android逆向(1)之root方式注入apk
第一步,注入动态库到目标进程
-
启动注入程序,入口main函数中输入将被注入的进程名称以及欲注入动态库路径;
-
根据进程名获取进程id:打开
/proc
目录,读取/proc/%d/cmdline
; -
attach到目标进程:
ptrace(PTRACE_ATTACH, pid, NULL, 0)
并暂停目前进程; -
读取寄存器值:
ptrace(PTRACE_GETREGS, pid, NULL, regs)
,并保持读取到的寄存器; -
获取被加载的动态库中mmap函数地址,获取被加载动态库中函数地址的方法是,获取本地libc.so模块和被加载动态库中libc.so模块中各自起始地址,local_addr-local_handle的值为指定函数(如mmap)在该模块中的偏移量,然后再加上remote_handle,结果就为指定函数在目的进程的虚拟地址,获取模块起始地址的方法是读取进程对应的
/proc/self/maps
或/proc/%d/maps
文件; -
调用被加载库的mmap方法申请空间:
ptrace_call(target_pid, (uint32_t)func_addr, parameters, param_num, regs)
; -
获取申请空间时的R0寄存器,arm中R0~R3作为传递参数的寄存器,R0可以获取到申请空间的起始地址;
-
获取被加载库中dlopen,dlsym,dlclose,dlerror函数地址;
-
将被加载动态库的路径写入到mmap分配的栈空间:
ptrace(PTRACE_PEEKTEXT, pid, dest, 0);
; -
调用远程函数的dlopen函数打开要被注入的动态库;
-
调用
dlsym
获取加载动态库目标函数符号对应地址,并调用目标函数,完成注入; -
调用dlclose关闭被注入库;
-
完成注入;
动态库中加载目标apk(aar)
-
入口函数中启动新线程,并调用
pthread_detach(tid)
将新线程设置为detach状态,可自动回收资源; -
新线程中调用
AndroidRuntime::getJavaVM();
获取JavaVM对象并Attach当前线程到JavaVM:jvm->AttachCurrentThread(&jni_env, NULL);
获取到jni env; -
找到
dalvik/system/DexClassLoader
类,并获取其构造方法public DexClassLoader(String dexPath, String optimizedDirectory, String librarySearchPath, ClassLoader parent)
的methodid及public Class<?> loadClass(String name) throws ClassNotFoundException
的methodid; -
找到类
java/lang/ClassLoader
,获取其静态方法Gpublic static ClassLoader getSystemClassLoader()
的MethodID,调用静态方法getSystemClassLoader获取系统ClassLoader; -
基于系统ClassLoader,以及DexClassClassLoader构造方法MethodID创建DexClassLoader对象:
jni_env->NewObject(dexloader_claxx, dexloader_init_method, apk_path, dex_out_path, lib_path, class_loader);
,要传入DexClassloader jclass,DexClassLoader构造方法id,要被加载的apk路径,dex输出路径,动态库路径,以及父(即系统)ClassLoader; -
调用DexClassLoader的loadClass方法id加载apk中被调起的类:
jclass entry_class = static_cast<jclass>(jni_env->CallObjectMethod(dex_loader_obj, loadClass_method, class_name));
; -
调用动态加载到的apk中类的方法:
jclass entry_class = static_cast<jclass>(jni_env->CallObjectMethod(dex_loader_obj, loadClass_method, class_name));
; -
线程与JavaVM脱离:
jvm->DetachCurrentThread();
;