so文件分析的一些心得
用到的方法：
1.java層反調試so層反調試
2.靜態動態分析so層
3.frida來hook java層和so層
4.Android的文件格式
先第一題ill-intentions，這個就非常簡單了，直接hook函數就能看見flag（分享這道題目主要想練練frida hook so）：
查殼查殼：
手機的運行界面只有文字，其他的啥也沒有：
然后分析java層：
從程序得入口點開始分析：
package com.example.application; import android.app.Activity;import android.content.IntentFilter;import android.os.Bundle;import android.view.View;import android.widget.TextView; public class MainActivity extends Activity { public MainActivity() { super(); } public void onCreate(Bundle arg6) { super.onCreate(arg6); TextView v2 = new TextView(this.getApplicationContext()); v2.setText("Select the activity you wish to interact with.To-Do: Add buttons to select activity, for now use Send_to_Activity"); // 輸出再屏幕上的文字 this.setContentView(((View)v2)); IntentFilter v0 = new IntentFilter(); v0.addAction("com.ctf.INCOMING_INTENT"); this.registerReceiver(new Send_to_Activity(), v0, "ctf.permission._MSG", null); // 注冊一個廣播 }}
然后就要看看這個廣播的調用了：
package com.example.application; import android.content.BroadcastReceiver;import android.content.Context;import android.content.Intent;import android.widget.Toast; public class Send_to_Activity extends BroadcastReceiver { public Send_to_Activity() { super(); } public void onReceive(Context arg5, Intent arg6) { String get_message = arg6.getStringExtra("msg"); if(get_message.equalsIgnoreCase("ThisIsTheRealOne")) { // 接收不同的信息，跳向不同的分支 arg5.startActivity(new Intent(arg5, ThisIsTheRealOne.class)); } else if(get_message.equalsIgnoreCase("IsThisTheRealOne")) { arg5.startActivity(new Intent(arg5, IsThisTheRealOne.class)); } else if(get_message.equalsIgnoreCase("DefinitelyNotThisOne")) { arg5.startActivity(new Intent(arg5, DefinitelyNotThisOne.class)); } else { Toast.makeText(arg5, "Which Activity do you wish to interact with?", 1).show(); } }
然后發現跳向的分支最后都是so層函數的調用：
ublic class DefinitelyNotThisOne extends Activity { static { System.loadLibrary("hello-jni"); }
然后根據程序的運行界面，看看三個so層函數的返回值就可以了：
最后再第二個so的結果中發現了flag：
perhapsThis_args:[1] TRytfrgooq|F{i-JovFBungFk\VlphgQbwvjHuDgaeTzuSt.@Lex^[2] ZGFkNGIwYzIWYjEzMTUWNjVjNTVlNjZhOGJkNhYtODIyOGEaMTMWNmQaOTVjZjkhMzRjYmUzZGE?[3] MzQxZTZmZjAxMmIiMWUzNjUxMmRiYjIxNDUwYTUxMWItZGQzNWUtMzkyOWYyMmQeYjZmMzEaNDQ?perhapsThis_result: Congratulation!YouFoundTheRightActivityHereYouGo-CTF{IDontHaveABadjokeSorry}
先看第二個LoopCrypto
老規矩，先查殼：
然后就可以看看java層啦：
先在xml文件中找到文件的入口點就可以分析了：
然后進入到入口點：
就是用這個函數Decode.m2957a()先解密兩個字符串。
然后用這個方法獲取輸入文本框中的內容和按鈕的點擊：
button.setOnClickListener(newView$OnClickListenerC0657a(editText));
frida（之前做ctf的時候不知道還能hook，都是一點點的還原算法，修復代碼跑程序，frida這個工具真的yyds）：
剛開始用frida，不是很確定行不行，還是老方法轉成java代碼看看吧。
發現也沒有什么就是一個字符串解密，跑一下就行了：
然后解密完這些字符串，java層就剩一個重要函數了。
然后就該分析這個函數了：
轉到函數定義的部分去：
先簡單說一下這個onclick方法，不是很重要：
就是獲取app的signature簽名，然后md5運算，然后再進一步運算轉成16進制。
然后看關鍵函數：
發現就是將text輸入的內容給f1764a。
然后f1764a中的內容傳到了這個方法中。
然后發現這個check方法是在so層的：
到此為止java層分析就結束了，我來分享一下總結出來的so層的分析思路：
首先我是先看init_array節區，這是加載最早的一個部分了，所以從這里開始分析：
然后就該分析sub_83DC函數了（分析之前還是要導入JNI.h頭文件和進行代碼修復，我這里只展示修復之后的代碼了）：
首先第一步是讀取字符串，然后解密，這里有必要看一下，因為字符串中的值在之后的程序運行過程中會調用的：
先看看unk_F130這個字符串中的值：
然后解密之后是這樣的：
/proc/%d/status這個應該是文件的路徑名。
r這暫時不知道是干啥的。
TracerPid好了解密出這個字符串就知道為什么不讓調試進程了，這個東西就是反調試的。
在往下看就是讀取文件中的內容，還是反調試的流程。
到此為止init_array節區就分析完了（反調試的地方也找到了）。
過反調試這里有兩種方法：
第一種是用那個so_helper工具來修改so文件(但是這個不好操作，bug很多)。
在用ak重新打包編譯一下：
還有一種是用frida來HOOk初始化函數：
這樣初始化函數的反調試就可以被過掉了。
然后在分析這個check函數的時候就不用擔心反調試的問題了。
然后就該分析JNI_onload了：
然后跟進分析那個函數sub_88C4：
發現是這樣的：
然后還得看看怎么解密的字符串啊，就得分析sub_8740函數了：
這個函數就是解密字符串的，，你看他調用的這個類，是不是和之前的那個是一樣的，所以直接用剛才的java腳本跑一下就好了。
然后返回上一層函數就該看check函數了：
繼續跟進分析sub_8690函數：
這個函數sub_8690（）是對app的簽名校驗，我剛剛過反調試的那個步驟中重新打包了app，然后運行程序的時候這個就會彈窗“You changed the signature!”。
正常應該是這樣的：
所以要是修改so的話這里也要修改一下（還是萬能的nop就行），但是如果用frida過去的話，就不會報這個錯誤了，所以推薦一下解題過程中還是用frida過反調試吧，不用修改太多的地方。
然后就要分析那個解密signature的函數sub_85E0（）因為從java層傳來了signature參數，所以對參數的加解密一定是重要的：
再看看之前的java層傳遞參數到so層的過程：
editText->f1764a
signatures（簽名）->signatureArr->instance->digest->sb->str
f1764a和str就是傳入so層的參數啊。
接下來就要分析sub_84D0（）這個函數了：
直接hook吧，這么多代碼都是運算的也不好分析，反正就是要最后一個結果，注意hook的時候之前的frida不要關，不然app的init_array字段的反調試會很難受。
py腳本跑一下（關鍵代碼如下）：
然后輸出的數據用idc腳本導入ida中便于分析：
之后導入的這些數據就是沒有好的辦法，之前學的方法就是alt+G切換為thumb模式，摁C轉成代碼，摁P聲明成函數，然后F5。
最后附上腳本：
#include<bits/stdc++.h>using namespace std;void destr();void tea_decode1(uint32_t *origin, uint32_t *key) { uint32_t v0 = origin[0], v1 = origin[1], i; uint32_t delta = 0x61C88647; uint32_t sum = 0xC6EF3720; uint32_t k0 = key[0], k1 = key[1], k2 = key[2], k3 = key[3]; for (i = 0; i < 32; i++) { v1 -= ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3); v0 -= ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1); sum += delta; } origin[0] = v0; origin[1] = v1;} int main() { destr(); uint32_t v27[8]; v27[0] = 0x26BB4EA4; v27[1] = 0x69BBDC43; v27[2] = 0xDB3F2F5C; v27[3] = 0x7BBD2F9F; v27[4] = 0x65CDFE31; v27[5] = 0x3E91AEC4; v27[6] = 0xE703AF94; v27[7] = 0xC7D1E1F4; uint32_t key[4]; key[0] = 0x67616C66; key[1] = 0x6948747B; key[2] = 0x24215F53; key[3] = 0x37256E5F; for (int i = 0; i < 8; i += 2) { tea_decode1(&v27[i], key); } cout << (char *) v27 << std::endl; return 0;} void destr() { uint32_t v26[10], v25[10]; v26[0] = 0x821A9220; v26[1] = 0x96CD43F3; v26[2] = 0x36D481BA; v26[3] = 0xCB2C076D; v26[4] = 0xDC65768; v26[5] = 0xBAB4DE5D; v26[6] = 0x7571980F; v26[7] = 0xE382ECC7; v26[8] = 0xC733E8E0; v26[9] = 0x74812F26; v25[0] = 0x1DA05DA0; v25[1] = 0xB07E328; v25[2] = 0xB572D778; v25[3] = 0xC3EE27BB; v25[4] = 0xD200541B; v25[5] = 0xA595C8E0; v25[6] = 0x44B3A5C8; v25[7] = 0x21F11604; v25[8] = 0xDD1EBA82; v25[9] = 0xD4CBF19C; uint32_t key[4]; key[0] = 0x67616C66; key[1] = 0x6948747B; key[2] = 0x24215F53; key[3] = 0x37256E5F; for (int i = 0; i < 10; i += 2) { tea_decode1(&v25[i], key); } cout << (char *) v25 << std::endl; for (int i = 0; i < 10; i += 2) { tea_decode1(&v26[i], key); } cout << (char *) v26 << std::endl;}
flag附上：
再看看最后一個題放松放松APK逆向-2
這個題不難，但是想到方法不簡單，要看2進制代碼的格式。
安裝到手機的過程中就會出錯，所以直接看看程序的入口點吧，好家伙XML文件沒了：
然后用UE打開看看吧，然后再打開幾個正常的apk文件看看哪里改了：
這個是正常的XML文件：
這個是錯誤的XML文件顯示：
要修改的話直接復制粘貼保存就好了，然后用ak重新編譯一下：
直接發現flag的樣式：
