1.首先基本套路,安装运行,确定目标,然后查壳,反编译
2..没有加壳,直接对样本进行调试,获取反编译后/lib目录下的libcheck.so文件,通过readelf -a *.so 命令获取文件信息,找到INIT_ARRAY段的偏移,如下图所示:
3.通过IDA找到INI_ARRY的偏移处,如图所示:
4.进入函数中,记录下地址,并在此处下断点,然后开始附加调试,如图所示:
5.加载so的程序为linker,因此,从手机中将linker下载到本地,通过特殊字符串“[Call”查找,找到加载so文件的函数及其偏移,然后将模块基地址与偏移相加找到动态调试的地址下断点,如图所示:
6.接下来找到libCheck.so模块的基地址,和之前的偏移相加为0x753ABF94,然后跳转到该地址,下断点。
7.执行到此处后,将进行libcheck.so的解密,直接运行使so完全加载完
8.继续运行再次回到,linker模块中
9.此时,libcheck.so已经解密,使用IDC脚本将该模块dump到文件中
static main(void) { auto fp, begin, end, dexbyte; fp = fopen("d:\\dumpali.so", "wb"); begin = 0x753AC000; end = begin + 0x6000; for ( dexbyte = begin; dexbyte < end; dexbyte ++ ) fputc(Byte(dexbyte), fp); } |
11.重新进入调试,再次运行到__arm_aeabi_1时断下,单步跟踪,如图所示:
12.根据libdvm.so找到调用的偏移,再根据基地址加上偏移计算出调用JNI_OnLoad的地址,如下所示:
13.运行后断下来,再单步跟进为解密后的JNI_OnLoad函数
14.对JNI_OnLoad函数进行分析,调用过程如下,JNI_OnLoad->__arm_aeabi_4->__arm_aeabi_3,该函数即为关键函数,在__arm_aeabi_4中进行解密和注册__arm_aeabi_3函数
15.再对__arm_aeabi_3进行分析,接下来对__arm_aeabi_3下断点,成功断下来后单步跟踪进行分析
16.此处生成了一串key,geek201508261314,如图所示:
17.将用户输入和key进行拼接,如下图所示:
18.对输入的密码进行转换,0-9,a-f,A-F按字节进行拼接,转换为16进制数
19.最后根据伪代码分析得到加密字符串,然后可以根据加密算法写出解密程序,如图所示:
20.解密算法如下:
int_tmain(intargc,_TCHAR*argv[]) { charszName[]={"y0nngeek201508261314"}; bytepass[]={0x79,0x30,0x6e,0x6e,0x67,0x65,0x65,0x6B,0x32,0x30,0x31,0x35,0x30,0x38,0x32,0x36,0x31,0x33,0x31,0x34};
byte*ch1=(byte*)pass; do { //*ch1 = (*ch1 - 0x78) ^ 0x22 -0x10; *ch1=(*ch1^0x22)+0x78; ++ch1; }while(ch1!=(byte*)pass+sizeof(pass)); printf("密码为:"); for(inti=0;i<sizeof(pass);i++) { printf("%x",pass[i]); } return0; } |