安卓动态调试七种武器之长生剑 - Smali Instrumentation - 移动开发

资讯频道 → 移动开发

0顶
0踩

安卓动态调试七种武器之长生剑 - Smali Instrumentation

2016-05-26 14:21 by 副主编 mengyidan1988 评论(0) 有4705人浏览

android 测试

引用

本文来自：阿里聚安全博客

作者：蒸米@阿里聚安全

0x00 序

随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不同，并没有工具是万能的。另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中（共7篇）分享一些自己经常用或原创的调试工具以及手段，希望能对国内移动安全的研究起到一些催化剂的作用。

0x01 长生剑

长生剑是把神奇的剑，为白玉京所配，剑名取意来自于李白的诗：“仙人抚我顶，结发受长生。”长生剑是七种武器系列的第一种武器，而笔者接下来所要介绍的调试方法也是我最早学习的调试方法，并且这种方法就像长生剑一样，简单并一直都有很好的效果。这种方法就是Smali Instrumentation，又称Smali 插桩。使用这种方法最大的好处就是不需要对手机进行root，不需要指定android的版本，如果结合一些tricks的话还会有意想不到的效果。

0x02 Smali/baksmali

做安卓逆向最先接触到的东西肯定就是smali语言了，smali最早是由Jasmin提出，随后jesusfreke开发了最有名的smali和baksmali工具将其发扬光大，几乎dex上所有的静态分析工具都是在这个项目的基础上建立的。什么？你没听说过smali和baksmali？你只用过Apktool？如果你仔细阅读了Apktool官网的说明你就会发现，Apktool其实只是一个将各种工具结合起来的懒人工具而已。并且笔者建议从现在起就抛弃Apktool吧。原因如下：首先，Apktool更新并没有smali/baksmali频繁，smali/baksmali更新后要过非长久的时间才会合并到Apktool中，在这之前你可能需要忍受很多诡异的bug。其次，Apktool在反编译或者重打包dex的时候，如果发生错误，仅仅只会提供错误的exception信息而已，但如果你使用smali/baksmali，工具会告诉你具体的出错原因，会对重打包后的调试有巨大的帮助。最后，很多apk为了对付反调试会在资源文件中加入很多junk code从而使得Apktool的解析崩溃掉，造成反编译失败或者无法重打包。但如果你仅对classes.dex操作就不会有这些问题了。
学习smali最好的方法就是自己先用java写好程序，再用baksmali转换成smali语句，然后对照学习。比如下面就是java代码和用baksmali反编译过后的smali文件的对照分析。
MZLog类主要是用Log.d()输出调试信息，Java代码如下：

对应的smali代码如下：

最后简单介绍一下smali常用的数据类型：

0x03 Smali插桩

如果仅仅用Smali来分析代码，效果其实不如用dex2jar和jd-gui更直观，毕竟看反编译的java代码要更容易一些。但Smali强大之处就是可以随心所欲的进行插桩操作。何为插桩，引用一下wiki的解释：程序插桩，最早是由J.C. Huang 教授提出的，它是在保证被测程序原有逻辑完整性的基础上在程序中插入一些探针（又称为“探测仪”），通过探针的执行并抛出程序运行的特征数据，通过对这些数据的分析，可以获得程序的控制流和数据流信息，进而得到逻辑覆盖等动态信息，从而实现测试目的的方法。下面我就来结合一个例子来讲解一下何如进行smali插桩。

测试程序是一个简单的crackme (图1)。输入密码，然后点击check，如果密码正确会输出yes，否则输出no。

图1 Crackme1的界面

首先我们对crackme这个apk进行解压，然后反编译。我们会在MainActivity中看到一个getkey(String,int)函数。这个函数貌似非常复杂，我们暂时不管。我们首先分析一下点下button后的逻辑。我们发现程序会通过getkey("mrkxqcroxqtskx",42)来计算出真正的密码，然后与我们输人的密码进行比较，java代码如下：

这时候就是smali插桩大显身手的时候了，我们可以通过插桩直接获取getkey("mrkxqcroxqtskx",42)这个函数的返回值，然后Log出来。这样我们就不需要研究getkey这个函数的实现了。具体过程如下：
1 首先解压apk然后用baksmali进行反编译。

2 将上一节MZLog类的MZLog.smali文件拷贝到com/mzheng目录下，这个文件有3个LOG函数，分别可以输出String的值，Object的值和Object数组的值。注意，如果原程序中没有com/mzheng这个目录，你需要自己用mkdir创建一下。拷贝完后，目录结构如下：

3 用文本编辑器打开MainActivity$1.smali文件进行插桩。为什么是MainActivity$1.smali而不是MainActivity.smali呢？因为主要的判断逻辑是在OnClickListener这个类里，而这个类是MainActivity的一个内部类，同时我们在实现的时候也没有给这个类声明具体的名字，所以这个类用$1表示。加入MZLog.smali这个文件后，我们只需要在MainActivity$1.smali的第71行后面加上一行代码，invoke-static {v1}, Lcom/mzheng/MZLog;->Log(Ljava/lang/Object;)V，就可以输出getkey的值了。Invoke是方法调用的指令，因为我们要调用的类是静态方法，所以使用invoke-static。如果是非静态方法的话，第一个参数应该是该方法的实例，然后依次是各个参数。具体插入情况如下：

4 用smali.jar重新编译修改后的smali文件，把新编译的classes.dex覆盖老的classes.dex，然后再用signapk.jar对apk进行签名。几条关键指令如下：

5 安装程序到android，随便输入点啥，然后点击check按钮，随后在logcat中就可以看到getkey("mrkxqcroxqtskx",42)这个函数的返回值了(图2)。

图2 通过logcat获取getkey的返回值

0x03 Smali修改

通过Smali/baksmali工具，我们不光可以插桩，还可以修改apk的逻辑。几个需要注意点如下：

1. if条件判断以及跳转语句
在smali中最常见的就是if这个条件判断跳转语句了，这个判断一共有12条指令：

比如我们在crackme1里判断密码是否正确的smali代码段：

如果我们不关心密码内容，只是希望程序输出”yes”的话。我们可以把if-eqz v1, :cond_25改成if-nez v1, :cond_25。这样逻辑就变为：当输错密码的时候，程序反而会输出”yes”。

2. 寄存器问题
修改Smali时有一件很重要的事情就是要注意寄存器。如果乱用寄存器的话可能会导致程序崩溃。每个方法开头声明了registers的数量，这个数量是参数和本地变量总和。参数统一用P表示。如果是非静态方法p0代表this，p1-pN代表各个参数。如果是静态方法的话，p0-pN代表各个参数。本地变量统一用v表示。如果想要增加的新的本地变量，需要在方法开头的registers数量上增加相应的数值。
比如下面这个方法：

因为这不是静态方法，所以p0代表this。如果想要增加一个新的本地变量，比如v0。就需要把.registers 1改为.registers 2。

3. 给原程序增加大量逻辑的办法
我非常不建议在程序原有的方法上增加大量逻辑，这样可能会出现很多寄存器方面的错误导致编译失败。比较好的方法是：把想要增加的逻辑先用java写成一个apk，然后把这个apk反编译成smali文件，随后把反编译后的这部分逻辑的smali文件插入到目标程序的smali文件夹中，然后再在原来的方法上采用invoke的方式调用新加入的逻辑。这样的话不管加入再多的逻辑，也只是修改了原程序的几行代码而已。这个思路也是很多重打包病毒惯用的伎俩，确实非常方便好用。

0x04 APK签名Tricks

当我们在实战中，有时会碰到某些apk在内部实现了自己的签名检查。这次我们介绍的Smali Instrumentation方法因为需要重打包，所以会改变原有的签名。当然，你可以通过修改apk把签名检查的逻辑删掉，但这又费时又费力。笔者在这里简单介绍两种非常方便的方法来解决签名检查问题。

1. Masterkey
Masterkey漏洞一共有三个，可以影响android 4.4以下版本。利用这个漏洞，我们可以插入新的classes.dex替换掉原有的classes.dex而不需要对apk本身进行重新签名。如果apk本身有签名校验逻辑的话，利用这个漏洞来进行Smali Instrumentation简直再好不过了。首先，你需要一个android 4.4以下版本的虚拟机或者真机，然后再使用一个masterkey利用工具对apk进行exploit即可。工具下载地址在文章最后，使用的命令如下：

orig.apk是原本的apk文件，moddedClassesDex.zip是修改后的classes.dex并压缩成zip文件，out.apk就是利用Masterkey漏洞生成的新的apk文件。如果成功的话用rar打开文件会看到两个classes.dex。

图3 Masterkey生成的apk文件有两个classes.dex文件
通过masterkey打包后的apk文件签名并不会有任何变化，这样也就不用担心签名校验问题了。

2. 自定义ROM
签名的判断其实是调用了android系统密码库的函数，如果我们可以自己定制ROM的话，只需要修改AOSP源码路径下的libcore\luni\src\main\java\java\security\MessageDigest.java文件。将isEqual函数中的判断语句注释掉：

这样的话，如果在你自定义的ROM上运行apk，无论你怎么修改classes.dex文件，都不需要关心签名问题了，系统会永远返回签名正确的。

0x05 小结

虽然现在越来越多的apk开始使用so文件进行逻辑处理和加固，android 4.4也加入art运行环境，但dalvik永远是android最经典的东西。如果想要学好android逆向，一定要把这部分知识学好。并且把smali研究透彻以后，会对我们以后要讲的自定义dalvik虚拟机有很大帮助。另外文章中所有提到的代码和工具都可以在我的github下载到，地址是： https://github.com/zhengmin1989/TheSevenWeapons

0x06 参考文章

Way of the AndroidCracker http://androidcracking.blogspot.hk/p/way-of-android-cracker-lessons.html
Android Master Key Exploit – Uncovering Android Master Key
https://bluebox.com/technical/uncovering-android-master-key-that-makes-99-of-devices-vulnerable/
https://github.com/Fuzion24/AndroidZipArbitrage
Min Zheng, Patrick P. C. Lee, John C. S. Lui. "ADAM: An Automatic and Extensible Platform to Stress Test Android Anti-Virus Systems", DIMVA 2012

查看图片附件

分享到：

0
顶

0
踩

评论共 0 条请登录后发表评论

发表评论

您还没有登录,请您登录后再发表评论

安卓动态调试七种武器之长生剑 - Smali Instrumentation0x00 序随着移动安全越来越火，各种调试工具也都层出不穷，但因为环境和需求的不同，并没有工具是万能的。另外工具是死的，人是活的，如果能搞懂工具的原理再...

阿里聚安全博客 ------安卓动态调试七种武器之长生剑

http://www.cnblogs.com/alisecurity/p/5526811.html https://jaq.alibaba.com/community/category?spm=a313e.7916648.21000000.2.HJ9Tsr&catid=4 转载于:https://www.cnblogs.com/zengkefu/p/5535328.html

1 长生剑 - Smali Instrumentation

”长生剑是七种武器系列的第一种武器，而笔者接下来所要介绍的调试方法也是我最早学习的调试方法，并且这种方法就像长生剑一样，简单并一直都有很好的效果。这种方法就是Smali Instrumentation，又称Smali 插桩。...

安卓动态调试七种武器之离别钩 – Hooking（上）

...随着移动安全越来越火，各种调试工具也都层出不穷，但...另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些

安卓动态调试七种武器之孔雀翎 – Ida Pro

作者：蒸米 ...另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手

安卓动态调试七种武器之离别钩 – Hooking（下）

另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手段，希望能

安卓动态调试七种武器之孔雀翎 – Ida Pro – 蒸米

另外工具是死的，人是活的，如果能搞懂工具的原理再结合上自身的经验，你也可以创造出属于自己的调试武器。因此，笔者将会在这一系列文章中分享一些自己经常用或原创的调试工具以及手段，希望能对国内移动安全的研究...

软件工程第三章实验报告.docx

第三章-第八节通信礼仪.ppt

智能家居股份合作协议.docx

西门子S7-1200 PLC双轴定位控制在电池焊接中的应用与优化

内容概要：本文详细介绍了基于西门子S7-1200 PLC的双轴定位控制系统在电池焊接项目中的应用。主要内容涵盖双轴定位算法的设计与实现，包括使用SCL语言编写的运动控制函数块，以及梯形图用于处理IO互锁和焊接时序控制。文中还讨论了威纶通触摸屏的界面设计，如动态元素映射、宏指令的应用，以及电气图纸的安全回路设计。此外，文章分享了多个调试技巧和注意事项，如加速度参数设置、伺服驱动器订货号核对、BOM清单管理等。适合人群：从事工业自动化领域的工程师和技术人员，尤其是熟悉PLC编程和触摸屏界面设计的专业人士。使用场景及目标：适用于需要深入了解PLC编程、运动控制算法、触摸屏界面设计及电气图纸绘制的工程项目。目标是提高双轴定位控制系统的精度和稳定性，确保电池焊接的质量和安全性。其他说明：文中提供了完整的工程文件包下载链接，并强调了在实际应用中需要注意的具体事项，如硬件配置检查、参数调整等。

Simulink与Carsim联合仿真：基于PID与MPC的自适应巡航控制系统设计与实现

内容概要：本文详细介绍了如何利用Simulink和Carsim进行联合仿真，实现基于PID（比例-积分-微分）和MPC（模型预测控制）的自适应巡航控制系统。首先阐述了Carsim参数设置的关键步骤，特别是cpar文件的配置，包括车辆基本参数、悬架系统参数和转向系统参数的设定。接着展示了Matlab S函数的编写方法，分别针对PID控制和MPC控制提供了详细的代码示例。随后讨论了Simulink中车辆动力学模型的搭建，强调了模块间的正确连接和参数设置的重要性。最后探讨了远程指导的方式，帮助解决仿真过程中可能出现的问题。适合人群：从事汽车自动驾驶领域的研究人员和技术人员，尤其是对Simulink和Carsim有一定了解并希望深入学习联合仿真的从业者。使用场景及目标：适用于需要验证和优化自适应巡航控制、定速巡航及紧急避撞等功能的研究和开发项目。目标是提高车辆行驶的安全性和舒适性，确保控制算法的有效性和可靠性。其他说明：文中不仅提供了理论知识，还有大量实用的代码示例和避坑指南，有助于读者快速上手并应用于实际工作中。此外，还提到了远程调试技巧，进一步提升了仿真的成功率。

基于MATLAB/Simulink的变压器励磁涌流仿真模型构建与应用

内容概要：本文深入探讨了利用MATLAB/Simulink搭建变压器励磁涌流仿真模型的方法和技术。首先介绍了空载合闸励磁涌流仿真模型的搭建步骤，包括选择和配置电源模块、变压器模块以及设置相关参数。文中详细讲解了如何通过代码生成交流电压信号和设置变压器的变比，同时强调了铁芯饱和特性和合闸角控制的重要性。此外，还讨论了电源简化模型的应用及其优势，如使用受控电压源替代复杂电源模块。为了更好地理解和分析仿真结果，文章提供了绘制励磁涌流曲线的具体方法，并展示了如何提取和分析涌流特征量，如谐波含量和谐波畸变率。最后，文章指出通过调整电源和变压器参数，可以实现针对不同应用场景的定制化仿真，从而为实际工程应用提供理论支持和技术指导。适合人群：从事电力系统研究、变压器设计及相关领域的科研人员、工程师和技术爱好者。使用场景及目标：适用于希望深入了解变压器励磁涌流特性的研究人员，旨在帮助他们掌握MATLAB/Simulink仿真工具的使用技巧，提高对励磁涌流现象的理解和预测能力，进而优化继电保护系统的设计。其他说明：文中不仅提供了详细的建模步骤和代码示例，还分享了一些实用的经验和技巧，如考虑磁滞效应对涌流的影响、避免理想断路器带来的误差等。这些内容有助于读者在实践中获得更加准确可靠的仿真结果。

三菱FX3U PLC与Factory IO通讯仿真PID液位调节程序：低成本高效学习PID控制

内容概要：本文详细介绍了利用三菱FX3U PLC与Factory IO通讯仿真进行PID液位调节的方法，旨在降低学习PID控制的成本和难度。文中首先指出了传统硬件学习PID控制面临的高昂成本和复杂接线问题，随后介绍了仿真程序的优势，包括PID配置参数、调节参数、自整定和手动整定的学习方法。接着阐述了所需的设备和软件环境，以及具体的代码示例和寄存器配置。最后，通过实例展示了如何通过仿真环境进行PID参数调整和测试，验证了该方案的有效性和实用性。适合人群：初学者和有一定PLC基础的技术人员，特别是那些希望通过低成本方式学习PID控制的人群。使用场景及目标：适用于希望在不购买昂贵硬件的情况下，快速掌握PID控制原理和技术的应用场景。目标是通过仿真环境，熟悉PID参数配置和调整，最终能够应用于实际工业控制系统中。其他说明：本文不仅提供了理论指导，还给出了详细的实践步骤和代码示例，使读者能够在实践中更好地理解和掌握PID控制技术。同时，强调了仿真环境与实际项目的相似性，便于知识迁移。

智慧城市树木二维码智能管理系统概述.docx

.NET框架下基于Oracle数据库的大型MES生产制造管理系统源码解析与应用

内容概要：本文详细介绍了基于.NET框架和Oracle数据库构建的大型MES（制造执行系统）生产制造管理系统的源码结构及其技术特点。该系统采用了BS架构，适用于Web端和WPF客户端，涵盖了从数据库设计、业务逻辑处理到前端展示等多个方面。文中不仅提供了具体的代码示例，还深入剖析了系统的技术难点，如Oracle数据库的高效连接方式、多线程处理、实时数据推送以及高级特性（如分区表、压缩技术和批量操作）的应用。此外，作者还分享了一些关于系统部署和维护的经验。适合人群：主要面向拥有五年以上.NET开发经验的专业人士，特别是那些对Oracle数据库有一定了解并且参与过大中型项目开发的技术人员。使用场景及目标：①帮助开发者深入了解MES系统的工作原理和技术实现；②为现有的MES系统提供优化思路；③作为学习资料，用于掌握.NET框架与Oracle数据库的最佳实践。其他说明：尽管缺少完整的安装说明和数据库备份文件，但凭借丰富的代码片段和技术细节，这套源码仍然是一个宝贵的学习资源。同时，文中提到的一些技术点也可以应用于其他类型的工业控制系统或企业管理信息系统。

lesson6_点阵.zip

jicmp（OpenNMS所需重要组件）

‌OpenNMS 依赖组件 jicmp 的完整解析与安装指南‌ ‌一、jicmp 的核心作用‌ ‌ICMP 协议支持‌ jicmp（Java Interface for ICMP）是 OpenNMS 实现网络设备可达性检测（如 Ping）的关键组件，通过原生代码高效处理 ICMP 报文，替代纯 Java 实现的性能瓶颈17。 ‌依赖版本要求‌：OpenNMS 33.1.5 需 jicmp >= 3.0.0，以支持 IPv6 及多线程优化7。 ‌与 jicmp6 的协同‌ jicmp6 是 jicmp 的扩展组件，专用于 IPv6 网络环境检测，二者共同构成 OpenNMS 网络监控的底层通信基础78。 ‌二、jicmp 安装问题的根源‌ ‌仓库版本不匹配‌ OpenNMS 官方旧版仓库（如 opennms-repo-stable-rhel6）仅提供 jicmp-2.0.5 及更早版本，无法满足新版 OpenNMS 的依赖需求78。 ‌典型错误‌：Available: jicmp-2.0.5-1.el6.i386，但 Requires: jicmp >= 3.0.07。 ‌手动编译未注册到包管理器‌ 手动编译的 jicmp 未生成 RPM 包，导致 yum 无法识别已安装的依赖，仍尝试从仓库拉取旧版本57。 ‌三、解决方案：正确安装 jicmp 3.0‌ ‌通过源码编译生成 RPM 包‌ bash Copy Code # 安装编译工具链 yum install -y rpm-build checkinstall gcc-c++ autoconf automake libtool # 编译并生成 jicmp-3.0.0 RPM wget https://sourceforge.net/projects/opennms/files/JICMP/stable-3.x/j

机械CAD零件图.ppt

制冷站智能群控管理系统的技术实现与优化

内容概要：本文详细介绍了制冷站智能群控管理系统的构成及其核心技术实现。首先阐述了系统的四大组成部分：环境感知模块、数据处理模块、决策控制模块以及设备控制模块。接着通过具体的Python代码示例展示了如何利用MQTT协议进行设备间的通信，实现了温度控制等功能。此外，文中还探讨了数据处理中的噪声过滤方法、设备控制中的状态锁定机制、以及采用强化学习进行能效优化的具体案例。最后展望了未来的发展方向，如引入能量管理和AI集成等。适合人群：从事制冷站自动化控制领域的工程师和技术人员，尤其是对智能群控管理系统感兴趣的从业者。使用场景及目标：适用于希望提升制冷站自动化水平的企业和个人。目标在于提高系统的稳定性和效率，减少人为干预，实现节能减排。其他说明：文章不仅提供了理论性的介绍，还有大量的实战经验和代码片段分享，有助于读者更好地理解和应用相关技术。

0顶0踩

安卓动态调试七种武器之长生剑 - Smali Instrumentation

发表评论

相关推荐

0顶
0踩