android 多线程反调试,[原创]分析绑绑反调试

第一次分析绑绑加固，我并不是想脱壳只是想看看他怎么反调试的，这里记录下分析的过程。语言组织不好如果有需要的同学将就看看吧。在调试的时候开始还是很痛苦的我也不知道他加了什么混淆反正乱七八糟的流程没法看，只能一路F8，碰到函数调用就看看是什么函数，调用完后看看返回值。在分析的过程中看到他读取.cache目录下的文件，有点怀疑这里面有个是加密的dex文件，但是我没分析不知道是不是。其中我记录了下java层Helper.attach函数对应的jni层函数pC06BEE7ED252466C74DFD6BA9BB3761D。当前分析的这个某银行apk，我没有完全过掉反调试，其中他检查xposed的代码我没找到，我有点怀疑是某银行apk自带的检查，可以正常单步pC06BEE7ED252466C74DFD6BA9BB3761D这个函数了是不是绑绑的反调试已经过了呢？为了验证这点我特意找了个绑绑免费版的来测试把反调试挂起后可以正常启动apk并且调试器能单步(其实我心里也没底不知道这个检查xposed是不是绑绑的)，下面开始记录下分析过程。

用JEB打开后发现就这么几个类，肯定是已经加固，下面看看是什么加固

打开manifest文件查看application中android:name=”com.secneo.apkwrapper.ApplicationWrapper”

看到这个包名我也不知道是什么加固，好吧百度下发现是绑绑加固。

分析ApplicationWrapper类基本上没什么值得看的，我唯一就看到DexHelper这个so，其中还有个Helper.attach这个本地函数。

一、静态分析DexHelper.so

双击查看.fini_array节，跟反调试无关，这个函数应该是默认就有的