安卓加固方案从落地加载到类指令抽取编写报告
一、前言以及環境配置
????PS:突然想起來好久沒在看雪發過啦，這次就同步一下吧！！！
????PS:該文已經首發于某公眾號，介意者勿噴！！！
????安卓的加固方案是從19年底開始寫的，到現在為止差不多快一年了，寫這個目的還是學習怎么脫殼，前幾個月再看雪看到有人直接分析殼來學習，不過我感覺從加殼寫起也是一種浪漫。因為個人原因，在類指令抽取殼哪里為半完成狀態，在今年大概率沒有時間接著修改了，在java層的加固就止于此吧！！！(PS:以后有時間會接著修改)
??環境配置：
????
????* Android studio v3.5.3
????* 華為G621-TL00 android v4.4.4
二、第一代殼：落地加載
1、原理
????a、原理很簡單，就是首先將我們的dex文件或者apk文件解密，然后利用DexClassLoader加載器將其加載進內存中，然后利用反射加載待加固的apk的appkication，然后運行待加固程序即可，我畫了個流程圖詳細說明如下：
????????
????b、上面說了大概原理，現在來說明一下具體細節，我們知道，在一個app開始運行的時候，第一個加載的類是ActivityThread,該類有個關鍵屬性currentActivityThread，通過該屬性能夠獲取到一系列其他關鍵的屬性，例如mPackages，通過該屬性，我們可以獲取到mClassLoader屬性，通過替換該屬性我們可以替換系統加載器，如下所示：
????接著來說怎么獲取待加固apk的application，這個通過在脫殼apk的AndroidManifest.xml中使用meta-data來獲取，如下所示：
????在然后就是怎么替換application，我們可以知道在android.app.LoadedApk類中有一個方法makeApplication可以生成一個application，通過該方法生成一個application，然后通過替換android.content.ContentProvider類中的mContext屬性完成application的替換，如下圖所示：
2、實際操作
????ps:因為第一代殼網上一大堆，所以講得很粗略，同時這也不是本文的重點！！！
????通過上面的代碼我們可以得到脫殼apk，然鵝待加固的apk放在哪里，網上大多放在脫殼dex的尾部，我又畫了一張圖，應該可以看圖就懂了：
[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片保存下來直接上傳(img-qSnvXdvK-1648472591872)(https://cdn.jsdelivr.net/gh/windy-purple/blog_picture_bed//androidshell/5.png)]
????這個我采用通過python讀取二進制然后重新計算chunksum和簽名字段實現，代碼入戲：
import binascii import hashlib import zlibdef fixCheckSum(shell):shell.seek(0x0c)data = shell.read()checksum = zlib.adler32(data)strchecksum = str(hex(checksum))strchecksum = strchecksum.replace('0x','')b = bytes(strchecksum.encode('utf-8'))a = bytearray(b)c = binascii.hexlify(binascii.unhexlify(bytes(a))[::-1])dataCheckSum = bytearray(c)shell.seek(0x08)shell.write(dataCheckSum)def fixSHA1(shell):shell.seek(0x20)signBytes = shell.read()sha1 = hashlib.sha1()sha1.update(signBytes)sign = sha1.hexdigest()tmp = bytes(sign.encode('utf-8'))b = bytearray(tmp)shell.seek(0x0c)shell.write(b)def fixFileSize(shell,num):b = bytearray()for i in range(4):number = int(num % 256)b.append(number)num = num >> 8shell.seek(0x20)shell.write(b)def IntToHex(num):b = bytearray()for i in range(4):number = int(num % 256)b.append(number)num = num >> 8b.reverse()return bdef main():sourceApk = open('sourceApk.apk','rb+',True)unshell = open('unshell.dex','rb+',True)filename = 'classes.dex'tmpApk = sourceApk.read()print('[*] 成功讀取待加殼的APK文件')sourceArray = bytearray(tmpApk)tmpDex = unshell.read()print('[*] 成功讀取脫殼DEX文件')unshellArray = bytearray(tmpDex)print('[-] 待加殼APK文件開始加密，加密類型為：未加密')sourceApkLen = len(sourceArray)unshellLen = len(unshellArray)print('[+] 加密后的APK大小為' + str(sourceApkLen) + 'Byte')totalLen = sourceApkLen + unshellLen + 4tmpByteArray = unshellArray + sourceArraynewdex = tmpByteArray + IntToHex(sourceApkLen)print('[+] 所有二進制數據合成完畢')shellTmp = open(filename,'wb+',True)shellTmp.write(newdex)shellTmp.close()print('[+] 數據寫入' + filename + '完畢')shell = open(filename,'rb+',True)fixFileSize(shell,len(newdex))print('[+] 文件大小修改完畢')fixSHA1(shell)print('[+] 文件SHA-1簽名頭部修改完畢')fixCheckSum(shell)print('[+] 文件校驗頭頭部修改完畢')print('[+] 待加殼APK文件sourceApk.apk加殼完畢，加殼后DEX文件' + filename + '生成完畢')shell.close()if __name__ == '__main__':main()????將上述apk重新簽名后，安裝運行，如下圖所示：
3、遇到的問題
????運行時報錯如下所示：
????解決方案：報錯顯示無法實例化activity，經過檢查是無法加載到正確格式的dex文件，檢查你的解密代碼，即使是你加密是象征型的異或了一個0xff，解密時也不能因為異或0xff值不變而不異或0xff。其次是打包成apk之前刪除簽名文件之后在簽名！！！
三、第二代殼：不落地加載
1、原理
????大體原理和第一代殼相同，和第一代殼不同的是，第一代殼將dex文件解密出來會保存到文件中，在通過DexClassLoader加載進內存中，而不落地加載直接重寫DexClassLoader使其可以直接加載字節數組，避免寫入文件中。我們要做的是重寫DexClassLoader，而這涉及到三個函數defineClass、findClass、loadClass，在一個類被加載的時候，會先后調用這三個函數加載一個類，所以我們需要重寫這三個函數，但是我們怎么在重寫的過程中操控dex中的類(通過字節數組加載進來的并不能直接操控)？其實系統的DexClassLoader加載dex進入內存的也必然是通過字節加載的，而在系統so中的libdvm.so中的openDexFile可以直接加載dex文件，那么現在清楚了，我們可以通過編寫so文件調用openDexFile函數加載dex字節數組，值得注意的是，openDexFile函數返回值為一個int類型的cookie，可以簡單理解成一個dex文件的’身份碼’，通過該’身份碼’即可操控這個dex文件,至于怎么調用該函數，可以通過dlopen和dlsym函數調用，相關代碼如下所示：
2、實際操作
????a、首先編寫樣本，這里我寫了一個類和一個方法，作用就是打印一個特征字符串，如下所示：
[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片保存下來直接上傳(img-gcgbn684-1648472591875)(https://cdn.jsdelivr.net/gh/windy-purple/blog_picture_bed//androidshell/11.png)]
????b、將上面的樣本打包成apk后提取出dex文件然后放置到assest文件夾下(該文件夾需要自己建立)供程序調用（ps：我這里圖方便未對dex文件加密然后解密，有需要的可以加上），然后脫殼apk和上面的第一代殼沒什么區別，唯一不同的是就是我們使用的是我們自己重寫的DexClassLoader，如下圖所示：
????c、運行截圖如下：
3、遇到的問題
??a、報錯java.lang.UnsatisfiedLinkError: Native method not found
????解決方案：在配置文件中添加packagingOptions{ pickFirst "lib/armeabi-v7a/libtwoshell.so" pickFirst "lib/arm64-v8a/libtwoshell.so" pickFirst "lib/x86/libtwoshell.so" pickFirst "lib/x86_64/libtwoshell.so" }，如下所示：
??b、運行到加載dex文件中的方法時，app直接閃退
????解決方案：重寫的loadClass方法有問題，不能通過直接super調用父類方法，而是應該通過反射調用defineClassNative方法，如下所示：
四、第三代殼：類指令抽取殼
1、原理
????a、什么是類指令抽取殼，從名字就能看出來，就是把dex文件中的方法指令抽空，變成nop，然后在運行時再將指令還原！！！
????b、指令抽取可以通過010修改，現在來說指令還原，其余代碼和第二代基本一樣，不一樣的地方在加載完dex之后執行指令還原函數，指令還原現在有兩種方法，第一種是通過讀取maps文件獲取加載的dex文件地址，然后對dex文件進行解析，找到被nop的指令處進行還原(ps：該種方法需要及其熟悉dex文件格式，不了解的可以看我之前的文章關于解析dex文件，因為我之前解析的時候用的是python，改成c要大量時間，所以我選擇了第二種方法)；第二種方法就是通過免root hook系統函數(最簡單的就是deFindClass函數)然后進行指令還原！！！
????c、接下來就將一下怎么通過hook dexFindClass函數來進行指令還原(PS:看懂下面的內容需要理解dex文件格式)。dexFindClass函數在libdvm.so庫中，如下所示：
????免root hook框架有點多，我選擇的是android inline hook，原因很簡單，很適合在so層使用，其他的經過我測試不知道為啥我寫出來的沒反應，該框架github地址：https://github.com/ele7enxxh/Android-Inline-Hook，用法可以參考作者github，該inline hook框架需要原函數地址、新函數地址和原始函數的二級指針，用法如下所示(怎么使用不是重點，接下來的才是重點，所以這里比較粗略)：
????我們要hook的是dexFindClass函數，該函數定義在DexFile.h文件中，該函數返回值為一個類結構指針，第二個參數為類名字，通過該參數我們就可以指定類進行指令還原，如下所示：
[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片保存下來直接上傳(img-9JidA4cO-1648472591879)(https://cdn.jsdelivr.net/gh/windy-purple/blog_picture_bed//androidshell/18.png)]
????上面我們得到的classDataOff，我們可以通過該地址獲取到類數據，該偏移地址指向的是一個DexClassData結構，該結構的header存儲了相關類信息，該結構的directMethods指針指向的方法的結構題，如下所示：
????通過directMethods指針我們可以順著找到DexMethod結構體，通過該結構體的methodIdx調用系統函數dexGetMethodId、dexStringById可以獲取到方法名字，精確還原方法指令，通過該結構的codOff(這是個偏移地址)可獲取方法指令，該偏移地址指向DexCode結構，該結構即存儲了方法指令，利用memcpy替換即可達到指令還原的效果，如下所示：
2、實踐操作
????java層基本和第二代殼一樣，只是多了一個調用hook的函數，so層關鍵代碼如下所示：(ps：不知道為啥Android inline hook穩定性很差，上一個測試app還得行，下一個就瘋狂報錯了，所以代碼是基本完成了，但是android inline hook報錯未解決，有時間我會修改)
3、遇到的問題
????報錯未定義函數，如下所示：
????解決方案：在CmakeLists.txt文件中將jni文件夾下面所有引用到的文件都包含進去，如下所示：
五、后記及其相關鏈接
????我個人習慣了通過寫加固來學習脫殼，可能時間比直接分析殼來得慢，但是這其中體驗真的酸爽到爆炸，因為個人原因，最后的類指令抽取殼最后一點沒弄完，算是一個小遺憾吧，20年應該沒時間來彌補這個遺憾了，希望21年我有時間來把這個遺憾補上吧！！！
????源碼github鏈接：https://github.com/windy-purple/androidshell
??參考鏈接：
????Android免Root權限通過Hook系統函數修改程序運行時內存指令邏輯
????Android逆向之旅—運行時修改內存中的Dalvik指令來改變代碼邏輯
????Android中免root的hook框架Legend原理解析
????https://github.com/asLody/legend
????https://github.com/ele7enxxh/Android-Inline-Hook
????Android APK加固-完善內存dex
????利用動態加載技術加固APK原理解析
????Android插件化框架之動態加載Activity（一）
????Android APK 加固之動態加載dex（一）
????Android中實現「類方法指令抽取方式」加固方案原理解析
????Android中apk加固完善篇之內存加載dex方案實現原理(不落地方式加載)
總結
以上是生活随笔為你收集整理的安卓加固方案从落地加载到类指令抽取编写报告的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 南京林业计算机技术883,2018年南京
- 下一篇： 变电站文档数字化管理