参考:
网易云加密:http://apk.aq.163.com
网易云捕:http://crash.163.com
1、结构体的创建及导入,结构体指针等。
以JniNativeInterface, DexHeader为例。
解析Dex的函数如下:
F5后如下:
File->load file->parser c header file,导入Dex.h
上图中a1,右键转成结构体,选择dexheader,效果如下:
2、函数指针时的参数个数调整,不定参数等。
以__android_log_print为例,选中该函数。
Edit->operand type-> set operand type,修改参数如下:
int (__cdecl *)(int, char *, char *, char *, int *, int *),F5刷新后,效果如下:
3、thumb/arm模式的转换
快捷键ALT +G,其中0x01是THUMB,0x00是ARM模式。一般4个字节ARM模式,两个字节为THUMB模式,如:
4、函数被误认为chunk,导致调用者函数多个入口。
以Java_by_Ericky_crackme01_JNI_EatRice为例,可以看到有两个入口。
来到第一个入口的结束位置为BX跳转指令, 应该让他跳转到第二个入口出,才正确。
所有首先要remove function tail,
选中,结尾处,然后edit->functions->remove function tail,效果:
然后再将跳转指令BL,修改为Call,edit->others->force bl call,效果
5、C++RTTI,类名识别。
来的 JNI_OnLoad处
sub_A558为构造函数。
可以得在该函数名为9ArtLoader,
6、创建函数,设定函数结尾地址。
F5,效果如下:
解决办法,按P,再F5。如果P没有效果,则可以选中后再按P。
7、Elf的修复,内存dump该so及其以来文件,然后修改dump出来的基址,File-->LoadFile-->binary file。
dump命令为:
dd if=/proc/1935/mem of=/sdcard/alimsc4 skip=1578049536 ibs=1 count=3993600
8、数据复制、patch。
选中数据,然后edit->export data,即可
9、脚本,idc,IDAPython
http://magiclantern.wikia.com/wiki/IDAPython/intro
http://drops.wooyun.org/tips/11849
http://drops.wooyun.org/tips/12060
10、lsof查看被删除的文件,cat从内存中得到被删除的文件
root@android:/ # lsof |busybox grep com.sxiaoao.car3d3
system_se 523 system 298 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 44 /data/data/com.sxiaoao.car3d3/files/app_sdk103700_.jar (deleted)
com.sxiao 10370 u0_a65 48 /data/app/com.sxiaoao.car3d3-2.apk
com.sxiao 10370 u0_a65 49 /data/app/com.sxiaoao.car3d3-2.apk
10370是进程号 44是打开文件的fd 文件fd映射在/prop/pid/fd里面
用cat命令把文件拷贝出来
1|root@android:/ # cat /proc/10370/fd/44 > /data/local/tmp/test.jar
11、arm指令模拟器
12、为什么不能F5, 不能全信F5