某加速器APP分析

之前在逍遙模擬器安裝Xposed框架后，提示需要在線下載文件，為了下載這個文件，便把加速器APP安裝到模擬器，然后發現它有Root檢測，在模擬器中運行不起來。

為了能在逍遙模擬器上使用這個加速器APP，便有了以下研究。

本次實驗所應用到的工具：

1.jadx

2.MT管理器

3.frida

4.objeciton

5.JeB

6.IDA

分析過程如下：

1.打開APP，發現APP存在環境檢測。

2.利用jadx查看AndroidManifest.xml文件，找到并進入APP第一個啟動的Activity。

在StartActivity發現檢測代碼，從代碼中可以看出這里有非常多的if()語句用來檢測環境，判斷為真后就彈框，并return。

3.看看這些檢測函數的代碼邏輯，看它都做了什么。

DeviceUtils.a()，通過代碼可以知道，這是一個通過特定文件來檢測Root的函數。

分析下EmulatorDetectUtil.a(startActivity)，從函數名上看，它的作用應該是檢測模擬器，它返回了a.a(context)||Native detect()。

看看a.a(context),它return c(context) || b(context) || b() || a()，

a()代碼邏輯是，如果/proc/cpuinfo文件中含有”intel”或”AMD”字符串，就return true，否則return false。(這樣檢測是因為正常手機不會是intel或AMD型號的CPU。）

c(context) , b(context),b() 這三個函數調用Native中的PropertiesGet.a

(String)，該函數使用_system_property_get()來獲取系統屬性值來判斷是否為模擬器。

函數通過以下特性判斷是否為模擬器：

ro.kernel.qemu該值在模擬器中為1，通常在正常手機中沒有該屬性。

ro.product.model：該值在模擬器中為sdk，通常在正常手機中它的值為手機的型號。

4.此外APP還進行了Xposed，代理檢測等，如何繞過這些檢測呢？

解決上面的檢測我有兩個方案：

① 用frida Hook對應的函數，統一返回false。

② 修改對應的smali語句,將eqz修改成nez。

這里我采用第二個方案，因為可持久化。

5.以DeviceUtils.a()為例，實現第二個方案，過Root檢測。

找到檢測函數的smali，定位到關鍵地方if-eqz p1,:cond_30

意為如果p1寄存器的值為0，則跳轉到cond_30，而cond_30后的代碼就是彈框及retun語句。

這里將eqz改成nez即可繞過檢測。

如遇到其他檢測，如法炮制即可。

6.完成以上的環境檢測繞過后，APP發生了閃退，估計是在某個地方把APP Kill了。

這個Kill函數在哪呢？簡單的看了下代碼，沒發現Kill函數。那咋辦？

用神器objection Hook下常見的Kill函數，打印出調用棧不就知道它在哪了嗎。

常見的APP退出函數有：

1.KillProcess()，android.os.Process.killProcess(android.os.Process.myPid());

2.System.exit()，Java.lang.System.exit()

Hook億下

很明顯com.speed.speed_library.module.main.MainActivity.n 調用了exit()。

7.定位到n()看看，哇塞這么多exit()。

從代碼中可以看出這個n()也是用來檢測環境的，環境不對就會執行exit(),退出APP。

解決它也很簡單，刪除com.speed.speed_library.module.main.MainActivity.onCreate中調用n()語句就行。(PS:jadx反編譯出來的onCreate()中并沒有調用n()的語句,而對應的smali中有invoke n(),smali和objection的結果都能說明jadx靜態反編譯出來的結果并不準確)