2. 程式人生 > >Android通用脫殼機FUPK3

Android通用脫殼機FUPK3

阿新 • • 發佈：2018-11-13

轉自：https://bbs.pediy.com/thread-246117-2.htm

大家好，我是F8LEFT，潛水了這麼久，抽空來發個技術帖子。這次要發的作品是我以前寫的一個脫殼機FUPK3，這個脫殼機的思路應該是以前沒人放過的，這裡我不私藏了，放出來給大家來評評。
Android程式碼是開源的，那麼通過直接修改Android原始碼，把執行時的所有dex資料dump出來，不就可以實現一個通用的脫殼機了嗎？FUPk3就是基於上面的思路來實現的。FUPK3需要修改Android原始碼，匯出資料介面.不過，最為核心的脫殼操作是在一個so中執行的，脫殼時應用會自動載入該so，這樣好處在於可以通過替換這個so來達到動態修bug的效果。

  1. 程式碼注入
    程式啟動後讀取配置檔案/data/local/tmp/FUpk3.txt,如果命中脫殼的配置就會直接載入so /data/local/tmp/libFupk3.so，進行脫殼。修改Android原始碼

    1

    2

    3

    4

    5

    6

    7

    8

    try {

     UpkConfig config = new UpkConfig();

     if (config.load() && config.mTargetPackage.equals(data.info.getPackageName())) {

         Fupk upk = new Fupk(config.mTargetPackage);

         upk.unpackAfter(10000);

     }

    } catch (Throwable t) {

    }

  2. cookie
    脫殼需要知道app當前載入的所有dex檔案。每一個被載入到記憶體中的dex檔案都會被記錄為一個cookie值，存放在程式的loader中,所有類的載入都需要通過該loader進行。Java層的loader可能會比較複雜，比如會用到雙親委派機制等，不好遍歷。但是，到了Jni層，一切都變得簡單起來，在native中，會通過一個Hash表來儲存所有dex檔案。

    1

    2

    3

    4

    5

    6

    7

    8

    9

    10

    11

    12

    13

    14

    15

    16

    17

    // 每個開啟的dex檔案都會儲存到gDvm.userDexFiles中

    static void addToDexFileTable(DexOrJar* pDexOrJar) {

     u4 hash = (u4) pDexOrJar;

     void* result;

     

     dvmHashTableLock(gDvm.userDexFiles);

     result = dvmHashTableLookup(gDvm.userDexFiles, hash, pDexOrJar,

             hashcmpDexOrJar, true);

     dvmHashTableUnlock(gDvm.userDexFiles);

     

     if (result != pDexOrJar) {

         ALOGE("Pointer has already been added?");

         dvmAbort();

     }

     

     pDexOrJar->okayToFree = true;

    }

    因此，想要知道當前apk載入了那些dex就簡單多了，只需要遍歷這個userDexFile這個Hashtable就好了。直接在Android原始碼中匯出介面。

    1

    2

    3

    4

    // @F8LEFT exported function

    HashTable* dvmGetUserDexFiles() {

     return gDvm.userDexFiles;

    }

    然後，直接在so裡面呼叫介面,就可以取出所有dex檔案的記憶體佈局。

    1

    2

    3

    4

    5

    auto fn = (HashTable* (*)())dlsym(libdvm, "dvmGetUserDexFiles");

    if (fn == nullptr) {

     goto bail;

    }

    gDvmUserDexFiles = fn();

  3. dex重建
    dex檔案被載入起來後，一些值就不會再被用到,如檔案頭sig，資料偏移等，部分殼會把這些資料抹除。這些資料需要直接從應用的執行時資料 DvmDex, ClassObject, MethodObject等取出來,並進行重建。還有一些常量資料，StringPool,TypePool等，這些是不會加密的，直接dump出來。

    1

    2

    3

    4

    5

    6

    7

    8

    9

    10

    11

    bool DexDumper::fixDexHeader() {

     DexFile *pDexFile = mDvmDex->pDexFile;

     

     mDexHeader.stringIdsOff = (u4) ((u1 *) pDexFile->pStringIds - (u1 *) pDexFile->pHeader);

     mDexHeader.typeIdsOff = (u4) ((u1 *) pDexFile->pTypeIds - (u1 *) pDexFile->pHeader);

     mDexHeader.fieldIdsOff = (u4) ((u1 *) pDexFile->pFieldIds - (u1 *) pDexFile->pHeader);

     mDexHeader.methodIdsOff = (u4) ((u1 *) pDexFile->pMethodIds - (u1 *) pDexFile->pHeader);

     mDexHeader.protoIdsOff = (u4) ((u1 *) pDexFile->pProtoIds - (u1 *) pDexFile->pHeader);

     mDexHeader.classDefsOff = (u4) ((u1 *) pDexFile->pClassDefs - (u1 *) pDexFile->pHeader);

     return true;

    }

    對於Method的重構要複雜得多，每一代加固的發展重點都是增強對Method的CodeItem的加密。從整體加密到函式抽取到最新的函式VMP，還原難度也越來越高。VMP暫且不說，函式抽取本身還是可以攻破的。有些殼做得非常複雜，會在函式執行時還原始碼，執行完後又加密回去。針對這種情況，可以看到，在程式執行時的某一個時刻，dex的部分資料肯定是還原的，那麼我們可以通過不斷地手動構造程式碼，來遍歷觸發這些還原點，同時進行資料提取，最終完成修復。

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

// 從Android原始碼中匯出方法

/* @F8LEFT

 * This method is used to export some data for fupk3 to dump dex file.

 * Fupk3 will hook this method and get data from it.

 */

void fupkInvokeMethod(Method* meth) {

    // it is no need to init or link class, the code of the method will

    // not exec actually, so just ignore it

    // anyway, I should make sure this method has code to execute

    if (dvmIsMirandaMethod(meth) || dvmIsAbstractMethod(meth)) {

        return;

    }

    dvmInvokeMethod((Object*)0xF88FF88F, meth, NULL, NULL, NULL, true);

}

 

bool fupkExportMethod(Thread* self, const Method* method) {

    return false;

}

 

FupkInterface gFupk = {

    NULL, NULL, NULL, NULL,

    fupkExportMethod

};

// @F8LEFT add end

// 對解析器入口插樁

 void dvmInterpret(Thread* self, const Method* method, JValue* pResult)

 {

    // @F8LEFT insert point for Fupk

    if ((u4)pResult->i == 0xF88FF88F) {

        gFupk.ExportMethod(self, method);

        return;

    }

    // @F8LEFT add end

    ...

 }

在上面，直接在Android原始碼中構造了脫殼用到的介面 gFupk，它提供了4個void*的空間來存放臨時資料，與一個可以替換的介面方法fupkExportMethod。這樣，只需要手動呼叫fupkInvokeMethod方法，程式就會走函式正常的執行流程，從dvmInvokeMethod開始，進入dvmInterpret中，並最終呼叫完gFupk.ExportMethod後直接退出Interpret。這樣當我們手動呼叫函式時，既可以讓殼還原出原始程式碼，又不會影響到程式本身的穩定性。

1

2

3

4

5

6

7

8

// 在so中直接替換ExportMethod

auto interface = FupkImpl::gUpkInterface;

if (interface == nullptr) {

    FLOGE("Unable to found fupk interface");

    return;

}

// Hook all

interface->ExportMethod = fupk_ExportMethod;

1

2

3

4

5

// 傳遞引數，然後直接呼叫

gUpkInterface->reserved0 = &shared;

shared.mCurMethod = dexMethod;

FupkImpl::fupkInvokeMethod(m);

shared.mCurMethod = nullptr;

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

// 在ExportMethod中直接提取CodeItem資料

bool fupk_ExportMethod(void *thread, Method *method) {

    DexSharedData* shared = (DexSharedData*)gUpkInterface->reserved0;

    DexMethod* dexMethod = shared->mCurMethod;

    u4 ac = (method->accessFlags) & mask;

    if (method->insns == nullptr || ac & ACC_NATIVE) {

        if (ac & ACC_ABSTRACT) {

            ac = ac & ~ACC_NATIVE;

        }

        dexMethod->accessFlags = ac;

        dexMethod->codeOff = 0;

        return false;

    }

 

    if (ac != dexMethod->accessFlags) {

        dexMethod->accessFlags = ac;

    }

    dexMethod->codeOff = shared->total_point;

    DexCode *code = (DexCode*)((const u1*) method->insns - 16);

 

    u1 *item = (u1*) code;

    int code_item_len = 0;

    if (code->triesSize) {

        const u1*handler_data = dexGetCatchHandlerData(code);

        const u1 **phandler = (const u1**) &handler_data;

        u1 *tail = codeitem_end(phandler);

        code_item_len = (int)(tail - item);

    } else {

        code_item_len = 16 + code->insnsSize * 2;

    }

    shared->extra.append((char*)item, code_item_len);

    shared->total_point += code_item_len;

    while(shared->total_point & 3) {

        shared->extra.push_back(shared->padding);

        shared->total_point++;

    }

    return true;

}

這樣，所有加密的資料都提取出來了，直接進行組合，以加密的方式dump出來。

1

2

3

4

5

6

7

8

9

10

size_t myfwrite(const void* buffer, size_t size, size_t count, FILE* stream) {

    char *tmp = new char[size * count];

    mymemcpy(tmp, buffer, size * count);

    for (size_t i = 0; i < size * count; ++i) {

        tmp[i] ^= encryptKey;

    }

    size_t rel = fwrite(tmp, size, count, stream);

    delete []tmp;

    return rel;

}
  1. dex修復
    上面dump下來的dex檔案是非標準的，可能存在部分的class資料不合法，並且一些軟體不認。所以需要一個寫一個修復的server來跳過非法的資料。server主要修改了baksmali與smali的程式碼，自動跳過無法反編譯的類。

  2. 其他
    Android加固發展到現在，經歷了好幾個大版本改動。最初的是dex整體加固，現在的是VMP加固，中間出了不少非常不錯的脫殼機，其中最為經典的有2個:ZjDroid與dexHunter，這兩個都是開源的，並且寫得非常好，即使是放到今天來看，也具有相當的參考價值,想要學習脫殼的同學們可以拜讀一下。另外，FUpk3是執行在dalvik上的，那麼要在art下脫殼怎麼辦呢？道理還是一樣的，只是art下會複雜很多, 跑解析的跑編譯的都有，修復起來需要記錄很多資料，這裡由於某些原因就不公開art下的脫殼機了。

  3. 寫在最後
    新手想要入門，需要什麼？1. 一臺谷歌親兒子(nexus) 2. 一個Ubuntu系統 3. 一套完整的Android原始碼。平時有事沒事可以多看看原始碼,刷刷機之類的。Android平臺與Windows上的不同，到目前為止，Android上系統的優秀的教材實在是少，如果沒人手把手地帶入門的話，基本上就是在白做功，幸好大部分難點的解決方案答案都可以在原始碼裡面找到，多熟悉一下總會有好處的。

7.https://github.com/F8LEFT/FUPK3
看雪上的md外掛怪怪的，大家去我的github上看吧,歡迎各種star與follow，演示視訊在這裡 https://pan.baidu.com/s/1HH_-TQGca1NLoSqzvOPB3Q 密碼：izm3

 

 

 

相關推薦

Android通用脫殼機FUPK3

轉自：https://bbs.pediy.com/thread-246117-2.htm 大家好，我是F8LEFT，潛水了這麼久，抽空來發個技術帖子。這次要發的作品是我以前寫的一個脫殼機FUPK3，這個脫殼機的思路應該是以前沒人放過的，這裡我不私藏了，放出來給大家來評評。 Android程式碼是

Android FART脫殼機流程分析

> 本文首發於安全客 > > 連結：https://www.anquanke.com/post/id/219094 ## 0x1 前言 在Android平臺上，程式設計師編寫的Java程式碼最終將被編譯成位元組碼在Android虛擬機器上執行。自從Android進入大眾的視野後，apktool,jadx等

安卓 dex 通用脫殼技術研究（二）

技術 end 所有 art min out 描述 mut ons 0x03 DexHunter代碼分析 DexHunter 實現中，只需要修改一處文件：dalvik\vm\native\dalvik_system_DexFile.cpp 下面是BeyondCompare比對

安卓 dex 通用脫殼技術研究（一）

注：以下4篇博文中，部分圖片引用自DexHunter作者zyqqyz在slide.pptx中的圖片，版本歸原作者所有； 0x01 背景介紹 安卓 APP 的保護一般分為下列幾個方面： JAVA/C程式碼混淆 dex檔案加殼 .so檔案加殼 反動態除錯技術 其中混淆

Android APK脫殼--騰訊樂固、360加固一鍵脫殼

概述 現在使用Proguard進行混淆的程式碼，也很容易被破解，所以就出現了加固工具，讓反編譯的難度更大。但是有了加固技術，就會有反加固技術，正所謂道高一尺魔高一丈。 經過加固後的apk，通過dex2jar反編譯： 騰訊樂固： legu.png 360加固：

Android dex檔案通用自動脫殼器

標 題: 【原創】Android dex檔案通用自動脫殼器作 者: zyqqyz時 間: 2015-09-01,13:03:30鏈 接: http://bbs.pediy.com/showthread.php?t=203776之前做了一個Android dex的通用脫殼器

IDA 調試 Android 方法及簡單的脫殼實現

all fun cati chm std function sso .apk 代碼位置 IDA 調試 Android 方法及簡單的脫殼實現 標簽： android原創逆向調試dalvik 2016-05-24 14:24 9286人閱讀 評論(3) 收藏

Android脫殼聖戰之---脫掉360加固殼(破解約火包神器的鑽石充值功能)

一、情景分析 程式猿一般都很孤獨，特別是總是和程式碼相伴，比如像我這種窮屌絲，一到週末就閒著沒事刷各種應用，看看想看的，無意中發現一款封面看著挺誘人的約友神器，下來來看看，迫不及待的點開： 我尼瑪我只是想視訊通話，竟然還要讓老子衝鑽石，我這暴脾氣可不答應，可是誰叫我們那麼窮呢？只能靠著

[Android 脫殼] 使用 IDA 進行簡單的脫殼

0x00 摘要 Apk脫殼方法有兩種：  （1）使用脫殼神器ZjDroid進行脫殼（現在此方法不是很好使，因為很多應用都同步更新自己的防禦機制，個人覺得熟練脫殼還是得使用 IDA 進行操練）。    （2）使用 IDA Pro 在 dvm

常見android app加固廠商脫殼方法研究

目錄簡述（脫殼前學習的知識、殼的歷史、脫殼方法） 第一代殼 第二代殼 第三代殼 第N代殼 簡述Apk檔案結構Dex檔案結構殼史殼的識別Apk檔案結構 Dex檔案結構 殼史 第一代殼 Dex加密 Dex字串加密資源加密對抗反編譯反除錯自定義DexClassLoader

Android安全/應用逆向--33--使用IDA Pro進行脫殼

7-10、使用IDA Pro進行脫殼 注：本文之針對加密殼（教學級），高階商業殼的複雜度遠遠超出想象，目前難以搞定 加殼是為了讓自身的classes.dex得到保護，防止APK的原始碼被偷窺。 脫殼總目標：到達dvmDexFileOpenPartial 函式處，

android脫殼之dvmDexFileOpenPartial分析

目錄： 逆向加殼apk的典型方法 流程分析 逆向加殼apk的典型方法 我們知道，逆向加殼apk的時候，可以對libdvm.so中的int dvmDexFileOpenPartial(const void* addr, int len, Dvm

阿里第一代 android dex加固的脫殼方法

脫殼環境： Android 4.2、dalvik模式、 root… 使用到的工具： IDA 6.8 Android Device Monitor Android Killer V1.3.1.0 Android逆向助手V2.2 將程式

Android SO 加殼(加密)與脫殼思路

   0x01 常見的Android SO加殼(加密)思路    1.1 破壞Elf Header    將Elf32_Ehdr 中的e_shoff, e_shnum, e_shstrndx, e_shentsize欄位處理，變為無效值。由於在連結過程中，這些欄位是無用的，所

從Android執行時出發，打造我們的脫殼神器

0x00 前言 之前對Android的兩個執行時的原始碼做了一些研究，又加上如火如荼的Android加固服務的興起，便產生了打造一個用於脫殼的執行時，於是便有了DexHunter的誕生（原始碼：https://github.com/zyq8709/DexHunter/）。

android某加固脫殼（一）

先來一張圖對比下：加固前和脫殼後dex檔案比對： 對比結果發現：將原有的dex檔案頭抹除，保留其它區段。將一個新的將“殼”的dex檔案放到抹除檔案頭部分，在修復dex檔案校檢相關引數。（沒仔細研究

一種常規Android脫殼技術的拓展（附工具）

http://www.freebuf.com/sectool/105147.html?utm_source=tuicool&utm_medium=referral 最近在做移動安全測試的專案時，遇到了最新的某數字殼，好久都沒脫殼了，記得上次脫殼還是zjdroid

Android so加固的簡單脫殼

Android應用的so庫檔案的加固一直存在，也比較常見，特地花時間整理了一下Android so庫檔案加固方面的知識。本篇文章主要是對看雪論壇《簡單的so脫殼器》這篇文章的思路和程式碼的分析，很久之前就閱讀過這篇文章但是一直沒有時間來詳細分析它的程式碼，最近比較有空來

IDA 除錯 Android 方法及簡單的脫殼實現

本文參考了一些網路文章，對大大們的技術分享表示感謝。小弟剛剛開始深入去搞Android的逆向不久，寫一下學習筆記，希望能拋磚引玉，給新手同學們帶來方便。文筆比較爛，這不重要，重要的是按自己思路整理出來的資料以後自己看起來快一些。文中如有不對的地方還請留言指正。前置環境 J

Android逆向（6）——脫殼前奏，激動人心的so原始碼分析

0x00 前言 之前看來dex載入的過程是不是特別開心。現在我們就更接近脫殼了。so的動態載入，連結，等等，你都會在這篇文章裡看到。當然還是要自己進行一個研究才可以。 0x01 so的載入初步分析 so的載入分析。 我們還是從原始碼入手。