/article/details/137307073
版权
  1. DexClassLoader: 从源码中可以看到几乎和BaseDexClassLoader没有区别，它继承自BaseDexClassLoader，一般用于实现插件化和加壳
  2. InMemoryDexClassLoader: 通过ByteBuffer数组来加载dex的加载器，它继承自BaseDexClassLoader
  3. 自定义ClassLoader: 可以实现想实现的任何功能

前面说过壳加载完原始的dex以后还需要对ClassLoader进行修正，否则加载组件类运行的时候会报ClassNotFoundException，为什么会报这种错误呢? 这就涉及到了组件类的创建过程，比如对于Activity来说，应用程序的Activity对象是在ActivityThread类的performLaunchActivity()方法中通过调用mInstrumentation.newActivity()创建出来的，这个函数的实现逻辑为:

2021-05-14_16-36.png 可以看到是通过ClassLoader先加载Activity类，再通过newInstance()来实现化类对象。
这个方法传递进来的ClassLoader是加载应用程序的ClassLoader,它所加载的dex为应用程序的主体的dex,对应的DexPathList是没有原始的dex路径的，因此会报ClassNotFoundException。这里也可以看出，一个BaseClassLoader对应着其实是一个Dex文件的列表，如果尝试让BaseClassLoader加载不在这个列表中的类，就会报ClassNotFoundException。
为了解决上面的问题，可以有两种解决方案:

  1. 替换系统组件类加载器为我们的DexClassLoader,同时设置DexClassLoader的parent为系统组件类加载器
  2. 打包原有的双亲关系，在系统组件类加载器和BootClassLoader的中间插入我们的DexClassLoader,即加载原始dex的DexClassLoader作为PathClassLoader的parent

第一种解决方案是将系统组件类替换，这样通过mInstrumentation.newActivity()试图加载类的时候，就能找到相应的类。
第二种解决方案将ClassLoader的继承关系修改为: BootClassLoader --> DexClassLoader --> PathClassLoader,由于双亲委派机制的存在，当PathClassLoader找不到动态加载的原始dex时，它会请求parent即DexClassLoader加载，因此可以加载成功。
还有一些壳是通过对PathClassLoader中的Elements数组进行合并来达到目的，这样的好处是当你试图用Frida枚举ClassLoader对象的时候，看不到额外的ClassLoader对象，也就无法轻易的得到Dex文件加载的路径。

五. 通用整体脱壳方法:

从上面的内容可以得知，加载Dex有很多种实现方式，每种壳的实现都不一定相同，如果想实现一个比较通用的整体脱壳方法，就必须寻找一个壳绕不开的方式来实现。这个关键的数据结构就是art虚拟机中定义的类art::DexFile,它的定义位于art/runtime/dex_file.h文件中。
这个类有两个成员变量，分别代表着dex文件加载到内存当中的起始地址以及大小，得到这两个信息以后通过内存dump的方式就可以轻轻松松的将dex文件dump下来。
这就表示一个事实: 在某个时机点内存当中一定会有解密后的完整dex存在。

2021-05-14_17-26.png

art::DexFile是加载dex绕不开的类，不论是使用BaseClassLoader,还是自定义类加载器，最终都需要art::DexFile,这一结论可以通过查阅class_linker.cc文件中的函数得到,像ClassLinker::DefineClass，ClassLinker::LoadMethod，ClassLinker::LoadClassMembers这些重量级函数都需要以DexFile对象做为参数:

2021-05-14_17-34.png

2021-05-14_17-34_1.png

2021-05-14_17-34.png

通过BaseDexClassLoader来加载类会执行art/runtime/native/dalvik_system_DexFile.cc的DexFile_defineClassNative函数,这个函数的实现就是遍历Java层的DexFile的mCookie对象所表示的native层的art::DexFile，因为这个art::DexFile对象代表了dex文件在内存中的结构，所以可以通过类名在art::DexFile列表中查找到DexFile::ClassDef结构，才能继续调用ClassLinker::DefineClass()函数，最终才能得到一个虚拟机实现中的Class对象表示mirror::Class*,因此这个流程仍然离不开虚拟机中的art::DexFile类。

2021-05-14_17-46.png

这还会引发出一个问题:
art虚拟机执行smail指令可以解释执行，这种模式叫Interpreter模式(很显然解释模式下需要dex文件存在于内存当中才能解释执行)
也可以执行oat以后elf文件中的本地机器指令，这种模式叫quick code模式。
在quick code模式中，dex编译出来的机器指令包含在dex2oat生成出来的oat文件中(对于app来说，oat文件以.odex结尾),那么对于quick code模式是否还需要dex文件呢？如果不需要dex文件，是不是就无法在内存中dump出dex文件了?

事实上quick code模式内存中也是会有原始的dex文件存在的，具体的执行逻辑在Runtime的GetOatFileManager().OpenDexFilesFromOat()函数中,在这个函数中如果走dex2oat流程的话就会执行oat_file_assistant.MakeUpToDate()调用dex2oat命令生成odex和vdex文件，并生成OatFile类的对象,这个类就代表着dex2oat以后oat文件在内存中的映射表示，oat文件其实就是可执行文件，只不过它有特殊的几个符号:oatdata,oatlastword,oatbss,oatbsslastword等，OatFile类中的成员变量oat_dex_files_storage_是个std::vector<const OatDexFile*>类型的变量，而OatDexFile类表示的是这个oat文件所对应的dex文件的信息(列表)，通过OatDexFile的dex_file_pointer_即可以找到对应的art::DexFile对象的地址。
在android8.0以后，oat文件存放着dex文件编译出来的可执行指令，而原始的dex内容其实存放在vdex文件中，这一点可以在后面的dump程序中看到。
在quick code模式下也需要原始dex的存在的原因是dex文件还存放着类相关的信息，如class_def_item,method_id_item，对于类方法的执行还离不开这些信息。

六. 整体脱壳实践:

既然知道虚拟机中的art::DexFile类是dex在内存中的表示，那么得到这个对象就可以dump出dex文件。
接下来就是寻找一个合适的点可以得到art::DexFile对象,得到对象以后通过hook的方式或者修改源码的方式都可以dump下来了。
下面是脱函数抽取型壳fart的作者寒冰大佬所提出的办法:
找到libart.so文件中所有导出函数中带有art::DexFile参数或者返回值的函数，那么这就是一个可以脱壳的点
我写了一个命令可以查找满足这种条件的函数:

arm64-readelf -s libart.so -W | tr -s ’ ’ | cut -f9 -d ’ '| c++filt | grep “art::DexFile”

比如在art/runtime/dex_file.cc的DexFile::OpenCommon或者DexFile::DexFile中添加如下代码即可脱壳:

pid_t pid = getpid();
char dexfilepath[100] = {0};
sprintf(dexfilepath,“/sdcard/drdump_%d_%d_DexFile.dex”,(int)size,(int) pid);
int fd = open(dexfilepath, O_CREAT | O_RDWR , 666);
if (fd > 0){
int number = write(fd,base,size);
if(number > 0){
}
close(fd);
}

这种是修改源码的方式来脱壳。

还有一种方式是通过frida hook来脱壳,它的优点是简单有效，不需要重新编译rom。
它的原理如下:
对于通过使用BaseDexClassLoader来加载的程序来说，DexFile.java类的mCookie变量在native层的表现其实是一个jlong类型的指针的数组，数组的个数为此ClassLoader加载的dex文件个数 + 1,第一个元素类型为OatFile*,剩余的元素为对应的art::DexFile*，因此可以通过获取mCookie变量来得到art::DexFile*列表，并且通过art::DexFile的begin_和size_来dump。
代码如下:

function hasOwnProperty(obj, name) {
try {
return obj.hasOwnProperty(name) || name in obj;
} catch (e) {
return obj.hasOwnProperty(name)
}
}

function getHandle(object) {
var result = null;
if (hasOwnProperty(object, "KaTeX parse error: Expected '}', got 'EOF' at end of input: …esult = object.handle;
if (result) {
return result;
}
}
if (hasOwnProperty(object, "KaTeX parse error: Expected '}', got 'EOF' at end of input: … return object.h;
}

return null;
}

function dump_dex(packagename, dexfilebegin, dexfilesize) {
var dexfile_path = “/sdcard/my_frida_dump_” + packagename + “_” + dexfilesize + “.dex”;
var dexfile_handle = new File(dexfile_path, “w”);
if (dexfile_handle && dexfile_handle != null) {
var dex_buffer = ptr(dexfilebegin).readByteArray(dexfilesize);
dexfile_handle.write(dex_buffer);
dexfile_handle.flush();
dexfile_handle.close();
}
}

function dealwithClassLoader(classloaderobj, packagename) {
if (Java.available) {
Java.perform(function () {
try {
var dexfileclass = Java.use(“dalvik.system.DexFile”);
var BaseDexClassLoaderclass = Java.use(“dalvik.system.BaseDexClassLoader”);
var DexPathListclass = Java.use(“dalvik.system.DexPathList”);
var Elementclass = Java.use(“dalvik.system.DexPathList$Element”);
var basedexclassloaderobj = Java.cast(classloaderobj, BaseDexClassLoaderclass);
var tmpobj = basedexclassloaderobj.pathList.value;
var pathlistobj = Java.cast(tmpobj, DexPathListclass);
console.log(“pathlistobj->” + pathlistobj);
var dexElementsobj = pathlistobj.dexElements.value;
console.log(“dexElementsobj->” + dexElementsobj);
for (var i in dexElementsobj) {
var obj = dexElementsobj[i];
var elementobj = Java.cast(obj, Elementclass);
console.log(“elementobj->” + elementobj);
tmpobj = elementobj.dexFile.value;
var dexfileobj = Java.cast(tmpobj, dexfileclass);
var mCookie = dexfileobj.mInternalCookie.value;
var mInternalCookie = dexfileobj.mInternalCookie.value;
if (mCookie != null) {
var jnienv = Java.vm.tryGetEnv();
var cookiePtr = getHandle(mCookie);
var arrayLength = jnienv.getArrayLength(cookiePtr);
var long_data = jnienv.getLongArrayElements(cookiePtr, 0);
console.log(“arrayLength:” + arrayLength + “,long_data:” + long_data);
for (var i = 1; i < arrayLength; i++) {
var dexfileptr = Memory.readPointer(ptr(long_data).add(8 * i));
var dexfilebegin = Memory.readPointer(ptr(dexfileptr).add(Process.pointerSize * 1));
var dexfilesize = Memory.readU32(ptr(dexfileptr).add(Process.pointerSize * 2));
console.log(“pointer:” + dexfileptr + “,dexfilebegin:” + dexfilebegin + “,dexfilesize:” + dexfilesize);
dump_dex(packagename, dexfilebegin, dexfilesize);
}
}
}
} catch (e) {
console.log(e);
}

});
}

}

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Android工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Android移动开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
img
img
img
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Android开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加V获取：vip204888 （备注Android）
img

最后

在这里小编整理了一份Android大厂常见面试题，和一些Android架构视频解析，都已整理成文档，全部都已打包好了，希望能够对大家有所帮助，在面试中能顺利通过。

image

image

喜欢本文的话，不妨顺手给我点个小赞、评论区留言或者转发支持一下呗

Android大厂常见面试题，和一些Android架构视频解析，都已整理成文档，全部都已打包好了，希望能够对大家有所帮助，在面试中能顺利通过。

[外链图片转存中…(img-SurrIx6T-1712078268341)]

[外链图片转存中…(img-PK3eLBys-1712078268341)]

喜欢本文的话，不妨顺手给我点个小赞、评论区留言或者转发支持一下呗

本文已被CODING开源项目：《Android学习笔记总结+移动架构视频+大厂面试真题+项目实战源码》收录

程序员小伊
关注
  • 5
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Android逆向解析加壳与脱壳技术
m0_71524094的博客
06-08 4057
需要注意的是，这只是一个简单的示例代码，实际的脱壳代码可能会更加复杂。需要注意的是，该示例只是一个简单的加壳代码示例，实际的加壳代码可能会更加复杂。脱壳指的是将加上保护壳的 Android 应用程序还原为未加壳的状态，以便开发者能够更好地分析和处理应用程序的代码。如果要脱壳加密的应用程序，需要了解加密的方式并寻找去除加密的方法，例如反编译、模拟器调试、修改 dex 文件等。需要注意的是，加壳和脱壳都需要具备 Java 开发、反汇编、逆向分析等技术技能，对于普通的开发者来说是比较困难的任务。
脱壳工具 BlackDex32 3.1.0 Android手机脱壳工具
03-18
BlackDex是一个运行在Android手机上的脱壳工具，支持5.0～12，无需依赖任何环境任何手机都可以使用，包括模拟器。只需几秒，即可对已安装包括未安装的APK进行脱壳。 声明 [本项目并不针对任何加固，在遇到检测环境...
【胖虎的逆向之路】03——Android一代壳脱壳办法罗列&实操
无方少年游
01-16 5558
在上文中，我们讲解了关于Android整体加壳的原理和实际操作，现在我们来针对目前主流的脱壳工具以及流程进行讲解，由于作者能力有限，会尽力的详细描述整体壳脱壳提示：以下是本篇文章正文内容，下面案例可供参考本文总结了当下dex整体加壳的常用的一些脱壳方案，并进行复现，但是在这里仅作为实验加深自己的理解为主（目前也不会这么简单的就可以拿到源Dex）但是有兴趣的朋友可以像我一样去把整个流程走一遍，加深自己的理解~
Android漏洞之战——整体加壳原理和脱壳技巧详解
q2919761440的博客
08-17 1492
为了帮助更加方便的进行漏洞挖掘工作，前面我们通过了几篇文章详解的给大家介绍了动态调试技术、过反调试技术、Hook技术、过反Hook技术、抓包技术等，掌握了这些可以很方便的开展App漏洞挖掘工作，而最后我们还需要掌握一定的脱壳技巧，进行进一步助力我们漏洞挖掘的效率，本文主要介绍Android App加壳中的整体dex加壳，帮助大家掌握加壳的原理和脱壳的各种技能。本文第二节主要讲述Android启动流程和加壳原理本文第三节主要介绍整体加壳的实现本文第四节主要讲当下脱壳点的概念。
Android逆向——脱壳解析
鸿蒙的技术博客
09-11 1968
壳”是一种对程序进行加密的程序，“壳”形象地表现了这个功能。我们可以把被加壳的程序当成食物，而加壳程序就是在外面加上一层坚硬的外壳，防止别人去窃取其中的程序。加壳后的程序依然可以被直接运行。在程序运行时壳的代码先运行，然后再运行原来的程序。主要目的是为了隐藏程序的OEP（入口点），防止外部软件对程序的反汇编分析或动态分析。许多病毒通过加壳来达到免杀的目的，但壳也用在保护正版软件不被破解。
Android 逆向之脱壳实战篇
1
06-18 2417
这篇文章比较干，比较偏实战，看之前建议先喝足水，慎入。在学脱壳之前，我们先来复习一下，什么时候是加固？加固本质上就是对 dex 文件进行加壳处理，让一些反编译工具反编译到的是 dex 壳，而不是 dex 文件本身。具体的实现方式是，将原 dex 文件进行加密，再合成到 dex 壳中，而系统运行应用的时候，会加载 dex 壳文件，而 dex 壳里面有一个自定义的 ClassLoader 类，它会将原有 dex 文件进行解密，然后再加载到 dex 数组中。学完了加固，那么什么是脱壳呢？
腾讯加固腾讯云加固脱壳脱壳
11-23
### 腾讯云加固技术解析与应对策略 #### 一、腾讯云加固概述 腾讯云加固服务（现称为“腾讯应用宝加固”）是一项专为移动应用提供保护的服务，旨在帮助开发者保护其应用程序免受恶意逆向工程、破解及篡改等安全...
Android frida 一键脱壳
09-22
Android frida 一键脱壳 py脚本
详解ILProtector并写出脱壳机，比较详细的文档说明脱壳方法原理
10-28
本文将深入探讨ILProtector的工作原理，并逐步指导如何编写一个简单的脱壳机，以便对这一保护机制进行理解。 1. ILProtector的工作原理： ILProtector的核心在于其混淆技术。在.NET环境中，源代码编译后生成MSIL...
脱壳案例分析下载
02-06
脱壳案例分析
Android脱壳之整体脱壳原理与实践，头条android面试算法
m0_60707685的博客
03-23 857
其实Android开发的知识点就那么多，面试问来问去还是那么点东西。所以面试没有其他的诀窍，只看你对这些知识点准备的充分程度。so，出去面试时先看看自己复习到了哪个阶段就好。虽然 Android 没有前几年火热了，已经过去了会四大组件就能找到高薪职位的时代了。这只能说明 Android 中级以下的岗位饱和了，现在高级工程师还是比较缺少的，很多高级职位给的薪资真的特别高（钱多也不一定能找到合适的），所以努力让自己成为高级工程师才是最重要的。
【Android】脱壳之Frida-dexdump小计
HWHXY的博客
06-08 4271
本文详细介绍了frida-dexdump脱壳原理相关知识并且在实战中进行了脱壳操作。
Android脱壳工具整理
热门推荐
Andy0214的专栏
12-22 2万+
现在开源的脱壳工具比较多，今天我们来分享几款比较常见的脱壳工具，有刷入定制系统的脱壳机方式的，有Xpose模块hook关键函数的，也有Frida工具hook脱壳的，各有优缺点，小伙伴们可以自由搭配使用。 FART 这款脱壳工具是寒冰大佬写的，是通过刷入大佬定制的系统，进而在程序运行中动态脱壳。 具体介绍可见大佬的github：https://github.com/hanbinglengyue/FART 原理介绍：https://bbs.pediy.com/thread-252630.htm 有些人可
Android脱壳之整体脱壳原理与实践
最新发布
2401_84912116的博客
05-11 1105
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数初中级Android工程师，想要提升技能，往往是自己摸索成长，自己不成体系的自学效果低效漫长且无助。因此我收集整理了一份《2024年Android移动开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Android开发知识点！
一款惊艳的Android脱壳工具
2401_84004024的博客
04-12 2251
今天给大家带来的项目是：dumpDex-Android脱壳有加密就有解密，Android的App也是如此。市面上有很多加壳工具，比如梆梆、爱加密、乐固等，有收费的也有免费的，还有就是公司自己研发的给公司内部App使用的加密工具。我们今天介绍的是怎么给加了壳的App脱壳，这里用到的工具是dumpDex。插件需要在xposed环境中使用,支持市面上大多数加密壳,软件仅供学习用，请勿用于其他用途,项目不是成品，可能会引起软件崩溃.
Android 10(38)
xcbyaya的博客
04-28 303
针对Android程序员，我这边给大家整理了一些资料，包括不限于高级UI、性能优化、架构师课程、NDK、混合式开发（ReactNative+Weex）微信小程序、Flutter等全方面的Android进阶实践技术；希望能帮助到大家，也节省大家在网上搜索资料的时间来学习，也可以分享动态给身边好友一起学习！往期Android高级架构资料、源码、笔记、视频。高级UI、性能优化、架构师课程、混合式开发（ReactNative+Weex）全方面的Android进阶实践技术，群内还有技术大牛一起讨论交流解决问题。
Android App加固与脱壳技术深度探究
"对Android App加固和脱壳方法的研究...Android App加固和脱壳的斗争是一个持续的过程，加固技术不断进化，脱壳方法也随之更新。开发者和安全研究人员需要时刻关注最新的防护手段，以便及时调整策略，确保App的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值