一文带你实现获取检测apk的父进程

教IT的小强

已于 2024-01-08 17:59:38 修改

阅读量59

点赞数

文章标签：网络网络安全 apk 父进程获取检测

于 2023-02-28 23:00:00 首次发布

本文链接：https://blog.csdn.net/m0_59598029/article/details/129265821

版权

简介

每个App的用于程序都是通过父进程zygote进行fork出来的子进程，所以zygote也是所有app的父进程。那么对于zygote进程可以用于检测判断app应该是否处于被调试状态。

检测父进程原理

有的时候不使用apk附加调试的方法进行逆向，而是写一个.out可执行文件直接加载so进行调试，这样程序的父进程名和正常启动apk的父进程名是不一样的。

实验测试

1、正常启动的apk程序：父进程是zygote2、调试启动的apk程序：在AS中用LLDB调试发现父进程还是zygote3、附加调试的apk程序：父进程是zygote4、vs远程调试用可执行文件加载so:父进程名为gdbserver

实验结论：父进程名非zygote的，判定为调试状态

代码实现

 int CheckApkParents()
 { 

// 设置buf 
 char strPpidCmdline[0x100]={0};
 snprintf(strPpidCmdline, sizeof(strPpidCmdline), "/proc/%d/cmdl ine", getppid()); 
 // 调用系统的open函数进行打开文件 
 int file=open(strPpidCmdline,O_RDONLY); if(file<0) 
 {  //打开失败， LOGA("CheckApkParents open错误!\n"); return -1;
 }
 
 // 文件内容读入内存
 memset(strPpidCmdline,0,sizeof(strPpidCmdline)); 
 //调用系统read函数进行读内存操作
 ssize_t ret=read(file,strPpidCmdline,sizeof(strPpidCmdline));
 if(-1==ret) 
 { 
 //读取内存数据失败 LOGA("CheckApkParents read错误!\n"); return -1; 
 }
 // 没找到返回0
 char sRet=strstr(strPpidCmdline,"zygote"); 
 if(NULL==sRet)
 { 
 
 // 执行到这里，判定为调试状态  LOGA("父进程cmdline没有zygote子串!\n"); return 0; 
 }

 return 1;
 }