Android常见App加固厂商脱壳方法的整理

最新推荐文章于 2020-12-19 02:11:58 发布
最新推荐文章于 2020-12-19 02:11:58 发布
阅读量1.3w 收藏 11
点赞数 6
分类专栏： 安全

目录

  1. 简述（脱壳前学习的知识、壳的历史、脱壳方法）
  2. 第一代壳
  3. 第二代壳
  4. 第三代壳
  5. 第N代壳

简述

  1. Apk文件结构
  2. Dex文件结构
  3. 壳史
  4. 壳的识别

Apk文件结构

1

Dex文件结构

2

壳史

第一代壳 Dex加密

  1. Dex字符串加密
  2. 资源加密
  3. 对抗反编译
  4. 反调试
  5. 自定义DexClassLoader

第二代壳 Dex抽取与So加固

  1. 对抗第一代壳常见的脱壳法
  2. Dex Method代码抽取到外部（通常企业版）
  3. Dex动态加载
  4. So加密

第三代壳 Dex动态解密与So混淆

  1. Dex Method代码动态解密
  2. So代码膨胀混淆
  3. 对抗之前出现的所有脱壳法
  4. HOOK Dalvik的解释器的壳

第四代壳 arm vmp（未来）

  1. vmp

壳的识别

1.用加固厂商特征：

  • 娜迦： libchaosvmp.so , libddog.solibfdog.so
  • 爱加密：libexec.so, libexecmain.so
  • 梆梆： libsecexe.so, libsecmain.so , libDexHelper.so
  • 360：libprotectClass.so, libjiagu.so
  • 通付盾：libegis.so
  • 网秦：libnqshield.so
  • 百度：libbaiduprotect.so

2.基于特征的识别代码

3

第一代壳

  1. 内存Dump法
  2. 文件监视法
  3. Hook法
  4. 定制系统
  5. 动态调试法

内存Dump法

  • 内存中寻找dex.035或者dex.036
  • /proc/xxx/maps中查找后，手动Dump

4

5

6

7

文件监视法

8

9

10

Hook法

11

12

定制系统

  • 修改安卓源码并刷机

13

14

动态调试法

  • IDA Pro

15

16

17

  • gdb gcore法
.gdbserver :1234 –attach pid .gdb (gdb) target remote :1234 (gdb) gcore

coredump文件中搜索“dex.035”

18

第二代壳

  1. 内存重组法
  2. Hook法
  3. 动态调试
  4. 定制系统
  5. 静态脱壳机


内存重组法

Dex篇

ZjDroid http://bbs.pediy.com/showthread.php?t=190494

对付一切内存中完整的dex，包括壳与动态加载的jar

19

20

so篇

elfrebuild

21

22

构造soinfo，然后对其进行重建

23

24

Hook法

针对无代码抽取且Hook dvmDexFileOpenPartial失败

Hook dexFileParse

http://androidxref.com/4.4_r1/xref/dalvik/vm/DvmDex.cpp

25

https://github.com/WooyunDota/DumpDex

26

针对无代码抽取且Hook dexFileParse失败

Hook memcmp

http://androidxref.com/4.4_r1/xref/dalvik/vm/DvmDex.cpp

27

28

定制系统

修改安卓源码并刷机－针对无抽取代码

https://github.com/bunnyblue/DexExtractor

29

Hook dexfileParse

30

31

DexHunter-最强大的二代壳脱壳工具

https://github.com/zyq8709/DexHunter

DexHunter的工作流程：

32

DexHunter的工作原理：

33

绕过三进程反调试

http://bbs.pediy.com/showthread.php?p=1439627

34

35

修改系统源码后：

36

http://www.cnblogs.com/lvcha/p/3903669.html

37

ls /proc/345/task

38

./gdbserver :1234 --attach346 ... (gdb) gcore

gcore防Dump解决方案：

http://bbs.pediy.com/showthread.php?t=198995

断点mmap调试，针对Hook dexFileParse无效

原理： dexopt优化时， dvmContinueOptimization()->mmap()

39

静态脱壳机

分析壳so逻辑并还原加密算法

http://www.cnblogs.com/2014asm/p/4924342.html

40

自定义linker脱so壳

https://github.com/devilogic/udog

main() -> dump_file()

41

第三代壳

  1. dex2oat法
  2. 定制系统

dex2oat法

ART模式下，dex2oat生成oat时，内存中的DEX是完整的

http://bbs.pediy.com/showthread.php?t=210532

43

定制系统

Hook Dalvik_dalvik_system_DexFile_defineClassNative

枚举所有DexClassDef，对所有的class，调用dvmDefineClass进行强制加载

44

第N代壳

  1. so + vmp
  2. 动态调试 ＋ 人肉还原


mergerly
关注
  • 6
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
安卓逆向笔记(课外资料)
qq_43593334的博客
04-06 1461
安卓逆向笔记(二) 只有知识点 分析apk主要组成 1、AndroidMainfest.xml-----配置清单       该文件是每个应用都必须定义和包含的，它描述了用的名字、版本、权限、引用的库文件等等信息，如果要把apk上传到Google Market上，也要对这个xml做一些配置。在apk中的AndroidMainfest.xm...
什么是APP加固？
最新发布
Rverdoser的博客
06-06 366
APP加固作为一种有效的安全防护手段，能够大幅提升应用的安全性，保护用户和企业的利益。APP加固是一系列技术手段的集合，旨在提升移动应用程序的安全性，保护其免受各种攻击和威胁。加固技术可以对应用程序的代码、数据、运行环境等多个方面进行保护，从而提高应用的整体安全性和韧性。防篡改保护技术主要是通过建立应用程序的完整性校验机制，检测和防止应用被未经授权的修改或篡改。代码混淆是通过改变源代码的结构和命名，使得代码更加难以理解和逆向工程，从而增加攻击者分析和破解代码的难度。确保应用的正常运行，降低安全事件的频率。
android elf 加固_常见android app加固厂商脱壳方法研究
weixin_39760434的博客
12-19 140
目录简述(脱壳前学习的知识、壳的历史、脱壳方法)第一代壳第二代壳第三代壳第N代壳简述Apk文件结构Dex文件结构壳史壳的识别Apk文件结构Dex文件结构壳史第一代壳 Dex加密Dex字符串加密资源加密对抗反编译反调试自定义DexClassLoader第二代壳 Dex抽取与So加固对抗第一代壳常见的脱壳法Dex Method代码抽取到外部(通常企业版)Dex动态加载So加密第三代壳 Dex动态解密与...
常见android app加固厂商脱壳方法研究
weixin_41508948的博客
11-26 590
目录简述（脱壳前学习的知识、壳的历史、脱壳方法） 第一代壳 第二代壳 第三代壳 第N代壳 简述Apk文件结构Dex文件结构壳史壳的识别Apk文件结构 Dex文件结构 壳史 第一代壳 Dex加密 Dex字符串加密资源加密对抗反编译反调试自定义DexClassLoader 第二代壳 Dex抽取与So加固 对抗第一代壳常见的脱壳法Dex Method代码抽取到外部（通常企业版）Dex...
APP常用加固厂商特征：
Fly_鹏程万里
12-17 2016
娜迦： libchaosvmp.so, libddog.so，libfdog.so 爱加密：libexec.so,libexecmain.so，ijiami.dat 梆梆： libsecexe.so,libsecmain.so , libDexHelper.so 360：libprotectClass.so,libjiagu.so，libjiagu_art.so，libjiagu_x86.so...
函数Native化的Android APP加固方法.pdf
08-26
Android APP 加固方法之函数 Native 化 函数 Native 化是指将 Java 函数转换为 ...函数 Native 化方法是一种高效的 Android APP 加固方法，可以抵御静态分析攻击、DEX 动态恢复和动态脱壳攻击，并提供更好的安全保护。
阿里第一代 android dex加固的脱壳方法-附件资源
03-05
阿里第一代 android dex加固的脱壳方法-附件资源
APP加固脱壳基础之APP启动、类加载初始化流程图.zip
04-06
如果学习Android加固与脱壳不学习这些基础的话，那么后面加固点和脱壳点能让你轻轻松松看得云里雾里，不知所以。想学这一门手艺，该跨的门槛一点儿马虎不得，但是我有预感，当你把这些基础底层难啃的知识整出些门道...
Android中的Apk的加固(加壳)原理解析和实现
05-11
本文将深入探讨Android APK加固的基本原理及实现方法。 #### 二、加固原理详解 **1. 基础概念** - **源APK**: 需要被加固的应用程序包。 - **壳程序APK**: 负责解密并加载源APK的应用程序包。 - **加密工具**: ...
Android脱壳工具
12-19
drizzledumper Android逆向脱壳工具，百分百能脱360壳，时间2018年，以后不保障
Android终极脱壳
09-27
The Terminator to Android Hardening Services Outline Background DexHunter Analysis of major products Related work Dex File Java source code -> Java class -> dex Java class: each file contains one class dex: one file contains all classes Reorganize constant pools in each class file into shared and type-specific constant pools ...
android 脱壳视频教程
09-27
首先，查壳，使用PEID或者是FI，为UPX v1.08 接下来用OD载入，提示为“压缩代码是否继续分析”，我们选择否 我在这里介绍几种方法，请看我的操作。 方法1：单步跟踪（最常见的方法） 0040E8C0 N> 60 pushad //停在这里了，我们F8单步 0040E8C1 BE 15B04000 mov esi,NOTEPAD.0040B015 0040E8C6 8DBE EB5FFFFF lea edi,dword ptr ds:[esi+FFFF> 0040E8CC 57 push edi 0040E8CD 83CD FF or ebp,FFFFFFFF 0040E8D0 EB 10 jmp short NOTEPAD.0040E8E2 //跳 。。。。。。。。。。 0040E8E2 8B1E mov ebx,dword ptr ds:[esi] //跳到这里，继续单步 0040E8E4 83EE FC sub esi,-4 0040E8E7 11DB adc ebx,ebx 0040E8E9 ^ 72 ED jb short NOTEPAD.0040E8D8 //这里要往回跳了 0040E8EB B8 01000000 mov eax,1 //F4，然后继续F8 0040E8F0 01DB add ebx,ebx 0040E8F2 75 07 jnz short NOTEPAD.0040E8FB //跳 。。。。。。。。。。。 0040E8FB 11C0 adc eax,eax //来到这里，F8继续 0040E8FD 01DB add ebx,ebx 0040E8FD 01DB add ebx,ebx 0040E8FF ^ 73 EF jnb short NOTEPAD.0040E8F0 0040E901 75 09 jnz short NOTEPAD.0040E90C //跳 。。。。。。。。。。。 0040E90C 31C9 xor ecx,ecx //跳到这里，继续F8 0040E90E 83E8 03 sub eax,3 0040E90E 83E8 03 sub eax,3 0040E911 72 0D jb short NOTEPAD.0040E920 //跳 。。。。。。。。。。。 0040E920 01DB add ebx,ebx //跳到这里，继续F8 0040E922 75 07 jnz short NOTEPAD.0040E92B //跳 。。。。。。。。。。。 0040E92B 11C9 adc ecx,ecx //跳到了这里，继续F8 0040E92D 01DB add ebx,ebx 0040E92F 75 07 jnz short NOTEPAD.0040E938 //跳 。。。。。。。。。。。 0040E938 11C9 adc ecx,ecx //跳到这里，继续F8 0040E93A 75 20 jnz short NOTEPAD.0040E95C //跳 。。。。。。。。。。。 0040E95C 81FD 00F3FFFF cmp ebp,-0D00 //来到这，继续F8 0040E962 83D1 01 adc ecx,1 0040E965 8D142F lea edx,dword ptr ds:[edi+ebp] 0040E968 83FD FC
CTF 安卓脱壳工具大全
07-10
安卓脱壳已经安卓反编译工具，全部集成一套。这里推荐逍遥模拟器，十分方便快捷，然后在安卓中脱壳成功，一般模拟器是root 模式 所以可以减去很多麻烦的东西。
Android so加固简单脱壳代码
09-27
Android so加固的简单脱壳，也是Android ELF文件格式学习不可不学习的知识内容，想学习Android so加固脱壳和ELF的section重建的同学可以学习一下。
移动端加壳厂商以及脱壳方法个人总结
weixin_29324013的博客
07-20 1383
前言： 之前在做app渗透的时候总是会碰到各种各样的壳，其中最常见的是360免费壳，原因是很多应用都会上传360应用市场，在应用市场中会自动加上一层360免费壳。苹果端也一样，由于苹果端只有一个应用市场appstore，因此同样所有上传到appstore的应用都会加一层官方壳，具体的表现为无法读取到头文件。为此根据个人的一些经验分别对移动端两种系统的加壳以及脱壳方法进行说明。 Android端...
Android加固与脱壳学习之加固初步总结(1)
jmp esp
11-13 867
加固思想类比PE的加壳的加固思想，通过一段引导代码，即通过壳代码来解密，而源dex被加密后存储在一起的做法来进行加壳。加固方案1加固 http://blog.csdn.net/androidsecurity/article/details/8678399 实现 http://blog.csdn.net/androidsecurity/article/details/8809542 这种方案不
android 脱壳工具
12-23 7648
现在的apk，很多都加了壳，例如360加壳、邦邦加壳 现在分享一款工具，用于脱壳。 下载地址为： 用法为： 注意设备是root过的 1、解压压缩包 armeabi 是针对arm镜像的（或者实体机） x86是针对虚拟机x86的 2、针对你的设备选择对应目录下的drizzleDumper文件 （1）将drizzleDumper通过adb push 命令传输到设备的有关
Android App加固与脱壳技术深度探究
本文主要探讨了常见的Android App加固厂商的脱壳方法，旨在帮助安全研究人员和开发者了解如何应对加固技术。 首先，让我们简要概述一下脱壳前需要了解的基础知识。Apk文件是Android应用的主要打包形式，包含了应用...
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值