App逆向百例|17|某音乐App分析

2023-09-17 231

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： App逆向百例|17|某音乐App分析

观前提示：

本文章仅供学习交流,切勿用于非法通途,如有侵犯贵司请及时联系删除

样本：aHR0cHM6Ly9wYW4uYmFpZHUuY29tL3MvMXRQbnROMkc0R20yYlFKaVNHYzU2SlE/cHdkPWxpbm4=

0x1 抓包

本次受害参数为aversionid

直接把样本放到JADX 发现搜索不到aversionid

0x2 脱壳

前面在JADX里面搜索不到aversionid

但是发现了libexec.so字眼

众所周知这是爱加密的壳

直接用dexdump 很快一下子就脱光光了

0x3 aversionid

直接搜索这次可以搜索得到结果了

看到encode和decode字眼

跳转过来发现调用SecurityNative.encode

但却无法进入搜索类也搜索不到难道另有蹊跷

尝试使用Frida也找不到

奇奇怪怪有点意思

那咱就搜索classloader看看吧反正总要加载类的

function classloader_search(ClassName) {
    Java.perform(function () {
        Java.enumerateClassLoaders({
            "onMatch": function (loader) {
                try {
                    if (loader.findClass(ClassName)) {
                        Java.classFactory.loader = loader;
                        console.log('Find ClassName->' + ClassName);
                        console.log(loader);
                    }
                } catch (e) {}
            },
            "onComplete": function () {
            }
        });
    });
}

运行成功搜索到com.xxx.security.SecurityNative

找之前先验证一下是否正确

function hook() {
    var ClassName = "com.xxx.security.SecurityNative"
    Java.perform(function () {
        Java.enumerateClassLoaders({
            "onMatch": function (loader) {
                try {
                    if (loader.findClass(ClassName)) {
                        Java.classFactory.loader = loader;
                        var SecurityNative = Java.classFactory.use(ClassName);
                        SecurityNative.encode.implementation = function (str1, str2) {
                            var result = this.encode(str1, str2);
                            console.log('str1->' + str1)
                            console.log('str2->' + str2)
                            console.log('result->' + result)
                            return result;
                        }
                    }
                } catch (e) { }
            },
            "onComplete": function () {
            }
        });
    });
}