发新帖

Android逆向从入门到入土(smali修改,so修改)

[复制链接]
459 0
闲来无事,学习了下安卓的逆向工程,有助于观摩学习他人的优秀代码,查询了解后发现大体包括两部分:

  • dex反编译,即smali语法学习
  • Native层,arm汇编学习

反编译dex,Smali语法工具
java环境不多说
  • apktool.jar
  • jd-gui.jar
  • dex2jar.zip

这里就不提供了,毕竟自己动手,丰衣足食,建议百度下载最新的版本,旧版本可能会有bug。
查看java源码
假设现在有一个test.apk,如果我们想要查看一个apk里的java源码,就可以通过解压apk文件得到dex文件,然后使用dex2jar.zip工具包中的d2j-dex2jar.bat将dex转为jar文件
classes.dex拖动到d2j-dex2jar.bat上,得到classes-dex2jar.jar,使用jd-gui.jar打开就可以查看源码了:
反编译
但是jar文件只能辅助我们查看java代码,无法修改。想要修改的话,还是要反编译出smali文件,然后对smali文件进行修改操作,使用下边的命令反编译apk:
apktool.jar d test.apk
然后会在当前目录生成test目录,目录内容大体如下:
assets资源目录,包含了图片和字体等资源;build和dist为重新编译生成的,新apk在dist目录;lib为so文件目录;original保存了原签名和反编译前的清单文件;res主要为layout,strings等xml文件;unknown不用管;下边是AndroidManifest.xml,清单文件,已经可以打开查看了;然后最重要的来了smali和smali_classes2,apk中的每个dex文件会反编译出一个smali文件夹,classes.dex对应smali,classes2.dex对应smali_classes2,以此类推。
修改smali
知道了这些后,就可以查看修改我们想要的内容了。AndroidManifest.xml不多说,做过安卓开发都可以改,重点是smali的阅读修改。首先打开smali文件夹内容如下:
由于现在apk编译时普遍会进行混肴,以防他人修改二次发布,所以目录结构有些乱,但并无大碍。随手打开一个smali文件(sublime,已安装smali插件):
嗯,看不懂,没事现在学还来得及,你需要了解下smali语法,传送门:APK反编译之一:基础知识--smali文件阅读
smali修改简单示例:
上图为原java代码,下图是反编译出的smali代码,此方法用来判断外置储存是否可读。现在无论外置存储是否可读,我们都想让此方法返回true,则可以在smali代码中的return v1前加上一行const/4 v1, 0x1,如下图:
是不是非常简单?当然,这只是最简单的修改,一切都建立在深入地学习和了解过smali语法的基础上。
Native层,arm汇编
安卓native层,通俗来说就是对lib目录下的so文件学习和了解,so文件是Android NDK动态链接库,是二进制文件,作用相当于windows下的.dll文件。想要深入了解相关知识,可以百度关键字:‘安卓 native’,‘安卓 JNI’,‘安卓 ELF’,‘安卓 NDK’。
不同的cpu构架
so通常是针对不同的cpu构建编译而成的,如下图:
arm64-v8a:arm最新的64cpu构架,如骁龙810,820,835等都是基于此构架的,同时兼容A32,T32指令集;armeabi-v7a:32位cpu构架,如骁龙800,801等,兼容armv5,armv6;armeabi:armv5,armv6构架,基本已经淘汰了;x86:intel的32位cpu构架,即windows平台的32位cpu构架;x86_64:其实是amd出的兼容64位的32位cpu构架;arm构架都是向下兼容的,例如如果CPU是armv8,没有对应arm64-v8a文件夹,则会执行armeabi-v7a中的so文件。话不多说,开始研究修改so文件吧,首先使用010 editor或ida打开armeabi下的so(elf)文件(这里使用ida),弹出界面直接点击ok,进入如下页面:
要了解elf文件的详细信息可以查看:ARM平台下elf文件超详细的分析与解读,elf文件的解析这里不做更多说明。如果你跟我一样,别的什么也不想看,就想知道怎么修改so,那么下面我们就来看看怎么修改arm汇编的机器码,来达到修改so文件的目的。
修改前的准备工作
  • 了解二进制文件的大小端模式,传送门:详解大端模式和小端模式
  • 了解寄存器相关知识,了解arm32位和64位寄存器的区别,特别是lr,sp,pc等关键寄存器的作用;
  • arm指令集学习,包括32位指令(A32,T32)和64位指令(A64),这里不上链接了,因为太多了,具体建议百度自查;
  • 下载arm官网cpu构架手册,修改时需要对应查看,链接:A-Profile Architecture,我们主要查看a系列的构架手册,主要下载的文件:

Arm® Architecture Reference Manual Armv8, for Armv8-A architecture profile
Arm® Architecture Reference Manual Armv7-A and Armv7-R edition
The A64 instruction set
第一本是关于A64指令集的手册,其实也包含了A32和T32指令集,第二本是armv7构架,包含了ARM指令和Thumb指令,第三本介绍了A64指令。
  • 熟练进行进制转换,可以使用win10自带的计算器的程序员模式。

修改so文件
- 32位
以下内容建立在以上知识的基础上,开始修改,接着我们打开的so页面(armeabi-v7a),滚动到汇编代码区域,如下图:
例如想要修改Ox00005EE8处的关键跳转BEQ loc_5EFA为BNE loc_5EFA,通过汇编代码知道,此处用R0寄存器中的值和2比较大小,如果R0中的值等于2,跳转到下边的loc_5EFA处:
双击此行,然后点击Hex View-1标签可以看到对应的机器码:
由于elf的存储模式是小端模式(Little-endian),故实际的机器码是D0 07,转换为二进制:‭1101 0000 0000 0111‬,可以看出是16位的Thumb指令,打开armv7构架手册(armv8也可以),找到指令集部分:
如上图,此机器码对应红框中的编码方式,要修改BEQ为BNE,则需要修改8-11位的条件位,立即数保持不变:
上图可以查出EQ的机器码为0000,NE机器码则是0001,因此修改后的机器码为‭1101 0001 0000 0111,再转换回16进制为‭D1 07‬,小端存储07 D1,按如下步骤,右键点击修改:
修改完后右键点击应用修改:
然后返回IDA View-A视图,可以看到BEQ loc_5EFA已经改为了BNE loc_5EFA:
- 64位下边尝试下修改64位构架下的so文件,64位的so必须用64位的ida打开:
如上图,我们修改红框中的代码,改为:
CMP      W1, #1
B.LT     loc_1B5C
CMP W0, #0的机器码为‭0111 0001 0000 0000 0000 0000 0001 1111‬,查看armv8a手册:
寄存器w0改成w1,只需将5-9位改为00001。立即数#0改为#1,需要将10-21位改为00 0000 0000 01,改完后机器码变为‭0111 0001 0000 0000 0000 0100 0011 1111‬,转换为16进制后:‭71 00 04 3F,小端模式3F 04 00 71‬;
B.GT loc_1B10的机器码‭0101 0100 1111 1111 1111 1110 0000 1100‬,编码方式如下:
B.GT改为B.LT,即修改0-3位为1011。
原立即数1111 1111 1111 1110 000,补码转为原码为1001 0000,即-16。
偏移量计算方法为:offset = SignExtend(imm19:'00', 64),也就是19位的立即数后边拼接00(左移2位),变为1111 1111 1111 1110 000 00,然后有符号扩展为64位(对于负数,前边补1,补足64位),变为‭1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1111 1100 0000‬,此为补码,转为原码1100 0000,即-64。正如红框中的所述,是立即数的4倍。
此处要改为loc_1B5C,即偏移量为+12,则立即数为+12/4 = +3,5-23位的立即数变为0000 0000 0000 0000 011。
最终机器码为‭0101 0100 0000 0000 0000 0000 0110 1011,转换16进制‭54 00 00 6B‬,小端模式6B 00 00 54
然后,修改应用后查看结果:



举报 使用道具

回复
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表