dex字符串解密_初试so文件解密

本文为看雪论坛优秀文章

看雪论坛作者ID：无造

本文为看雪安卓高研2w班(5月班)优秀学员作品。

下面先让我们来看看讲师对学员学习成果的点评，以及学员的学习心得吧！ 讲师点评 

对于APK的逆向来说，第一步往往就是先完成对App中java代码的脱壳；接下来要做的就是静态的逆向分析或者是结合动态的hook等对运行逻辑进行分析；最后，难度大一些的App往往就会进入到so中的函数当中，安全强度大的App甚至是会再次对so进行加壳。

但不论是dex的脱壳，还是so的脱壳，时机都是非常关键的。时机不对，即使是正确的内存地址偏移，dump得到的smali指令流以及汇编代码都可能是不对的，依然是未解密的字节流。

这道题考察的是对elf文件的结构知识的掌握。

这个App对so中函数进行了保护，在被保护的函数的关键逻辑执行前进行解密，执行结束后会再次对关键逻辑进行加密。

这位学员有着扎实的基本功，才能够快速抓住重点，成功拿下flag。

学员感想  这里是2W班5月的习题。题目中对一个native函数进行了加密，导致IDA无法看到运行时的代码。 加密方式来自于论坛比较久的帖子ThomasKing大佬的简单粗暴的so加解密实现 。照搬了大佬的代码，然后修改了一下加密方式即可完成解密。 通过本题学习到了so文件的格式解析，基础的加解密思路。

现在，看雪《安卓高级研修班(网课)》9月班开始招生啦！点击查看详情报名吧~

解题过程 步骤1：尝试用Fart脱壳 顺利完成，查找相关dex： sailfish:/data/data/com.kanxue.test # grep -ril "MainActivity" ./*.txt ./2203744_classlist.txt ./2203744_classlist_execute.txt 拷贝出2203744大小的dex。 步骤2：查看Java层代码 OnCreate去绑定事件，test函数进行的字符串比较。 步骤3：查看so文件中test的代码 addr_RegisterNatives: test addr_RegisterNatives: (Ljava/lang/Object;)Z addr_RegisterNatives func: 0x8dc5 test是动态注册的，注册地址是0x8dc5 反汇编代码比较奇怪。 查看下sub_8930：

这里获取so地址，然后查找ooxx函数的偏移： 查找libnative-lib.so 内存中地址： 看这段代码和so文件加密帖子( https://bbs.pediy.com/thread-191649.htm )给出的demo非常像，只是函数加密的方式不一样，具体思路可以直接去查看原帖。 步骤4：解密so文件 加密是找到函数偏移和长度，进行位运算，所以解密也就按照一样的方式还原即可。 下图是运行效果： 解密后再次反编译，解密方法参考帖子给出的代码，代码在Windows下读取so文件会出现读取不准确，不知道为什么。最终在ubuntu下运行正常。 直接比对的，没加密。使用frida查看1C04C就是kanxuetest。 输入效验正确。 - End -

看雪ID：无造

https://bbs.pediy.com/user-571058.htm

  *本文由看雪论坛 无造 原创，转载请注明来自看雪社区。

推荐文章++++

* XposedFridaBridge：使用Frida加载Xposed插件

* TSG CTF 2020 Reverse-ing

* 观赏某大佬分析病毒后的一次复现分析

* 分析钓鱼邮件搭载的Excel 4.0恶意宏

* ollvm算法还原案例分享

好书推荐

﹀ ﹀ ﹀ 公众号ID：ikanxue 官方微博：看雪安全 商务合作：wsc@kanxue.com ps. 觉得对你有帮助的话，别忘点分享，点赞和在看，支持看雪哦~ 戳