【Android 原创】实战分析一个Crackme的过程(超级详细)

转至吾爱论坛微信公众号

作者坛账号: 佚名RJ

 

[超级详细]实战分析一个Crackme的过程

一、写在前面

 

自学这个也有几个星期了,今天就总结一下近期学习的成果,实战分析一个Crackme,并写下了这篇超级详细的过程,从软件环境的配置到软件详细的使用再到最后的逆向分析出结果,为了文章的贴图方便和文章美观展示,用了两台电脑+MUMU模拟器+Google6.0.1版真机,相互切换着截图附在帖子里,也主要是因为模拟器动态调试so加载好像有问题。我是新入门的小白一个,如果文章中出现错误,希望大佬们能及时斧正,以免对其他萌新产生误导。(此文章只发布在吾爱和看雪

 

二、所用工具

IDA Pro V7.0版jadx 1.2版Android Kill 1.3.1版Google真机 6.0.1版 、MUMU模拟器 2.4.2版

三、jadx分析AliCrackme

先使用MUMU模拟器打开软件随便输入密码,提示 验证码校验失败

【Android 原创】实战分析一个Crackme的过程(超级详细)

将软件拖入jadx去分析一下软件代码的执行流程,直接使用软件的搜索功能,发现只有一条数据并进去看一下。

【Android 原创】实战分析一个Crackme的过程(超级详细)

分析一下软件中代码执行密码校验的流程,试图分析出软件的真实的密码

【Android 原创】实战分析一个Crackme的过程(超级详细)

经过上图的一些分析步骤之后,我发现软件的真实的密码在crackne.so里面,接下来使用jadx的全部保存(ctrl+s) 并选择保存的位置将so文件提取出来,如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

四、IDA静态/动态/反反/再动态调试

1.静态分析

接着打开 IDA 点击 NEW 打开libcrackme.so文件,中途出现弹窗一致 ok 即可!

【Android 原创】实战分析一个Crackme的过程(超级详细)

直接看到了这里,这个与上面反编译分析的方法名一致,只是前面加入了一些软件包的特征,如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

汇编不是太方便看,直接使用左边的功能将其转换为 伪C代码 或 直接使用快捷键 F5

【Android 原创】实战分析一个Crackme的过程(超级详细)

转换为 伪C代码之后,分析一下代码的执行,点击 v3 通过JNIEnv* 还原类似((_DWORD )v3 + 676))格式的指令,重命名以及注释的方式记录分析,如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

下面详细的分析一下代码的逻辑,判断出用户输入的密码和软件真实的密码,如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

下面使用Rename lvar或快捷键 N 的方式直接将分析出来的 直接重命名一下,方便以后容易查看,最终如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

2.动态调试

接下来就是通过动态调试 分析这个so文件的密码了,在动态调试之前我需要配置一些环境,步骤如下:

【Android 原创】实战分析一个Crackme的过程(超级详细)

连接MUMU模拟器:adb connect 127.0.0.1:7555          //7555为mumu模拟器端口,其它模拟器百度一下

将文件push 进手机的指定目录下:adb push android_x86_server /data/local/tmp/

进入手机端命令:adb shell

切换获取手机的root权限:su

查找push的文件是否在手机中:cd /data/local/tmp/

查看路径下的文件以及权限:ls -l

拥有root权限更改文件的权限为777:chmod 777 android_x86_server

在手机中启动运行该文件: ./android_x86_server

windows运行 端口转发到PC:adb forward tcp:23946 tcp:23946

【Android 原创】实战分析一个Crackme的过程(超级详细)

再开启一个 命令行 做一下端口的转发,如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

全部执行完毕之后,可以看到正在监听这个端口,这时候我们打开 IDA 并且点击GO  然后按照下图选择所使用的

【Android 原创】实战分析一个Crackme的过程(超级详细)

并输入 127.0.0.1 后面的端口是默认的,上面的命令也在监听这个端口。

【Android 原创】实战分析一个Crackme的过程(超级详细)

找到要动态调试的软件的包名,直接选中,点击 ok 打开即可!

【Android 原创】实战分析一个Crackme的过程(超级详细)

打开之后,直接使用下图的方式,或者 快捷键 Ctrl+s 找到到要调试的libcrackme.so文件 带x权限的文件。

【Android 原创】实战分析一个Crackme的过程(超级详细)

在所有的so文件中直接使用快捷键Ctrl+f 搜索,并找到 Start地址先执行且有 X(可执行权限) 的 选中点击OK进入,

模拟器的是下图显示的so:

【Android 原创】实战分析一个Crackme的过程(超级详细)

这里使用模拟器的话,so文件加载会有一些问题,在这里我改用了Google真机6.0.1版本进行动态调试

真机的是下图显示的so:

【Android 原创】实战分析一个Crackme的过程(超级详细)

打开so文件之后我们要定位到要调试函数的一个内存的绝对地址=so文件的基地址+函数的偏移量
【Android 原创】实战分析一个Crackme的过程(超级详细)

经计算可知,函数的绝对地址就是F49591A8在IDA中 使用快捷键G跳转到地址的位置,也就是要调试的函数位置

【Android 原创】实战分析一个Crackme的过程(超级详细)

找到函数名之后,鼠标右键 选择 Add breakpoint 或者 直接使用快捷键F2打断点,然后让程序恢复执行,使用快捷键F8往下走。

【Android 原创】实战分析一个Crackme的过程(超级详细)

点击 F8 给so文件的函数打断点调试,直接就退出或出现错误弹窗等等!如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

证明软件有反调试的机制,先看一下软件是通过何种方式反调试的,又是如何检测被调试的呢?

检测是否被调试:利用Linux系统 ptrace 来实现,当应用被调试时应用内存里的TracerPid字段就不为0,只要是不为0的时候,就会直接的退出程序,达到反调试的目的。

接下来进入设备查看一下ptrace字段:

进入设备: adb shell

获取Root权限:su

获得APP的进程ID:ps | grep 软件的包名

查看进程的信息及TracerPid值: cat  /proc/进程ID/status

 

【Android 原创】实战分析一个Crackme的过程(超级详细)

 

知道了软件有反调试之后,接下来就需要对其反反调试了。

3.反反调试

下面为方便发帖截图说明,我又换回了模拟器来做调试(模拟器可以调就用模拟器,不能调的当然就要换真机啦)

如何反反调试:程序的so文件在加载阶段会先执行JNI_OnLoad,之后就不再执行,在程序的so文件加载阶段才能给JNI_OnLoad打断点调试即可!

//调试APP挂在加载界面

adb shell am start -D -n 包名/.类名

adb shell am start -D -n com.yaotong.crackme/.MainActivity

用调试模式启动APP,APP此时会挂在启动界面,现在并没有开始加载so文件。

【Android 原创】实战分析一个Crackme的过程(超级详细)

重新关闭打开 IDA 并调试上面挂载的程序,进入之后点击Debugger->Debugger options… 选项如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

勾选这两项Suspend on thread start/exit      Suspend on library load/unload,之后ok,之后点击下图左上角的运行符号,然后让它运行起来。

【Android 原创】实战分析一个Crackme的过程(超级详细)

然后让模拟器的APP也运行起来,用过下面的这些命令运行APP,即可

进入设备: adb shell

获取Root权限:su

获得APP的进程ID:ps | grep com.yaotong.crackme

监听进程的ID:adb forward tcp:8700 jdwp:4495(4495为上面获得的APP进程ID)

运行进程:jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

获取APP的进程的ID以及再开启一个命令行,直接做端口的监听转发,并直接的运行进程,如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

注意:卡在运行进程这一步的不出现上图的正在初始化jdb…,应该是你漏掉了一个步骤,我就是因为截图过之后忘记了在IDA 动态调试的时候,忘记点击了一下IDA左上角的运行符号,而导致的一致不出来正在初始化jdb…的情况,出现初始化后,APP处于这个没有控件的界面,此时的APP并没有完全的运行起来,只是挂在这里

【Android 原创】实战分析一个Crackme的过程(超级详细)

然后我们回到 IDA 的动态调试 找到要调试的crackme.so 文件,按Ctrl+s 之后按Ctrl+f搜索crackme,如果没有就点击左上角的运行 运行一步继续操作,直到可以在所有的so文件中搜索到crackme.so文件,并且找到可执行的X权限的文件。(这里模拟器又出现了没有X可执行的情况,直接换Google6.0.1真机)模拟器调试如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

真机动态调试前一定要修改APP AndroidMenifest.xml文件, 在<application 里给APP加上可调试权限,android:debuggable=”true”,重新打包APP,签名,安装,如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

接下来点击 IDA 左上角的运行,按照上面说的,知道找到 crackme.so 中有X(可执行的),进入,如下图:

【Android 原创】实战分析一个Crackme的过程(超级详细)

然后我们要进入 JNI_ONLoad ,接下来算绝对地址=执行so文件的基地址+函数的偏移量 最终如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

最终的计算结果如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

跳转到 JNI_ONLoad 里面去了,先结合静态分析看一下这个文件流程图的大致逻辑,然后在动态调试里打断点调试,并点击IDA左上角的运行,恢复程序的运行如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

BLX R7的位置跳了出去,很可疑的位置需要重点注意,尝试修补so文件的这个位置,看一下,如下图所示:

【Android 原创】实战分析一个Crackme的过程(超级详细)

然后IDA 静态调试分析 找到上面的BLX R7位置,点击一下,可以看Hex View-1视图中的3F FF 2F E1

【Android 原创】实战分析一个Crackme的过程(超级详细)

把 3F FF 2F E1 修改为 00 00 00 00 即可,下面直接使用两种方式修改这个:

第一种:

【Android 原创】实战分析一个Crackme的过程(超级详细)

【Android 原创】实战分析一个Crackme的过程(超级详细)

第二种:

【Android 原创】实战分析一个Crackme的过程(超级详细)

【Android 原创】实战分析一个Crackme的过程(超级详细)

修改完毕之后,找到这个文件所在的位置,与之前Android kill反编译之后的里面的so文件做替换,然后就回编译签名安装即可

【Android 原创】实战分析一个Crackme的过程(超级详细)

【Android 原创】实战分析一个Crackme的过程(超级详细)

修改了关于程序反调试的TracerPid 指令37 FF 2F E1 改为 00 00 00 00 然后对软件重新回编译打包安装后,就可以继续动态调试软件的真实密码了,不会再有反调试的防护机制了,接下来就是再次动态调试。

4.再动态调试

有了上一次的经验这次直接使用 Google6.0.1版本真机,很快的通过上面的方式,找到了要调试的函数所在的位置,如下图所示

【Android 原创】实战分析一个Crackme的过程(超级详细)

打断点后让程序恢复执行,真机上输入密码(yimingrj)并存到寄存器,一直F8找到有跳转的地方,鼠标查看寄存器的值:

【Android 原创】实战分析一个Crackme的过程(超级详细)

之后我们看一下R3的值,直接使用快捷键F5看一下伪C代码,又根据之前的静态调试分析可知v6就是真实密码,最后分析出了这个软件真实的进入密码为:aiyou,bucuoo(哎呦,不错哦)!

【Android 原创】实战分析一个Crackme的过程(超级详细)

输入密码经过模拟器上程序验证后,进入软件成功!这个软件的密码分析到这里这部分就结束了。

【Android 原创】实战分析一个Crackme的过程(超级详细)

五、最后总结

 

因为模拟器动态调试so加载好像有问题,又因为文章的贴图需要,所以用了两台电脑+MUMU模拟器+Google6.0.1版真机,模拟器对动态调试so文件支持的好像不是很好。
(不断学习+总结积累=持续性进步)

 

总结一条经验:以后再动态调试就可以直接使用真机了。

这篇详细的实战分析文章:

文章对我而言:是一次详细的总结,也可以当做以后自己再调试软件的一个经验贴和排错贴;

文章对你而言:是对逆向比较感兴趣的同学的一个入门介绍,希望可以帮助到你。

www.52pojie.cn

pojie_52

未经允许不得转载:许陆宾博客-屌丝肥宅基地-阿benBlog » 【Android 原创】实战分析一个Crackme的过程(超级详细)

赞 (0)

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址