文章目录
0x00 序言
本文主要作为脑残的我记录一下IDA调试so的各种命令,因为老是忘记!没有任何干货,大家可以撤了!毫无技术含量!
0x01 启动 IDA Server
选择android_server版本
1. 在真机调试so中,根据应用程序的运行情况选择android_server 或 android_server64
2. 借助frida查看APP安装在多少位
32位:
64位:
3. 指定APP安装在多少位
adb install --abi armeabi-v7a <包名> //指定安装在32位
adb install --abi arm64-v8a <包名> //指定安装在64位
指定端口运行android_server
1. android_server在push到手机之后,需要给server文件加上执行权限
2. 修改ida的调试server文件名,比如我改成as7,运行时进程名会变,反调小技巧+1
3. 指定监听端口运行ida的调试server:
./as7 -p23445 //注意-p选项后面接端口号,不要加空格
反调小技巧+1
4. 端口转发
将我们监听的23445端口转发出来给PC:
adb forward tcp:23445 tcp:23445
0x02 开始调试
载入目标so(先dump再载入)
1. 载入目标so,有的大聪明给so做了加固,对抗静态反编译,那我们就需要dump一下
2. 我们利用frida去dump目标so,工具有现成的,来自yang神的dump_so: https://github.com/lasting-yang/frida_dump
rpc.exports = {
findmodule: function(so_name) {
var libso = Process.findModuleByName(so_name);
return libso;
},
dumpmodule: function(so_name) {
var libso = Process.findModuleByName(so_name);
if (libso == null) {
return -1;
}
Memory.protect(ptr(libso.base), libso.size, 'rwx');
var libso_buffer = ptr(libso.base).readByteArray(libso.size);
libso.buffer = libso_buffer;
return libso_buffer;
},
allmodule: function() {
return Process.enumerateModules()
},
arch: function() {
return Process.arch;
}
}
3. dump完成之后还是使用yang神的dump_so修复一下elf文件结构:
import sys
import frida
import sys
import os
def fix_so(arch, origin_so_name, so_name, base, size):
if arch == "arm":
os.system("adb push android/SoFixer32 /data/local/tmp/SoFixer")
elif arch == "arm64":
os.system("adb push android/SoFixer64 /data/local/tmp/SoFixer")
os.system("adb shell chmod +x /data/local/tmp/SoFixer")
os.system("adb push " + so_name + " /data/local/tmp/" + so_name)
print("adb shell /data/local/tmp/SoFixer -m " + base + " -s /data/local/tmp/" + so_name + " -o /data/local/tmp/" + so_name + ".fix.so")
os.system("adb shell /data/local/tmp/SoFixer -m " + base + " -s /data/local/tmp/" + so_name + " -o /data/local/tmp/" + so_name + ".fix.so")
os.system("adb pull /data/local/tmp/" + so_name + ".fix.so " + origin_so_name + "_" + base + "_" + str(size) + "_fix.so")
os.system("adb shell rm /data/local/tmp/" + so_name)
os.system("adb shell rm /data/local/tmp/" + so_name + ".fix.so")
os.system("adb shell rm /data/local/tmp/SoFixer")
return origin_so_name + "_" + base + "_" + str(size) + "_fix.so"
def read_frida_js_source():
with open("dump_so.js", "r") as f:
return f.read()
def on_message(message, data):
pass
if __name__ == "__main__":
device: frida.core.Device = frida.get_usb_device()
pid = device.get_frontmost_application().pid
session: frida.core.Session = device.attach(pid)
script = session.create_script(read_frida_js_source())
script.on('message', on_message)
script.load()
if len(sys.argv) < 2:
allmodule = script.exports.allmodule()
for module in allmodule:
print(module["name"])
else:
origin_so_name = sys.argv[1]
module_info = script.exports.findmodule(origin_so_name)
print(module_info)
base = module_info["base"]
size = module_info["size"]
module_buffer = script.exports.dumpmodule(origin_so_name)
if module_buffer != -1:
dump_so_name = origin_so_name + ".dump.so"
with open(dump_so_name, "wb") as f:
f.write(module_buffer)
f.close()
arch = script.exports.arch()
fix_so_name = fix_so(arch, origin_so_name, dump_so_name, base, size)
print(fix_so_name)
os.remove(dump_so_name)
4. 当然也可以使用F8LEFT大佬的SoFixer: https://github.com/F8LEFT/SoFixer
各平台下载对应版本release即可使用,使用命令也很简单
sofixer -s soruce.so -o fix.so
-s 待修复的so
-o 修复后的so输出位置
-d 输出debug信息,可选
5. 一切准备好之后,丢进IDA里就可以了,开心+1
Attach目标进程
1. 设置调试器参数:
(1)打开调试器设置选项
(2)设置端口
绿色这坨不用动,因为前面转发了端口,所以监听localhost:23445
2. 一切准备就绪,开始Attach
ctrl+f打开搜索框,搜索目标进程,点击OK,开始附加,完事,开心+1
注意:
调试时,使用冰神教的定制rom过反调,不要着急attach,先准备好到这里,然后脚本监听到目标函数,再点OK,去attach
反调大技巧 + 100
开心 + 100
对于多线程APP过反调,把其他线程挂起,再attach主线程就OK的啦,反调小技巧 + 1 , 开心 + 1