android 动态字符串数组初始化,IDA 动态调试Android8 SO .init .init_array JNI_Onload

前言

网上已经有很多在Android4中IDA如何调试.init .init_array JNI_Onload等文章，比如下面给出的参考，写的也非常详细，所以今天我们不讨论Android4。我们以Android8为例子。

查找关键函数的偏移地址

想要调试.init .init_array必须找到，call_function函数中的function(g_argc, g_argv, g_envp);地址，和LoadNativeLibrary函数中int version = (*jni_on_load)(this, nullptr);地址，这两个地址分别去调用了.init .init_array函数和JNI_Onload函数

先将两个相关的so拷贝到电脑上使用ida打开(我们的应用是以32位模式强制运行)

adb pull /system/lib/libdvm.so

adb pull /system/bin/linker

我们先来看call_function函数中的调用代码

static void call_function(const char* function_name __unused,

linker_ctor_function_t function,

const char* realpath __unused) {

if (function == nullptr || reinterpret_cast(function) == static_cast(-1)) {

return;

}

TRACE("[ Calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);

function(g_argc, g_argv, g_envp);

TRACE("[ Done calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);

}

可以看到这里有相关的字符串可以让我们在IDA中检索

[ Calling c-tor %s @ %p for '%s' ]

在IDA中检索如下

image.png

image.png

image.png

检索到字符串后，进入他的交叉引用处，可以看到相关代码，从字符串看得出这里就是我们对应的调用处，这段汇编还是比较简单的，图中高亮处即我们的调用处。它的偏移地址为0x00013598。

同样的再来看看JNI_Onload的调用代码

bool JavaVMExt::LoadNativeLibrary(JNIEnv* env,

const std::string& path,

jobject class_loader,

jstring library_path,

std::string* error_msg) {

...

VLOG(jni) << "[Added shared library \"" << path << "\" for ClassLoader " << class_loader << "]";

bool was_successful = false;

//得到JNI_OnLoad函数地址

void* sym = library->FindSymbol("JNI_OnLoad", nullptr);

if (sym == nullptr) {

VLOG(jni) << "[No JNI_OnLoad found in \"" << path << "\"]";

was_successful = true;

} else {

ScopedLocalRef old_class_loader(env, env->NewLocalRef(self->GetClassLoaderOverride()));

self->SetClassLoaderOverride(class_loader);

VLOG(jni) << "[Calling JNI_OnLoad in \"" << path << "\"]";

//定义JNI_OnLoadFn

typedef int (*JNI_OnLoadFn)(JavaVM*, void*);

JNI_OnLoadFn jni_on_load = reinterpret_cast(sym);

//调用JNI_OnLoad

int version = (*jni_on_load)(this, nullptr);

if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {

// Make sure that sigchain owns SIGSEGV.

EnsureFrontOfChain(SIGSEGV);

}

self->SetClassLoaderOverride(old_class_loader.get());

...

VLOG(jni) << "[Returned " << (was_successful ? "successfully" : "failure")

<< " from JNI_OnLoad in \"" << path << "\"]";

}

library->SetResult(was_successful);

return was_successful;

}

同样我们可以使用[Calling JNI_OnLoad in字符串去搜索

image.png

image.png

image.png

字符串下面的函数调用基本都是和日志相关的，所以我们不用理会直接去B loc_251E62，这个跳转指令中看看。

image.png

这里出现了两个的数0x15也就是21，并且为cmp判断

int version = (*jni_on_load)(this, nullptr);

if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {

// Make sure that sigchain owns SIGSEGV.

EnsureFrontOfChain(SIGSEGV);

}

这和上面的代码是对应的。

所以BLX R5基本就是int version = (*jni_on_load)(this, nullptr);的对应汇编，他的偏移是0x00251E66

IDA动态调试

init断点

调试的步骤基本和平时一样，这里由于libnative-lib.so的加载时机比较早，我采用了debug的方式启动app，这样就能在加载libnative-lib.so之前断下来了。

打开ddms

调试模式启动

adb shell am start -D -n com.shark.initapp/.MainActivity

image.png

在安卓中启动android_server

sailfish:/data/local/tmp # ./android_server

在IDA中选择调试该app

image.png

设置其在lib加载和线程启动的时候断下

image.png

F9运行

让app恢复正常执行

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

设置未捕获的java.lang.Throwable

设置延迟的未捕获的java.lang.Throwable

正在初始化jdb...

>

此时app断在linker处，现在我们就去刚才分析的两个地方打上断点

image.png

在模块选项卡中查询linker

image.png

可以看到它的基址为0xF1E9C000，使用它加上我们上面分析的偏移地址0xF1E9C000+0x00013598=0xF1EAF598

使用g跳转到该地址

image.png

按p后查看其汇编代码

image.png

可以看到这里和静态分析的代码完全一样，我们使用F2给它加上断点。

JNI_Onload断点

我们以同样的方式查找libart.so的基址加刚才计算的偏移

image.png

0xEE11D000+0x00251E66 = 0xEE36EE66

然而这里和刚才静态分析的代码出入太大，这明显不是我们要找的地方

image.png

由于不能使用偏移地址加基址的方式，我们可以这样去做，找到一个导出函数。使用

导出函数在内存中的地址 - 导出函数在so的偏移地址 + JNI_Onload调用在so的偏移地址 = JNI_Onload调用在内存中的地址

这里我选择了art::Dbg::IsCollected(ulong long,bool *)函数

他在so文件中的偏移为 0x00121EC0

image.png

IsCollected在内存中的地址为 0xEE232EC0

image.png

所以最后计算结果为：0xEE232EC0 - 0x00121EC0 + 0x00251E66 = 0xEE362E66

跳转到0xEE362E66处，可以看到代码和我们静态分析的是一样的，给它加上断点。

image.png

运行

F9运行

经过几次F9后他会来到我们的第一个断点处

image.png

F7进入，IDA会提示我们加载的是哪个so库，可以看到这正是我们想进入的so

image.png

点击 yes后

image.png

这就是我们该so的.init段的函数

后面读者就自己跑了，我这里直接f9到下一个断点处了

image.png

这里又回到第一个断点处了。

f7进入就是.init_array的函数了

image.png

后面还有一个init_array函数和全局对象初始化函数这里就不重复了。

我们一直f9直到断点落在libart.so

image.png

f7进入，可以看到我们的代码进入了用户层的libnative-lib.so中的JNI_Onload中。

image.png

至此Android8 中如何调试.init .init_array JNI_Onload就完成了

参考