使用内存dump脱百度壳

【第一遍传上来没有图片，才知道要先在下面上传图片，文中用到图片的时候点击插入，重新做了一遍，截图上传，累傻了】

废话不说。

测试样本md5：67257EA2E9EC6B35C9E5245927980EEA

脱壳前样本：

0x01，首先使用ps指令查看进程

0x02，通过应用的进程号查看地址分布

0x03，前面的两个字段表示开始和结束地址，最后的字段映射文件名，现在要做的就是使用dd指令把最后一个dex文件dump出来

dd  if=/proc/5694/mem of=/data/local/xxx skip=1979412480 ibs=1 count=200704

0x75fb7000 = 1979412480 

75fe8000 - 75fb7000 = 200704

0x04，然后直接拖出来用二进制编辑器打开发现并不是dex文件，而是odex文件，

0x05，接下来就简单多了。直接用baksmali和smali工具将odex转化为dex

有错误，是因为没有framework，这个直接去手机/system/framework/拖一个文件夹出来就好了

然后再执行baksmali

java -jar baksmali.jar -x xxx -d framework -o outfile

java -jar smali.jar oufile -o xxxx.dex

用jeb等工具可以直接查看了