【APP 逆向百例】Frida 初體驗，root 檢測與加密字元串定位

来源:https://www.cnblogs.com/ikdl/archive/2022/09/15/16696778.html
-Advertisement-
Play Games

聲明 本文章中所有內容僅供學習交流使用，不用於其他任何目的，不提供完整代碼，抓包內容、敏感網址、數據介面等均已做脫敏處理，嚴禁用於商業用途和非法用途，否則由此產生的一切後果均與作者無關！ 本文章未經許可禁止轉載，禁止任何修改後二次傳播，擅自使用本文講解的技術而導致的任何意外，作者均不負責，若有侵權， ...


聲明

本文章中所有內容僅供學習交流使用，不用於其他任何目的，不提供完整代碼，抓包內容、敏感網址、數據介面等均已做脫敏處理，嚴禁用於商業用途和非法用途，否則由此產生的一切後果均與作者無關！

本文章未經許可禁止轉載，禁止任何修改後二次傳播，擅自使用本文講解的技術而導致的任何意外，作者均不負責，若有侵權，請在公眾號【K哥爬蟲】聯繫作者立即刪除！

逆向目標

  • 設備：Google Pixel4，Android 10，已 root
  • APP：UnCrackable-Level1.apk（可在公眾號回覆 APP 獲取）
  • APP 檢測了 root，如果手機 root 了，會強制退出 APP，過了 root 檢測後，還需要輸入一個字元串進行校驗。

安裝 ADB

adb（Android Debug Bridge）即安卓調試橋，安裝後可以在電腦上與手機進行交互，Android Studio 等工具裡面會自帶 adb，有時候我們並不想下載這麼大的工具，所以這裡介紹一下 Android SDK Platform-Tools，它是 Android SDK 的一個組件，它包括與 Android 平臺交互的工具，主要是 adb 和 fastboot，官方下載地址：https://developer.android.com/studio/releases/platform-tools ，下載完成後將該目錄添加到環境變數，USB 連接手機，手機上設置允許 USB 調試，使用命令 adb version 可查看版本信息，adb devices 可以查看當前連接的設備，如下圖所示：

01

安裝 Frida

Frida 是一款基於 Python + JavaScript 的 Hook 與調試框架，首先電腦端使用命令 pip install frida-tools 安裝 frida 模塊（此命令預設會安裝最新版的 frida 和 frida-tools，如），然後下載 frida-server，下載地址：https://github.com/frida/frida/releases

frida-server 要根據你電腦端安裝的 frida 版本和手機的 CPU 架構來選擇對應的，使用命令 frida --version 可以查看 frida 版本，使用命令 adb shell 進入手機，輸入 getprop ro.product.cpu.abi 查看 CPU 架構，如下圖所示，我這裡 frida 是 15.2.2 版本，手機 CPU 為 arm64，所以我下載的是 frida-server-15.2.2-android-arm64.xz。

某些 Android 低版本使用高版本 frida 可能有問題，遇到問題可嘗試降低 frida 版本來解決。

02

03

將下載好的 frida-server 使用 adb push 命令傳到手機的 /data/local/tmp/ 目錄下，並給予 777 讀、寫、執行的許可權，然後直接運行 frida-server，正常不會有任何輸出，當然也可以使用 & 等方式讓其在後臺運行。

04

然後另開一個 cmd 使用命令 frida-ps -U 可查看手機進程，有輸出則正常。

05

逆向分析

使用 adb install 命令安裝 UnCrackable-Level1.apk，打開該 APP，會檢測到 root，出現 Root detected! 的提示，如下圖所示：

06

使用 JEB、JADX、GDA 等工具反編譯 apk，直接搜索關鍵字 Root detected! 即可定位到檢測的地方：

07

可以看到圖中有三個檢測方法 c.a()、c.b()、c.c()，其中一個返回為真，則彈出 Root detected!，然後前面還有一個 onClick 方法，如果點擊 OK 按鈕，則觸發 System.exit(0);，即退出 APP，先點進三個檢測方法看看：

a() 方法通過檢測 Android 系統環境變數中是否有 su 文件來判斷是否被 root；

b() 方法通過檢測 Build.TAGS 中是否包含字元串 test-keys 來判斷是否被 root；

c() 方法通過檢測指定路徑下是否包含指定的文件來判斷是否被 root。

08

所以我們這裡就有多種過掉檢測的方法：

方法一：Hook 三個檢測方法，讓它們都返回 false，不再執行後續的 a 方法，就不會退出 APP 了：

Java.perform(
    function(){
        console.log("[*] Hook begin")
        var vantagePoint = Java.use("sg.vantagepoint.a.c")
        vantagePoint.a.implementation = function(){
            console.log("[*] Hook vantagepoint.a.c.a")
            this.a();
            return false;
        }
        vantagePoint.b.implementation = function(){
            console.log("[*] Hook vantagepoint.a.c.b")
            this.b();
            return false;
        }
        vantagePoint.c.implementation = function(){
            console.log("[*] Hook vantagepoint.a.c.c")
            this.c();
            return false;
        }
    }
)

方法二：Hook a() 方法，置空，什麼都不做，不彈出對話框，也不退出 APP：

Java.perform(
    function(){
        console.log("[*] Hook begin")
        var mainActivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity");
        mainActivity.a.implementation = function(){
            console.log("[*] Hook mainActivity.a")
        }
    }
)

方法三：Hook onClick() 方法，點擊 OK 後不讓其退出 APP，註意這裡是內部類的 Hook 寫法：

Java.perform(
    function(){
        console.log("[*] Hook begin")
        var mainActivity$1 = Java.use("sg.vantagepoint.uncrackable1.MainActivity$1");
        mainActivity$1.onClick.implementation = function(){
            console.log("[*] Hook mainActivity$1.onClick")
        }
    }
)

方法四：Hook System.exit() 方法，點擊 OK 後不讓其退出 APP：

Java.perform(
    function(){
        console.log("[*] Hook begin")
        var javaSystem = Java.use("java.lang.System");
        javaSystem.exit.implementation = function(){
            console.log("[*] Hook system.exit")
        }
    }
)

root 檢測過掉之後，APP 還要輸入一個字元串，輸入錯誤會提示 That's not it. Try again.，如下圖所示：

09

分析 Java 代碼，有一個 if-else 判斷，obj 為輸入的字元串，a.a(obj) 判斷為真，就表示輸入正確。

10

跟到 a.a() 方法，可以看到 bArr 是內置的字元串，通過 equals() 方法比較輸入的 str 是否和 bArr 相等：

11

bArr 的值，主要經過 sg.vantagepoint.a.a.a() 方法處理後得到，繼續跟進去可以發現是 AES 加密演算法：

12

這裡就可以直接 Hook sg.vantagepoint.a.a.a()，直接拿到加密後的值，也就是我們要的正確字元串，由於這裡返回的是 ASCII 碼，所以我們還需要在 JavaScript 代碼中使用 String.fromCharCode() 將其轉換成正常字元，Hook 代碼如下：

Java.perform(
    function(){
        var cryptoAES = Java.use("sg.vantagepoint.a.a");
        cryptoAES.a.implementation = function(bArr, bArr2){
            console.log("[*] Hook cryptoAES")
            var secret = "";
            var decryptValue = this.a(bArr, bArr2);
            console.log("[*] DecryptValue:", decryptValue)
            for (var i=0; i < decryptValue.length; i++){
              secret += String.fromCharCode(decryptValue[i]);
            }
            console.log("[*] Secret:", secret)
            return decryptValue;
        }
    }
)

運行 Hook 腳本有兩種方式，一是結合 Python 使用，二是直接通過 frida 命令使用腳本，註入 Hook 代碼也有個時機問題，有時候需要在 APP 啟動就開始 Hook，有時候可以等 APP 啟動載入完畢了再 Hook，本例中，過 root 檢測的時候，如果採用第一、二種方法，即 Hook 三個檢測方法或者 a 方法，那就需要在 APP 啟動的時候就 Hook，如果採用第三、四種方法，即 Hook onClick() 或者 System.exit() 方法，那麼等 APP 啟動了再 Hook 也可以。

結合 Python 使用

首先來看一下結合 Python 怎麼使用，JavaScript 代碼如下（frida-hook.js）：

/* ==================================
# @Time    : 2022-08-29
# @Author  : 微信公眾號：K哥爬蟲
# @FileName: frida-hook.js
# @Software: PyCharm
# ================================== */


Java.perform(
    function(){
        console.log("[*] Hook begin")

        // 方法一：Hook 三個檢測方法，讓它們都返回 false，不再執行後續的 a 方法，就不會退出 APP 了
        // var vantagePoint = Java.use("sg.vantagepoint.a.c")
        // vantagePoint.a.implementation = function(){
        //     console.log("[*] Hook vantagepoint.a.c.a")
        //     this.a();
        //     return false;
        // }
        // vantagePoint.b.implementation = function(){
        //     console.log("[*] Hook vantagepoint.a.c.b")
        //     this.b();
        //     return false;
        // }
        // vantagePoint.c.implementation = function(){
        //     console.log("[*] Hook vantagepoint.a.c.c")
        //     this.c();
        //     return false;
        // }

        // 方法二：Hook a() 方法，置空，什麼都不做，不彈出對話框，也不退出 APP
        // var mainActivity = Java.use("sg.vantagepoint.uncrackable1.MainActivity");
        // mainActivity.a.implementation = function(){
        //    console.log("[*] Hook mainActivity.a")
        // }

        // 方法三：Hook onClick() 方法，點擊 OK 後不讓其退出 APP
        // var mainActivity$1 = Java.use("sg.vantagepoint.uncrackable1.MainActivity$1");
        // mainActivity$1.onClick.implementation = function(){
        //     console.log("[*] Hook mainActivity$1.onClick")
        // }

        // 方法四：Hook System.exit 方法，點擊 OK 後不讓其退出 APP
        var javaSystem = Java.use("java.lang.System");
        javaSystem.exit.implementation = function(){
            console.log("[*] Hook system.exit")
        }

        var cryptoAES = Java.use("sg.vantagepoint.a.a");
        cryptoAES.a.implementation = function(bArr, bArr2){
            console.log("[*] Hook cryptoAES")
            var secret = "";
            var decryptValue = this.a(bArr, bArr2);
            console.log("[*] DecryptValue:", decryptValue)
            for (var i=0; i < decryptValue.length; i++){
              secret += String.fromCharCode(decryptValue[i]);
            }
            console.log("[*] Secret:", secret)
            return decryptValue;
        }
    }
)

Python 代碼如下（frida-hook.py）：

# ==================================
# --*-- coding: utf-8 --*--
# @Time    : 2022-08-29
# @Author  : 微信公眾號：K哥爬蟲
# @FileName: frida-hook.py
# @Software: PyCharm
# ==================================


import sys
import frida


def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)


with open("./frida-hook.js", "r", encoding="utf-8") as fp:
    hook_string = fp.read()

# 方式一：attach 模式，已經啟動的 APP
process = frida.get_usb_device(-1).attach("Uncrackable1")
script = process.create_script(hook_string)
script.on("message", on_message)
script.load()
sys.stdin.read()

# 方式二，spawn 模式，重啟 APP
# device = frida.get_usb_device(-1)
# pid = device.spawn(["owasp.mstg.uncrackable1"])
# process = device.attach(pid)
# script = process.create_script(hook_string)
# script.on("message", on_message)
# script.load()
# device.resume(pid)
# sys.stdin.read()

Python 代碼中，attach 模式 Hook 已經存在的進程，spawn 模式會重啟 APP，啟動一個新的進程並掛起，在啟動的同時註入 frida 代碼，適用於在進程啟動前的一些 Hook，attach 模式傳入的是 APP 名稱，spawn 模式傳入的是 APP 包名，查看 APP 名稱和包名的方法有很多，這裡介紹兩個 frida 命令，frida-ps -Uai：列出安裝的程式，frida-ps -Ua：列出正在運行中的程式，如下圖所示，本例中 Uncrackable1 就是 APP 名稱，owasp.mstg.uncrackable1 就是包名：

13

運行 Python 代碼，註意手機端也要啟動 frida-server，過掉 root 檢測後，先隨便輸入字元串，點擊 VERIFY 就會 Hook 到正確的字元串為 I want to believe，再次輸入正確的字元串，即可驗證成功。

14

frida 命令

不使用 Python，也可以直接使用 frida 命令來實現，和前面 Python 一樣也有兩種模式，同樣的一個是 APP 名一個是包名：

frida -U Uncrackable1 -l .\frida-hook.js：attach 模式，APP 啟動後註入 frida 代碼；

frida -U -f owasp.mstg.uncrackable1 -l .\frida-hook.js --no-pause：spawn 模式，重啟 APP，啟動的同時註入 frida 代碼。

15

至此，我們完美繞過了 root 檢測，併成功找到了正確的字元串。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • MyBatis（十七）：一對多的處理
    上一篇我們學習了多對一的處理，這次我們來學習一對多的處理。 一對多的處理與多對一的處理差別不大，只是有一些細微的地方需要註意。 我們還是先做準備工作，其他部分與多對一的準備工作相同，僅實體類構建需要做出改變。 一、修改實體類 Student類： package com.jms.pojo; publi ...
  • Python丨聽說這個地方的漫畫不錯，只用40行代碼，給它全部爬下來
    前因後果 公司新來的小姐姐，超級喜歡看漫畫，天天給我介紹，好煩~ 現在是2022年9月15日16點30，於是我決定， 五點下班前寫個代碼把她說的漫畫全部爬下來，應付一下~ 再發篇文章揭露她的罪惡，嘿嘿~ 準備事項 環境使用 Python 3.8 Pycharm 2021.2版本 模塊使用 impor ...
  • MyBatis（十六）：多對一的處理
    現在我們就開始更加深入的學習了，今天我們要學習的是多對一的處理。 在正式開始之前我們需要做一些準備工作。 一、在資料庫建立兩張新的表並插入數據 CREATE TABLE `teacher` ( `id` INT(10) NOT NULL, `name` VARCHAR(30) DEFAULT NUL ...
  • day07-IO流應用02
    Java坦克大戰07 8.IO流應用02 8.3記錄退出游戲時敵人坦克坐標/方向，存檔退出 8.3.1思路分析 在Recorder類中，增加一個Vector集合，用來接收從MyPanel類中傳入的enemyTanks集合，在記錄時遍歷集合，將還存活的敵人坦克的方向和坐標逐一取出並保存 8.3.2代碼 ...
  • 110 個主流 Java 組件和框架整理，常用的都有，建議收藏！！
    整理：四猿外 以下排序是按照從技術組件到開發框架到代碼工具，也有一些實在不好分類的，就放到最後了。 WEB 容器 Tomcat https://tomcat.apache.org/ Jetty https://www.jetty.com/ JBoss https://www.jboss.org/ R ...
  • python帶你採集大型網游LOL英雄皮膚圖~
    前言 嗨嘍~大家好呀，這裡是魔王吶 ! 開發環境以及模塊的使用: python 3.6 pycharm requests >>> pip install requests os 內置模塊 不需要安裝的 整體流程: 代碼 import requests # 第三方模塊 pip install requ ...
  • 一位同學的Python大作業【分析噹噹網書籍價格、出版社、電子書版本占比數據】
    目錄 前言 本次案例實現目標 最基本思路流程: <通用> 一. 數據來源分析 二. 代碼實現步驟過程: 代碼實現基本四大步驟 代碼實現 獲取書籍詳情信息 發送請求 解析數據 保存數據 運行代碼得到結果 可視化圖表 書籍總體價格區間 各個出版社書籍數量柱狀圖 電子書版本占比 書籍評論數據 詞雲 對於本 ...
  • Python學習：配置日誌的幾種方式
    摘要：串列流比較簡單，對於parallelStream，站在它背後的是ForkJoin框架。 本文分享自華為雲社區《深入理解Stream之foreach源碼解析》，作者：李哥技術 。 前言 Stream中的操作可以分為兩大類：中間操作與結束操作。 今天要說的foreach是屬於結束操作。 Strea ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類