扫描全能王文档矫正逆向记录

瞎猫技术研究员

已于 2023-10-20 10:33:09 修改

阅读量1.3k

点赞数 2

分类专栏：源码逆向文章标签：逆向算法扫描全能王

于 2023-10-19 20:45:00 首次发布

本文链接：https://blog.csdn.net/weixin_42063726/article/details/133933454

版权

源码同时被 2 个专栏收录

20 篇文章 2 订阅

订阅专栏

逆向

1 篇文章 0 订阅

订阅专栏

背景

扫描全能王有个功能是将弯曲的文本拉直成平直的文本。在扫描全能王的app上，这个功能的入口在拍书籍的tab。同时在图片编辑页面，也有个按钮可以触发这个功能。它的效果大概如下。

在这里插入图片描述

这篇文章主要介绍如何逆向这个算法

初步定位

对扫描王apk初步逆向之后，发现破解难度有点大。大概有这几个问题

在这里插入图片描述

扫描全能王apk经过爱加密加过壳，ida动态破解难度大，基本一开始挂调试就触发反调试机制
文档矫正算法有两套，其中纯C++实现的算法复杂度极高

加壳的处理直接导致很多逆向手段用不了。而复杂的纯CV又导致还原算法基本不可能。

好在多次尝试之后，发现扫描全能王还有个模型矫正的算法。

模型矫正逆向

扫描全能王在6.0版本之后增加了一个矫正函数。在6.0之前的矫正函数名都是 dewarpXXX，在6.0之后多了一个dewarpXXXNew。比如这个，接受的是一个图片的指针参数。

dewarpImgPtrNew

用ida静态分析该函数之后发现，它使用的是基于MNN推理引擎的模型。
这个模型实现了端到端的图像矫正，而且效果跟传统算法的矫正结果差不多。

把逆向目标定位在这个函数上，难度会小很多。所需要做的事情大概是：

梳理模型矫正的输入数据预处理和后处理
dump模型出来
还原矫正流程

逆向模型矫正的好处之一是只要拿到了模型，就成功了一半。

dump模型

虽然扫描全能王把模型以二进制方式打包进了so库，但是没有很好地对二进制数据进行加密。在花了一些时间分析之后，就用ida将模型dump出来了
在这里插入图片描述
初步分析这个模型之后，不得不说扫描全能王的算法团队有点东西。他们用同一个分割网络实现了边缘检测，阴影检测，文档矫正。而这个模型的大小才1M不到。

分析前后处理

预处理的分析比较简单。我构造了模型矫正的上下文环境，通过hook的方式让矫正流程强制走了模型矫正。

    1. int val = initDewarpContext()//初始化引擎
    2. ScannerEngine.dewarpImgPtrNew(val, ptr)//处理数据
    3. ScannerEngine.releaseContext(val)//释放引擎

在进入了模型矫正调用之后，还需要hook一些关键函数。
比如，我需要知道输入图像缩放到什么尺寸，它的归一化参数是多少。

而这些需要对so进行静态分析后才能找到合适的hook位置。
举例来说，输入到模型的图像缩放的尺寸，我用这个frida函数实现

Interceptor.attach(resize, {
    onEnter: function(args) {
        if(dewarpProcessDone != 1) return;
        if(Process.getCurrentThreadId() != threadId) return;
        console.log('\n[-] resize, thread: ', Process.getCurrentThreadId());
        console.log("[-] resize args[0] - args[4]: ", args[0], args[1], args[2], args[3], args[4]);
        console.log("[-] resize src size: ", ptr(args[0]).add(4).readPointer(), " \n    src size:", ptr(args[0]).add(4).readPointer().add(8).readInt(), "-", ptr(args[0]).add(4).readPointer().add(12).readInt());
        console.log("[-] resize dst size: ", ptr(args[2]), " \n    dst size:", ptr(args[2]).readInt(), "-", ptr(args[2]).add(4).readInt());
        console.log('    args[2]:\n', Memory.readByteArray(ptr(args[2]), 16));
        console.log('    flag:\n', Memory.readByteArray(ptr(args[0]).add(0x4).readPointer(), 16));