tgboler 发表于 2019-9-5 05:34:00

Android逆向从入门到入土(smali修改,so修改)

闲来无事,学习了下安卓的逆向工程,有助于观摩学习他人的优秀代码,查询了解后发现大体包括两部分:

[*]dex反编译,即smali语法学习;
[*]Native层,arm汇编学习。
反编译dex,Smali语法工具java环境不多说
[*]apktool.jar;
[*]jd-gui.jar;
[*]dex2jar.zip;
这里就不提供了,毕竟自己动手,丰衣足食,建议百度下载最新的版本,旧版本可能会有bug。查看java源码假设现在有一个test.apk,如果我们想要查看一个apk里的java源码,就可以通过解压apk文件得到dex文件,然后使用dex2jar.zip工具包中的d2j-dex2jar.bat将dex转为jar文件:https://segmentfault.com/img/bV1jIO?w=1139&h=641将classes.dex拖动到d2j-dex2jar.bat上,得到classes-dex2jar.jar,使用jd-gui.jar打开就可以查看源码了:https://segmentfault.com/img/bV1jJh?w=824&h=522反编译但是jar文件只能辅助我们查看java代码,无法修改。想要修改的话,还是要反编译出smali文件,然后对smali文件进行修改操作,使用下边的命令反编译apk:apktool.jar d test.apk然后会在当前目录生成test目录,目录内容大体如下:https://segmentfault.com/img/bV1aZh?w=734&h=372assets资源目录,包含了图片和字体等资源;build和dist为重新编译生成的,新apk在dist目录;lib为so文件目录;original保存了原签名和反编译前的清单文件;res主要为layout,strings等xml文件;unknown不用管;下边是AndroidManifest.xml,清单文件,已经可以打开查看了;然后最重要的来了smali和smali_classes2,apk中的每个dex文件会反编译出一个smali文件夹,classes.dex对应smali,classes2.dex对应smali_classes2,以此类推。修改smali知道了这些后,就可以查看修改我们想要的内容了。AndroidManifest.xml不多说,做过安卓开发都可以改,重点是smali的阅读修改。首先打开smali文件夹内容如下:https://segmentfault.com/img/bV1bce?w=572&h=202由于现在apk编译时普遍会进行混肴,以防他人修改二次发布,所以目录结构有些乱,但并无大碍。随手打开一个smali文件(sublime,已安装smali插件):https://segmentfault.com/img/bV1beB?w=1475&h=914嗯,看不懂,没事现在学还来得及,你需要了解下smali语法,传送门:APK反编译之一:基础知识--smali文件阅读。smali修改简单示例:https://segmentfault.com/img/bV1jS5?w=964&h=178https://segmentfault.com/img/bV1jPN?w=955&h=916上图为原java代码,下图是反编译出的smali代码,此方法用来判断外置储存是否可读。现在无论外置存储是否可读,我们都想让此方法返回true,则可以在smali代码中的return v1前加上一行const/4 v1, 0x1,如下图:https://segmentfault.com/img/bV1jUM?w=950&h=447是不是非常简单?当然,这只是最简单的修改,一切都建立在深入地学习和了解过smali语法的基础上。Native层,arm汇编安卓native层,通俗来说就是对lib目录下的so文件学习和了解,so文件是Android NDK动态链接库,是二进制文件,作用相当于windows下的.dll文件。想要深入了解相关知识,可以百度关键字:‘安卓 native’,‘安卓 JNI’,‘安卓 ELF’,‘安卓 NDK’。不同的cpu构架so通常是针对不同的cpu构建编译而成的,如下图:https://segmentfault.com/img/bV1kez?w=615&h=305arm64-v8a:arm最新的64cpu构架,如骁龙810,820,835等都是基于此构架的,同时兼容A32,T32指令集;armeabi-v7a:32位cpu构架,如骁龙800,801等,兼容armv5,armv6;armeabi:armv5,armv6构架,基本已经淘汰了;x86:intel的32位cpu构架,即windows平台的32位cpu构架;x86_64:其实是amd出的兼容64位的32位cpu构架;arm构架都是向下兼容的,例如如果CPU是armv8,没有对应arm64-v8a文件夹,则会执行armeabi-v7a中的so文件。话不多说,开始研究修改so文件吧,首先使用010 editor或ida打开armeabi下的so(elf)文件(这里使用ida),弹出界面直接点击ok,进入如下页面:https://segmentfault.com/img/bV1kq1?w=1884&h=1042要了解elf文件的详细信息可以查看:ARM平台下elf文件超详细的分析与解读,elf文件的解析这里不做更多说明。如果你跟我一样,别的什么也不想看,就想知道怎么修改so,那么下面我们就来看看怎么修改arm汇编的机器码,来达到修改so文件的目的。修改前的准备工作
[*]了解二进制文件的大小端模式,传送门:详解大端模式和小端模式;
[*]了解寄存器相关知识,了解arm32位和64位寄存器的区别,特别是lr,sp,pc等关键寄存器的作用;
[*]arm指令集学习,包括32位指令(A32,T32)和64位指令(A64),这里不上链接了,因为太多了,具体建议百度自查;
[*]下载arm官网cpu构架手册,修改时需要对应查看,链接:A-Profile Architecture,我们主要查看a系列的构架手册,主要下载的文件:
Arm® Architecture Reference Manual Armv8, for Armv8-A architecture profile
Arm® Architecture Reference Manual Armv7-A and Armv7-R edition
The A64 instruction set第一本是关于A64指令集的手册,其实也包含了A32和T32指令集,第二本是armv7构架,包含了ARM指令和Thumb指令,第三本介绍了A64指令。
[*]熟练进行进制转换,可以使用win10自带的计算器的程序员模式。
修改so文件- 32位以下内容建立在以上知识的基础上,开始修改,接着我们打开的so页面(armeabi-v7a),滚动到汇编代码区域,如下图:https://segmentfault.com/img/bV1kKs?w=1012&h=670例如想要修改Ox00005EE8处的关键跳转BEQ loc_5EFA为BNE loc_5EFA,通过汇编代码知道,此处用R0寄存器中的值和2比较大小,如果R0中的值等于2,跳转到下边的loc_5EFA处:https://segmentfault.com/img/bV1kPI?w=836&h=611双击此行,然后点击Hex View-1标签可以看到对应的机器码:https://segmentfault.com/img/bV1k1m?w=581&h=252由于elf的存储模式是小端模式(Little-endian),故实际的机器码是D0 07,转换为二进制:‭1101 0000 0000 0111‬,可以看出是16位的Thumb指令,打开armv7构架手册(armv8也可以),找到指令集部分:https://segmentfault.com/img/bV1k3q?w=1518&h=930如上图,此机器码对应红框中的编码方式,要修改BEQ为BNE,则需要修改8-11位的条件位,立即数保持不变:https://segmentfault.com/img/bV1k4M?w=1513&h=698上图可以查出EQ的机器码为0000,NE机器码则是0001,因此修改后的机器码为‭1101 0001 0000 0111,再转换回16进制为‭D1 07‬,小端存储07 D1,按如下步骤,右键点击修改:https://segmentfault.com/img/bV1k7I?w=749&h=372修改完后右键点击应用修改:https://segmentfault.com/img/bV1k9u?w=627&h=344然后返回IDA View-A视图,可以看到BEQ loc_5EFA已经改为了BNE loc_5EFA:https://segmentfault.com/img/bV1k9y?w=729&h=457- 64位下边尝试下修改64位构架下的so文件,64位的so必须用64位的ida打开:https://segmentfault.com/img/bV1n4Q?w=847&h=464如上图,我们修改红框中的代码,改为:CMP      W1, #1
B.LT   loc_1B5CCMP W0, #0的机器码为‭0111 0001 0000 0000 0000 0000 0001 1111‬,查看armv8a手册:https://segmentfault.com/img/bV1n7N?w=921&h=507寄存器w0改成w1,只需将5-9位改为00001。立即数#0改为#1,需要将10-21位改为00 0000 0000 01,改完后机器码变为‭0111 0001 0000 0000 0000 0100 0011 1111‬,转换为16进制后:‭71 00 04 3F,小端模式3F 04 00 71‬;B.GT loc_1B10的机器码‭0101 0100 1111 1111 1111 1110 0000 1100‬,编码方式如下:https://segmentfault.com/img/bV1ob8?w=870&h=566https://segmentfault.com/img/bV1oce?w=693&h=879B.GT改为B.LT,即修改0-3位为1011。原立即数1111 1111 1111 1110 000,补码转为原码为1001 0000,即-16。偏移量计算方法为:offset = SignExtend(imm19:'00', 64),也就是19位的立即数后边拼接00(左移2位),变为1111 1111 1111 1110 000 00,然后有符号扩展为64位(对于负数,前边补1,补足64位),变为‭1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1100 0000‬,此为补码,转为原码1100 0000,即-64。正如红框中的所述,是立即数的4倍。此处要改为loc_1B5C,即偏移量为+12,则立即数为+12/4 = +3,5-23位的立即数变为0000 0000 0000 0000 011。最终机器码为‭0101 0100 0000 0000 0000 0000 0110 1011,转换16进制‭54 00 00 6B‬,小端模式6B 00 00 54。然后,修改应用后查看结果:https://segmentfault.com/img/bV1pcw?w=648&h=272https://segmentfault.com/img/bV1pcH?w=668&h=281


页: [1]
查看完整版本: Android逆向从入门到入土(smali修改,so修改)