app逆向之安卓native层安全逆向分析（一）：frida 与unidbg

前言

这个专题是根据白龙，龙哥的unidbg博客的案例，进行从0开始到逆向的流程，核心部分会借鉴龙哥的unidbg，通过借鉴大佬的思路，完整的分析某个so层的加密参数

各位朋友也可以直接读龙哥的博客，我只是用我的角度进一步加工一下

原文地址：SO逆向入门实战教程一：OASIS_so逆向学习路线_白龙~的博客-CSDN博客

分析

首先拿到这个app，安装啥的就不多说了。

进入到注册界面：

点击获取验证码，然后这边抓包工具抓到的包：

然后，这里面的【sign】就是今天的重点了。

用神秘的工具脱壳完之后，有如下的dex：

把这些dex，全部选中，拖进jadx

快速定位

接下来开始找sign所在的位置，先看看抓包工具这边的参数，根据这些键名，一顿搜，总能找到一些

先搜下【sign】，虽然搜出来的结果不多，但是感觉有很多干扰项

进最后那个，到这里，

这些参数看着很像，用frida hook，得知，发现并没有走到这里

搜【ua】

进到这里，发现很可疑，好多参数都对上了

啥都不说，先用objection hook下，然后app端点击【重新发送】看看：

可以，这不直接就定位逻辑了

但是我们要找【sign】，所以还得再看看，jadx查看发现，这个方法反编译效果不太好，问题不大，记住这个dex名，然后用GDA 打开这个dex，这就挺好，基本都反编译出来了

反正看着确实可疑，但是这三个方法，还不确定到底是是哪个方法里有【sign】部分，所以这里直接hook 它这个a,b，c三个方法，然后app点下重新获取

ok，发现最后的方法里基于有我们要的sign，这边再来下，用抓包工具对比下，谨慎一点，别搞半天没搞对位置：

重新hook下，然后抓包工具打开看看

对上了，ok，就是这里了【g.a.c.g.c.a】

在jadx里，反编译失败：

问题不大，用GDA看：

这不就越来越接近了吗，嘻嘻，点进去：

hook下这个c方法看看，ok，对上了

接着一顿分析后再进入这里

ok，进到了native层，那么核心的逻辑就在这里了。

像这种，常规的方法怎么解决呢？

如果你是为了拿数据，赶工期的话，那你可以直接主动调用这个方法
如果你是为了纯算还原的话，那就把这个so文件拖进ida一顿分析了
那么假如，这个方法的纯算很复杂，而你又不想主动调用，感觉很low的话，那你就可以尝试用unidbg了

unidbg，就是本系列文章的重点了。

unidbg简介

什么是unidbg

unidbg 是一个基于 unicorn 的逆向工具，可以实现黑盒调用安卓和 iOS 中的 so 文件

unidbg是凯神写的一个开源的java项目

使用场景

因为现在的大多数 app 把核心的加密算法放到了 so 文件中（比如本例的app），你要想破解签名算法，必须能够破解 so 文件。但C++ 的逆向远比 Java 的逆向要难得多，有各种混淆啊，ollvm啥的，所以好多时候是没法纯算还原破解的

那么你是否有过一个想法，能不能把安卓的环境模拟出来，但是又脱离了安卓真机的环境，就可以直接使用so里的方法呢？

unidbg 就是这样一个工具，它模拟好了好几种虚拟环境，他不需要直接运行 app，也无需逆向 so 文件，而是直接找到对应的 JNI 接口，然后用 unicorn 引擎（也不止这一个引擎）直接执行这个 so 文件，所以效率也比较高。

配置unidbg

1.首先，用git 把这个项目clone 下来：

zhkl0228/unidbg: Allows you to emulate an Android native library, and an experimental iOS emulation (github.com)

2.再用idea（写java项目那个编辑器）打开，

首次打开，右下角会下载很多依赖环境，等待即可

然后随便找一个项目，执行下main方法，有正常输出，说明环境配置好了：

执行结果：

ok，这就很nice。

frida调试

接下来，先用ida 打开那个目标so文件

等左下角这个数据没有再变的时候，说明加载好了

接下来找导出表【export】，或者在左边的栏里搜【java】

发现并没有任何东西，那么这里就是动态注册的so方法了。

什么是动态注册、静态注册

静态注册（又叫静态绑定），就是，so的方法名直接export导出表里，且命名格式为【java_app包名_方法名】，比如 java_com_sina_oasxxx_nativeapi_s

动态注册（又叫动态绑定）就是export到处表里没有的就是动态注册。

那么这里我们的目标方法就是动态注册的了，那咋办，看看JNI_load方法：

按下【tab】键，会由上面的汇编代码反编译为c代码：

再按下【\】反斜杠，可读性更强点：

但是这里发现，一顿while 和if，根据龙哥的博客说的，大概率是ollvm混淆。那咋办？

用yang神的hook_native脚本来hook出目标函数的偏移地址，然后加上so的基址，就可以得到目标函数的地址了（看是thumb还是arm，thumb要加1，arm不用）

frida_hook_libart/hook_RegisterNatives.js at master · lasting-yang/frida_hook_libart (github.com)

用frida hook一下，结果到这就报错退出了

就很尴尬，看看，他报的哪个class名，用来过滤下试试：

重新运行frida试试，可以，这下直接就定位到我们要的方法的位置了：

这里有朋友估计会说，卧槽，这不都出来了吗，这地址，拿着直接用啊，不急，我重启脚本看看：仔细看，fnptr地址变了，fnoffset和后面的jni-load + 的地址没变的

多次hook发现确实如此，因为这里就是上面说的动态注册，所以这个fnptr，也就是so的基址，app没启动一次就会变，但是目标方法的偏移值是不会变的。ok

用frida hook so看看：

相关的hoo so，有个大佬总结的很好：

分类: frida | 凡墙总是门 (kevinspider.github.io)

ok，这里我们hook下，拿下入参和返回值看看：

function inline_hook() {
    var so_addr = Module.findBaseAddress("liboasiscore.so");
    console.log("so_addr:", so_addr);
    if (so_addr) {
        var sub = so_addr.add(0x116cc); // 不用加1，是arm架构
        console.log("The addr_0x116cc:", sub);
        Java.perform(function () {
            Interceptor.attach(sub,
                {
                    onEnter: function (args) {
                        console.log("addr_0x116cc OnEnter :", this.context.PC,
                            this.context.x1, this.context.x5,
                            this.context.x10);
                    },
                    onLeave: function (retval) {
                        console.log("retval is :", retval)
                    },
                })
        })
    }
}


setTimeout(inline_hook, 1000)

运行结果：

发现并不可读，没事，反正至少是有了

function stringToBytes(str) {
  return hexToBytes(stringToHex(str))
}

function stringToHex(str) {
  return str
    .split('')
    .map(function (c) {
      return ('0' + c.charCodeAt(0).toString(16)).slice(-2)
    })
    .join('')
}

function hexToBytes(hex) {
  for (let bytes = [], c = 0; c < hex.length; c += 2) bytes.push(parseInt(hex.substr(c, 2), 16))
  return bytes
}

function hexToString(hexStr) {
  let hex = hexStr.toString()
  let str = ''
  for (let i = 0; i < hex.length; i += 2) str += String.fromCharCode(parseInt(hex.substr(i, 2), 16))
  return str
}

function inline_hook() {
    var so_addr = Module.findBaseAddress("liboasiscore.so");
    console.log("so_addr:", so_addr);
    if (so_addr) {
        // var sub = so_addr.add(0x116cc); // 不用加1，是arm架构
        console.log("The addr_0x116cc:", so_addr);
        var ss = "aid=01A8SBOtNRVqsR1ywgkR4tHsZEsgXkGDrgKO2OvFBeThKWZDE.&cfrom=28B5295010&cuid=0&noncestr=L83x8Z40132Wan450y736563n3kmWj&phone=138469655665&platform=ANDROID&timestamp=1681790293128&ua=Xiaomi-MI6__oasis__3.5.8__Android__Android9&version=3.5.8&vid=2010511512550&wm=20004_90024";
        var add_addr = so_addr.add(0x116cc); // 32位需要加1
        var add = new NativeFunction(add_addr, 'pointer', ['pointer', 'int']);
        console.log(add)
        var result = add(stringToByte(Memory.allocUtf8String(ss)), false)
        console.log("add2 result is ->" + result.readCString());
    }

}
function stringToByte(str) {
    var ch, st, re = [];
    for (var i = 0; i < str.length; i++) {
        ch = str.charCodeAt(i);
        st = [];
        do {
            st.push(ch & 0xFF);
            ch = ch >> 8;
        } while (ch);
        re = re.concat(st.reverse());
    }   // return an array of bytes
    return re;
}

setTimeout(inline_hook, 2000)

尝试主动调用，调试了很久，就是不行

突然反应过来，这个so文件有ollvm混淆啊，虽然用yang神的代码hook到了偏移地址，但是他内部可能并不是这些参数，而我们又没法直接分析，那没法了。其实以上的代码，在其他地方是可以用的，

那接下来咋办？上unidbg吧

unidbg调试

上面用了frida+ida调试，发现有的时候没法搞啊，那么这里，终于要用unidbg来模拟执行生成上面目标app的sign了

先创建一个文件，把该有的都放进去

然后再oasis里写代码，照着龙哥的搞就完了：注意文件路径，跟你实际的路径保持一致

package com.sina;

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Module;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.AbstractJni;
import com.github.unidbg.linux.android.dvm.DalvikModule;
import com.github.unidbg.linux.android.dvm.VM;
import com.github.unidbg.memory.Memory;

import java.io.File;

public class oasis extends AbstractJni {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final Module module;

    oasis() {
        // 创建模拟器实例,进程名建议依照实际进程名填写，可以规避针对进程名的校验
        emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.sina.oasis").build();
        // 获取模拟器的内存操作接口
        final Memory memory = emulator.getMemory();
        // 设置系统类库解析
        memory.setLibraryResolver(new AndroidResolver(23));
        // 创建Android虚拟机,传入APK，Unidbg可以替我们做部分签名校验的工作
        vm = emulator.createDalvikVM(new File("unidbg-android\\src\\test\\java\\com\\sina\\lvzhou.apk"));
        // 加载目标SO
        DalvikModule dm = vm.loadLibrary(new File("unidbg-android\\src\\test\\java\\com\\sina\\liboasiscore.so"), true); // 加载so到虚拟内存
        //获取本SO模块的句柄,后续需要用它
        module = dm.getModule();
        vm.setJni(this); // 设置JNI
        vm.setVerbose(true); // 打印日志

        dm.callJNI_OnLoad(emulator); // 调用JNI OnLoad
    };

    public static void main(String[] args) {
        oasis test = new oasis();
    }
}

然后运行一下，没啥问题，说明架子是搭上了

仔细看这里，这样也把我们要的方法的地址拿到了。舒服啊

用前面frida 的对比，好像不太一样，问题不大

再来看看代码：

再来仔细看看他这个main干了啥：

调用

架子搭好了，接下来调用，调用有两种方式，一种是符号（symbol）调用，一种是地址调用，符号调用对应静态注册，地址调用对应动态注册。那么根据前面的解析，这里我们只能选用地址调用了

先看看我们要调用的方法：

有两个参数，一个byte数组，一个boolean，然后native层的方法，默认前面会自动加两个参数，一个jni env，一个jobject

还是上面的frida脚本，先hook下，看看入参和返回：

ok，直接拿着这个str参数的值去unidbg构造：

注意，如果你用的旧版，也就是龙哥案例的代码，直接报错：

新版得这么用，运行结果：

package com.sina;

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Module;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.AbstractJni;
import com.github.unidbg.linux.android.dvm.DalvikModule;
import com.github.unidbg.linux.android.dvm.VM;
import com.github.unidbg.linux.android.dvm.array.ByteArray;
import com.github.unidbg.memory.Memory;
import com.sun.jna.Pointer;

import java.io.File;
import java.nio.charset.StandardCharsets;
import java.util.ArrayList;
import java.util.List;
import java.lang.Number;

public class oasis extends AbstractJni {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final Module module;

    oasis() {
        // 创建模拟器实例,进程名建议依照实际进程名填写，可以规避针对进程名的校验
        emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.sina.oasis").build();
        // 获取模拟器的内存操作接口
        final Memory memory = emulator.getMemory();
        // 设置系统类库解析
        memory.setLibraryResolver(new AndroidResolver(23));
        // 创建Android虚拟机,传入APK，Unidbg可以替我们做部分签名校验的工作
        vm = emulator.createDalvikVM(new File("unidbg-android\\src\\test\\java\\com\\sina\\lvzhou.apk"));
        // 加载目标SO
        DalvikModule dm = vm.loadLibrary(new File("unidbg-android\\src\\test\\java\\com\\sina\\liboasiscore.so"), true); // 加载so到虚拟内存
        //获取本SO模块的句柄,后续需要用它
        module = dm.getModule();
        vm.setJni(this); // 设置JNI
        vm.setVerbose(true); // 打印日志

        dm.callJNI_OnLoad(emulator); // 调用JNI OnLoad
    };

    public static void main(String[] args) {
        oasis test = new oasis();
        System.out.println(test.getSign());
    }
    public String getSign(){
        List<Object> list = new ArrayList<>(10);
        list.add(vm.getJNIEnv()); // arg1,env
        list.add(0); // arg2,jobject
        String keywords = "aid=01A8SBOtNRVqsR1ywgkR4tHsZEsgXkGDrgKO2OvFBeThKWZDE.&cfrom=28B5295010&cuid=0&noncestr=L83x8Z40132Wan450y736563n3kmWj&phone=138469655665&platform=ANDROID&timestamp=1681790293128&ua=Xiaomi-MI6__oasis__3.5.8__Android__Android9&version=3.5.8&vid=2010511512550&wm=20004_90024";
        byte[] keyB = keywords.getBytes(StandardCharsets.UTF_8);
        ByteArray inbarr = new ByteArray(vm,keyB);
        list.add(vm.addGlobalObject(inbarr)); //arg3
        list.add(0); //arg4
//        Number number = module.callFunction(emulator,0xC365,list.toArray())[0];
        Number number = module.callFunction(emulator,0xC365,list.toArray());
        String result = vm.getObject(number.intValue()).getValue().toString();
        return result;
    }
}

验证下结果，对上了，舒服：

结语

unidbg的实用之处就在这里，相信不用我多说，你已经发现了很多妙用之处

app逆向之安卓native层安全逆向分析（一）：frida 与unidbg

前言

分析

快速定位

unidbg简介

什么是unidbg

使用场景

配置unidbg

frida调试

什么是动态注册、静态注册

unidbg调试

调用

结语

app逆向之安卓native層安全逆向分析（八）：unidbg補前置環境+io重定向

app逆向之安卓native層安全逆向分析（七）：unidbg自嘗試某潮流app+dvmObject[]處理

某app請求參數分析

app逆向之安卓native層安全逆向分析（六）：frida調試跟棧+unidbg補環境大動作

app逆向之安卓native層安全逆向分析（五）：unidbg黑盒調用

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結