资讯频道 → 移动开发
阅读更多

0顶
0踩

移动开发

转载新闻 安卓动态调试七种武器之长生剑 - Smali Instrumentation

2016-05-26 14:21 by 副主编 mengyidan1988 评论(0) 有4700人浏览
android 测试
引用
本文来自：阿里聚安全博客

作者：蒸米@阿里聚安全


0x00 序

随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不同，并没有工具是万能的。另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中（共7篇）分享一些自己经常用或原创的调试工具以及手段，希望能对国内移动安全的研究起到一些催化剂的作用。

0x01 长生剑

长生剑是把神奇的剑，为白玉京所配，剑名取意来自于李白的诗：“仙人抚我 顶，结发受长生。”长生剑是七种武器系列的第一种武器，而笔者接下来所要介绍的调试方法也是我最早学习的调试方法，并且这种方法就像长生剑一样，简单并一直都有很好的效果。这种方法就是Smali Instrumentation，又称Smali 插桩。使用这种方法最大的好处就是不需要对手机进行root，不需要指定android的版本，如果结合一些tricks的话还会有意想不到的效果。

0x02 Smali/baksmali

做安卓逆向最先接触到的东西肯定就是smali语言了，smali最早是由Jasmin提出，随后jesusfreke开发了最有名的smali和baksmali工具将其发扬光大，几乎dex上所有的静态分析工具都是在这个项目的基础上建立的。什么？你没听说过smali和baksmali？你只用过Apktool？如果你仔细阅读了Apktool官网的说明你就会发现，Apktool其实只是一个将各种工具结合起来的懒人工具而已。并且笔者建议从现在起就抛弃Apktool吧。原因如下：首先，Apktool更新并没有smali/baksmali频繁，smali/baksmali更新后要过非长久的时间才会合并到Apktool中，在这之前你可能需要忍受很多诡异的bug。其次，Apktool在反编译或者重打包dex的时候，如果发生错误，仅仅只会提供错误的exception信息而已，但如果你使用smali/baksmali，工具会告诉你具体的出错原因，会对重打包后的调试有巨大的帮助。最后，很多apk为了对付反调试会在资源文件中加入很多junk code从而使得Apktool的解析崩溃掉，造成反编译失败或者无法重打包。但如果你仅对classes.dex操作就不会有这些问题了。
学习smali最好的方法就是自己先用java写好程序，再用baksmali转换成smali语句，然后对照学习。比如下面就是java代码和用baksmali反编译过后的smali文件的对照分析。
MZLog类主要是用Log.d()输出调试信息，Java代码如下：



对应的smali代码如下：



最后简单介绍一下smali常用的数据类型：



0x03 Smali插桩

如果仅仅用Smali来分析代码，效果其实不如用dex2jar和jd-gui更直观，毕竟看反编译的java代码要更容易一些。但Smali强大之处就是可以随心所欲的进行插桩操作。何为插桩，引用一下wiki的解释：程序插桩，最早是由J.C. Huang 教授提出的，它是在保证被测程序原有逻辑完整性的基础上在程序中插入一些探针（又称为“探测仪”），通过探针的执行并抛出程序运行的特征数据，通过对这些数据的分析，可以获得程序的控制流和数据流信息，进而得到逻辑覆盖等动态信息，从而实现测试目的的方法。下面我就来结合一个例子来讲解一下何如进行smali插桩。

测试程序是一个简单的crackme (图1)。输入密码，然后点击check，如果密码正确会输出yes，否则输出no。



图1 Crackme1的界面


首先我们对crackme这个apk进行解压，然后反编译。我们会在MainActivity中看到一个getkey(String,int)函数。这个函数貌似非常复杂，我们暂时不管。我们首先分析一下点下button后的逻辑。我们发现程序会通过getkey("mrkxqcroxqtskx",42)来计算出真正的密码，然后与我们输人的密码进行比较，java代码如下：



这时候就是smali插桩大显身手的时候了，我们可以通过插桩直接获取getkey("mrkxqcroxqtskx",42)这个函数的返回值，然后Log出来。这样我们就不需要研究getkey这个函数的实现了。具体过程如下：
1 首先解压apk然后用baksmali进行反编译。



2 将上一节MZLog类的MZLog.smali文件拷贝到com/mzheng目录下，这个文件有3个LOG函数，分别可以输出String的值，Object的值和Object数组的值。注意，如果原程序中没有com/mzheng这个目录，你需要自己用mkdir创建一下。拷贝完后，目录结构如下：



3 用文本编辑器打开MainActivity$1.smali文件进行插桩。为什么是MainActivity$1.smali而不是MainActivity.smali呢？因为主要的判断逻辑是在OnClickListener这个类里，而这个类是MainActivity的一个内部类，同时我们在实现的时候也没有给这个类声明具体的名字，所以这个类用$1表示。加入MZLog.smali这个文件后，我们只需要在MainActivity$1.smali的第71行后面加上一行代码，invoke-static {v1}, Lcom/mzheng/MZLog;->Log(Ljava/lang/Object;)V，就可以输出getkey的值了。Invoke是方法调用的指令，因为我们要调用的类是静态方法，所以使用invoke-static。如果是非静态方法的话，第一个参数应该是该方法的实例，然后依次是各个参数。具体插入情况如下：



4 用smali.jar重新编译修改后的smali文件，把新编译的classes.dex覆盖老的classes.dex，然后再用signapk.jar对apk进行签名。几条关键指令如下：



5 安装程序到android，随便输入点啥，然后点击check按钮，随后在logcat中就可以看到getkey("mrkxqcroxqtskx",42)这个函数的返回值了(图2)。



图2 通过logcat获取getkey的返回值

0x03 Smali修改

通过Smali/baksmali工具，我们不光可以插桩，还可以修改apk的逻辑。几个需要注意点如下：

1. if条件判断以及跳转语句
在smali中最常见的就是if这个条件判断跳转语句了，这个判断一共有12条指令：



比如我们在crackme1里判断密码是否正确的smali代码段：



如果我们不关心密码内容，只是希望程序输出”yes”的话。我们可以把if-eqz v1, :cond_25改成if-nez v1, :cond_25。这样逻辑就变为：当输错密码的时候，程序反而会输出”yes”。

2. 寄存器问题
修改Smali时有一件很重要的事情就是要注意寄存器。如果乱用寄存器的话可能会导致程序崩溃。每个方法开头声明了registers的数量，这个数量是参数和本地变量总和。参数统一用P表示。如果是非静态方法p0代表this，p1-pN代表各个参数。如果是静态方法的话，p0-pN代表各个参数。本地变量统一用v表示。如果想要增加的新的本地变量，需要在方法开头的registers数量上增加相应的数值。
比如下面这个方法：



因为这不是静态方法，所以p0代表this。如果想要增加一个新的本地变量，比如v0。就需要把.registers 1改为.registers 2。

3. 给原程序增加大量逻辑的办法
我非常不建议在程序原有的方法上增加大量逻辑，这样可能会出现很多寄存器方面的错误导致编译失败。比较好的方法是：把想要增加的逻辑先用java写成一个apk，然后把这个apk反编译成smali文件，随后把反编译后的这部分逻辑的smali文件插入到目标程序的smali文件夹中，然后再在原来的方法上采用invoke的方式调用新加入的逻辑。这样的话不管加入再多的逻辑，也只是修改了原程序的几行代码而已。这个思路也是很多重打包病毒惯用的伎俩，确实非常方便好用。

0x04 APK签名Tricks

当我们在实战中，有时会碰到某些apk在内部实现了自己的签名检查。这次我们介绍的Smali Instrumentation方法因为需要重打包，所以会改变原有的签名。当然，你可以通过修改apk把签名检查的逻辑删掉，但这又费时又费力。笔者在这里简单介绍两种非常方便的方法来解决签名检查问题。

1. Masterkey
Masterkey漏洞一共有三个，可以影响android 4.4以下版本。利用这个漏洞，我们可以插入新的classes.dex替换掉原有的classes.dex而不需要对apk本身进行重新签名。如果apk本身有签名校验逻辑的话，利用这个漏洞来进行Smali Instrumentation简直再好不过了。首先，你需要一个android 4.4以下版本的虚拟机或者真机，然后再使用一个masterkey利用工具对apk进行exploit即可。工具下载地址在文章最后，使用的命令如下：



orig.apk是原本的apk文件，moddedClassesDex.zip是修改后的classes.dex并压缩成zip文件，out.apk就是利用Masterkey漏洞生成的新的apk文件。如果成功的话用rar打开文件会看到两个classes.dex。



图3 Masterkey生成的apk文件有两个classes.dex文件
通过masterkey打包后的apk文件签名并不会有任何变化，这样也就不用担心签名校验问题了。

2. 自定义ROM
签名的判断其实是调用了android系统密码库的函数，如果我们可以自己定制ROM的话，只需要修改AOSP源码路径下的libcore\luni\src\main\java\java\security\MessageDigest.java文件。将isEqual函数中的判断语句注释掉：



这样的话，如果在你自定义的ROM上运行apk，无论你怎么修改classes.dex文件，都不需要关心签名问题了，系统会永远返回签名正确的。

0x05 小结

虽然现在越来越多的apk开始使用so文件进行逻辑处理和加固，android 4.4也加入art运行环境，但dalvik永远是android最经典的东西。如果想要学好android逆向，一定要把这部分知识学好。并且把smali研究透彻以后，会对我们以后要讲的自定义dalvik虚拟机有很大帮助。另外文章中所有提到的代码和工具都可以在我的github下载到，地址是： https://github.com/zhengmin1989/TheSevenWeapons

0x06 参考文章

Way of the AndroidCracker http://androidcracking.blogspot.hk/p/way-of-android-cracker-lessons.html
Android Master Key Exploit – Uncovering Android Master Key
https://bluebox.com/technical/uncovering-android-master-key-that-makes-99-of-devices-vulnerable/
https://github.com/Fuzion24/AndroidZipArbitrage
Min Zheng, Patrick P. C. Lee, John C. S. Lui. "ADAM: An Automatic and Extensible Platform to Stress Test Android Anti-Virus Systems", DIMVA 2012
  • 大小: 32 KB
  • 大小: 92.7 KB
  • 大小: 11.5 KB
  • 大小: 34 KB
  • 大小: 28.4 KB
  • 大小: 7.2 KB
  • 大小: 25.3 KB
  • 大小: 63.7 KB
  • 大小: 11.6 KB
  • 大小: 3.9 KB
  • 大小: 74.7 KB
  • 大小: 84.7 KB
  • 大小: 15.7 KB
  • 大小: 8.7 KB
  • 大小: 15.3 KB
  • 大小: 24 KB
0
顶
0
踩
评论 共 0 条 请登录后发表评论

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • android动态调试七种武器,安卓动态调试七种武器之长生剑 - Smali Instrumentation

    安卓动态调试七种武器之长生剑 - Smali Instrumentation0x00 序随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不同，并没有工具是万能的。另外工具是死的，人是活的，如果能搞懂工具的原理再...

  • 阿里聚安全 博客 ------安卓动态调试七种武器之长生剑

    http://www.cnblogs.com/alisecurity/p/5526811.html https://jaq.alibaba.com/community/category?spm=a313e.7916648.21000000.2.HJ9Tsr&catid=4 转载于:https://www.cnblogs.com/zengkefu/p/5535328.html

  • 1 长生剑 - Smali Instrumentation

    ”长生剑是七种武器系列的第一种武器，而笔者接下来所要介绍的调试方法也是我最早学习的调试方法，并且这种方法就像长生剑一样，简单并一直都有很好的效果。这种方法就是Smali Instrumentation，又称Smali 插桩。...

  • 安卓动态调试七种武器之离别钩 – Hooking（上）

    ...随着移动安全越来越火，各种调试工具也都层出不穷，但...另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些

  • 安卓动态调试七种武器之孔雀翎 – Ida Pro

    作者：蒸米 ...另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手

  • 安卓动态调试七种武器之离别钩 – Hooking（下）

    另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手段，希望能

  • 安卓动态调试七种武器之孔雀翎 – Ida Pro – 蒸米

    另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手段，希望能对国内移动安全的研究...

  • 无线电能传输中电动汽车充电的Matlab与Maxwell仿真：线圈结构与补偿拓扑优化

    内容概要：本文详细介绍了无线电能传输技术在电动汽车充电中的应用，特别是在Matlab和Maxwell中的仿真过程。首先讨论了SS补偿拓扑的Matlab仿真，展示了如何设置线圈参数、进行谐振匹配以及通过相量分析判断软开关状态。接着探讨了Maxwell中DD线圈的3D电磁场仿真，强调了自定义网格划分和涡流场计算的重要性。随后，文章深入研究了多线圈阵列仿真，揭示了不同线圈布局对耦合系数的影响，并提出了LCC补偿拓扑的应用。此外，文中还分享了许多实用技巧，如避免常见错误、优化仿真参数以及处理实际测试中的问题。 适合人群：从事无线电能传输研究的技术人员、研究生及以上学历的研究人员。 使用场景及目标：适用于需要深入了解无线电能传输技术及其仿真的研究人员和技术开发者，旨在帮助他们掌握Matlab和Maxwell的具体应用，提高仿真精度和效率。 其他说明：文章不仅提供了详细的代码示例和仿真步骤，还分享了作者的实际经验和教训，使读者能够更好地理解和应对仿真过程中遇到的问题。

  • 用户增删改查功能的前端页面，添加了vue渲染代码

    用户增删改查功能的前端页面，添加了vue渲染代码。

  • 计算机课程设计相关资源

    计算机课程设计相关资源

  • 基于51单片机protues仿真的猜数字游戏（仿真图、源代码、AD原理图、流程图）

    基于51单片机protues仿真的猜数字游戏（仿真图、源代码、AD原理图、流程图） 猜数字游戏 1、通过随机数实现该游戏； 2、按下K1键启动游戏并随机生成一个0~9的数字 3、通过矩阵按键输入你的数字，输入数字小于随机生成的数字则显示小于该数，大于的时候显示大于该数，直到相等为止。 4、仿真图、源代码、AD原理图、流程图；

  • 基于MATLAB的FOC滑膜观测器与锁相环(MATLAB 2021b)实现及硬件移植注意事项

    内容概要：本文详细介绍了利用MATLAB 2021b搭建的FOC滑膜观测器(SMO)与锁相环(PLL)的仿真模型及其在M4硬件平台上的实现方法。文中首先展示了SMO的核心代码，解释了如何通过滑模面计算和符号函数处理来估算反电动势，并讨论了PLL用于速度提取的具体实现。接着探讨了仿真环境中直接0速闭环启动的效果以及实际硬件实现时所需的开环启动策略。此外，文章还分享了多个调试过程中遇到的问题及解决方案，如相位跳变、高频振荡、电流环参数调整等。 适合人群：从事电机控制研究的技术人员，尤其是对无感FOC感兴趣的工程师。 使用场景及目标：适用于希望深入了解FOC滑膜观测器和锁相环的工作原理并尝试将其应用于实际项目的开发者。目标是掌握SMO+PLL组合的设计思路和技术细节，同时了解硬件移植时需要注意的实际问题。 其他说明：文中提供了大量实用的代码片段和调试经验，对于想要快速入门或优化现有系统的读者非常有帮助。特别强调了仿真与现实之间的差异，提醒读者注意参数选择和滤波器设计等方面的不同之处。

  • 汽车美容员工手册.doc

    汽车美容员工手册.doc

  • 基于PSO算法的配电网分布式光伏选址定容优化及其Matlab实现

    内容概要：本文详细介绍了利用粒子群优化（PSO）算法解决配电网中分布式光伏系统的选址与定容问题的方法。首先阐述了问题背景，即在复杂的配电网环境中选择合适的光伏安装位置和确定合理的装机容量，以降低网损、减小电压偏差并提高光伏消纳效率。接着展示了具体的PSO算法实现流程，包括粒子初始化、适应度函数构建、粒子位置更新规则以及越界处理机制等关键技术细节。文中还讨论了目标函数的设计思路，将多个相互制约的目标如网损、电压偏差和光伏消纳通过加权方式整合为单一评价标准。此外，作者分享了一些实践经验，例如采用前推回代法进行快速潮流计算，针对特定应用场景调整权重系数，以及引入随机波动模型模拟光伏出力特性。最终实验结果显示，经过优化后的方案能够显著提升系统的整体性能。 适用人群：从事电力系统规划与设计的专业人士，尤其是那些需要处理分布式能源集成问题的研究人员和技术人员。 使用场景及目标：适用于希望深入了解如何运用智能优化算法解决实际工程难题的人士；旨在帮助读者掌握PSO算法的具体应用方法，从而更好地应对配电网中分布式光伏系统的选址定容挑战。 其他说明：文中提供了完整的Matlab源代码片段，便于读者理解和复现研究结果；同时也提到了一些潜在改进方向，鼓励进一步探索和创新。

  • 晋升考核制度.pptx

    晋升考核制度.pptx

  • 计网-主机发送IP数据报的过程思维导图

    计网-主机发送IP数据报的过程思维导图

  • 三菱FX3U PLC与三台E740变频器基于Modbus RTU通讯的工业自动化控制系统实现

    内容概要：本文详细介绍了三菱FX3U PLC与三台三菱E740变频器通过Modbus RTU协议进行通讯的具体实现方法。主要内容涵盖硬件配置（如PLC、变频器、触摸屏）、通讯参数设置（如波特率、数据位、校验方式）、PLC程序编写（包括初始化、启停控制、频率设定等）、触摸屏编程（如画面设计、变量关联）等方面。文中还分享了一些实际应用中的注意事项和避坑指南，确保通讯系统的稳定性和可靠性。 适用人群：从事工业自动化领域的工程师和技术人员，尤其是熟悉三菱产品和Modbus RTU协议的专业人士。 使用场景及目标：适用于需要实现PLC与多台变频器通讯的工业自动化项目，旨在提高系统的集成度和可控性，减少人工干预，提升生产效率。 其他说明：文中提供的实例和代码片段有助于读者快速理解和掌握相关技术要点，同时强调了实际操作中的常见问题及其解决方案。

  • 自动驾驶路径跟踪：基于二/三自由度动力学模型的MPC算法及Carsim-Simulink联合仿真

    内容概要：本文深入探讨了利用二/三自由度动力学模型和MPC（模型预测控制）实现自动驾驶车辆的任意路径跟踪技术。首先介绍了二自由度动力学模型的基本概念及其状态方程，随后详细解释了MPC的工作原理，包括目标函数的设计和优化求解过程。接着讨论了Carsim和Simulink联合仿真的具体实施步骤和技术要点，如采样同步、约束条件处理等。文中还分享了许多实用的工程经验和调试技巧，例如预瞄距离的设置、权重矩阵的选择以及如何应对高速工况下的挑战。最终通过仿真结果展示，证明了该方法的有效性和优越性。 适合人群：从事自动驾驶研究与开发的专业人士，尤其是对路径跟踪算法感兴趣的工程师和技术爱好者。 使用场景及目标：适用于需要精确路径跟踪的自动驾驶应用场景，旨在提高车辆行驶的安全性和效率。通过掌握本文介绍的方法和技术，可以帮助开发者更好地理解和实现基于MPC的路径跟踪系统。 其他说明：文章不仅提供了理论知识，还包括了大量的实战经验和代码片段，有助于读者快速上手并应用于实际项目中。同时强调了在不同速度范围选择合适自由度模型的重要性，为后续的研究和发展指明了方向。

  • 基于博途1200PLC的智能灌溉系统设计与实现 - 自动化农业应用

    内容概要：本文详细介绍了基于西门子S7-1200 PLC的智能灌溉系统的设计与实现。系统主要包括PLC控制器、触摸屏、传感器和执行机构。文中详细讲解了如何使用博途V16软件编写PLC程序，包括梯形图编程和SCL语言的应用，以及如何设计触摸屏监控画面。此外，还涉及了IO表和电气原理图的准备，确保系统的正确安装和维护。文章特别强调了自动灌溉的核心逻辑，如状态机结构和异常处理机制，以及触摸屏设计的小技巧，如动态图标和趋势图的使用。最后，提供了调试过程中的一些注意事项和优化建议。 适合人群：从事农业自动化领域的工程师和技术人员，尤其是熟悉PLC编程和触摸屏设计的专业人士。 使用场景及目标：适用于需要提高灌溉效率和精度的现代农业生产环境。目标是通过智能化控制减少水资源浪费，提升作物产量。同时，也为系统开发者提供了详细的实施指南和调试技巧。 其他说明：文章附带了完整的PLC程序、HMI界面和电气图纸，方便读者进行实际操作和验证。

  • MINIQMT学习课程Day5

    国金qmt模拟客户端。 模拟账号密码，私聊。

Global site tag (gtag.js) - Google Analytics