【Android逆向】记录一次某某虚拟机的逆向

导语

学了一段时间的XPosed，发现XPosed真的好强，只要技术强，什么操作都能实现...
这次主要记录一下我对这款应用的逆向思路

apk检查

  1. 使用MT管理器检查apk的加壳情况

  1. 发现是某数字的免费版本

  2. 直接使用frida-dexdump

  3. 脱下来后备用

应用分析

  1. 进入应用之后会发现里边含有登录 会员等模块
  2. 我们先不管登录的部分，先检查会员的使用场景，一般在会员的使用场景或者显示场景中都会有检查是否是VIP的业务逻辑，根据这个来加载显示不同的资源

会员分析

  1. 通过对应用的检查发现在添加虚拟机设备的时候用到了会员权限

 

同时弹出一个对话框，应用也贴心的告诉我们VIP的使用场景 

 

  • 打开算法助手，算法助手对应用进行了常见功能的Hook，最重要的是支持免费加固的Hook

  • 将这3项勾选

 

  • 重复1、2步，在日志中检查OnClick和弹窗是否有用的信息

  • 很幸运，在这一步就获取有关的逻辑

  • 且函数名称并没有被混淆，能够从调用堆栈读出以下逻辑：点击下载按钮->检查是否VIP->用户没有登录->显示购买VIP的弹窗

  • 打开jadx将脱壳后的dex文件载入，搜索checkVip

 选择第一个函数，发现无有用信息，继续进入checkVip函数在此函数中发现getUserConf，即获取用户的配置

 在此函数中发现getUserConf，即获取用户的配置

 

通过对此函数的阅读，得出此函数的返回值为UserBean 

然后检查
UserBean 

 

  1. 很明显，有关VIP的数据都在此，使用XPosed来修改这些成员变量，即可达到对显示UI的修改，即使服务器对这些数据有校验也不影响，至少在UI层面已经成功了

抓包分析

  1. 使用抓包工具检查网络请求，当点击底部的导航栏的时候，应用会发送网络请求

 

通过检查getInfo，获取一个Post请求的链接

对此链接进行引用查询，发现有关用户的逻辑
 

 

阅读此函数，网络请求库可能为Retrofit，当请求成功的时候会将用户的信息保存起来并移除广告？同样也能得到UserBean，这个关键的信息 

编写插件

思路

  1. 通过对应用的分析可以得出一个关键的信息getUserConf
  2. getUserConf函数右键->复制为XPosed片段

 

1

2

3

4

5

6

7

8

9

10

XposedHelpers.findAndHookMethod("com.vmos.pro.account.AccountHelper", classLoader, "getUserConf", new XC_MethodHook() {

    @Override

    protected void beforeHookedMethod(MethodHookParam param) throws Throwable {

        super.beforeHookedMethod(param);

    }

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        super.afterHookedMethod(param);

    }

});

  1. 可以看到jadx为我们一键生成了有关的Hook代码，但是这样就行了吗？我可以告诉你，不行。别忘了，这是一个加壳的应用，即使它是一款免费的加壳

加壳应用Hook

通过对网上公开资料的查询，发现即使应用加固也需要在运行时进行还原修复，使用jadx打开加固的apk文件，找到attachBaseContext

1

2

3

4

5

6

7

8

9

XposedHelpers.findAndHookMethod("com.stub.StubApp", param.classLoader, "attachBaseContext", android.content.Context.class, new XC_MethodHook() {

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        super.afterHookedMethod(param);

        Context context = (Context) param.args[0];//获取运行时的Context

        ClassLoader classLoader = context.getClassLoader()//获取真正的ClassLoader

        //在此添加Hook VIP等操作，使用classLoader

    }

});

继续编写

  1. 获取到正确的ClassLoader后，对getUserConf函数的返回值进行遍历

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

XposedHelpers.findAndHookMethod("com.vmos.pro.account.AccountHelper", classLoader, "getUserConf", new XC_MethodHook() {

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        Object UserBean = param.getResult();

        for (Field field : UserBean.getClass().getDeclaredFields()) {

            //设置可访问, 极其重要, 不然会崩溃

            field.setAccessible(true);

            //使用反射来获取运行时的数据

            var name = field.getName();

            var type = field.getType();

            var value = field.get(UserBean);

            Log.i("HookTag", name + ": " + value);

        }

        super.afterHookedMethod(param);

    }

});

  1. Hook完成后，能够发现nickName是正确的，能够对应上UI的显示
     

 

 

  1. 接下来只需要对循环里的数据进行判断赋值，然后返回即可

1

2

3

4

5

6

7

8

9

10

//修改名称，其他自行测试

for (Field field : UserBean.getClass().getDeclaredFields()) {

    ......

    if (name.equals("nickName")) {

        field.set(UserBean, "测试文字");

    } else if(......) {

        ......

    }

}

param.setResult(UserBean);//设置返回值，替换掉param.getResult()获取的

  1. UI显示和下载功能

 

插件下载破解

获取到VIP后，发现还有一个插件下载的逻辑没有效果

下载逻辑分析

  1. 当点击Root或者XPosed的时候，会提示加载失败

 

  • 但是点击谷歌服务的时候却有效果，猜测是网络请求

  • 打开抓包工具，通过对两者的对比，发现是其中少了一些数据，所以才会加载失败

 在jadx中搜索getPluginUrl，通过阅读此函数发现有2个匿名函数，failure和success

 

 

  1. 使用jadx默认给我们的参数Hook不太行，这时候需要使用其他函数来获取vu

1

2

3

4

5

6

7

8

9

10

11

//vu<jo4>.class 无法获取

//使用loadClass来获取，在参数中填写vu即可

Class<?> vu = classLoader.loadClass("vu");

XposedHelpers.findAndHookMethod("com.vmos.pro.activities.main.fragments.PluginHelper$getPluginDownloadBean$2$1", classLoader, "success", vu, new XC_MethodHook() {

    @Override

    protected void beforeHookedMethod(MethodHookParam param) throws Throwable {

        Log.i("HookTag", "success: " + Arrays.toString(param.args));

        super.beforeHookedMethod(param);

    }

});

//或者使用XposedBridge.hookAllMethods

  1. 通过对这两者的Hook，当点击Root插件按钮时会进入success且参数为：

1

2

谷歌服务按钮：success: [CommonResult{code=0, msg='OK', data=RespPlugin{systemPluginResult=RespPluginInfo{pluginUrl='http://xxx/xxx/plugin/android71gp_plugin-64bit3.zip', pluginMd5='62c38ec6b509e546e9fe9566969f7c49', version=0}}}]

Root按钮：success: [CommonResult{code=0, msg='OK', data=RespPlugin{systemPluginResult=null}}]

  1. 可以明显发现其中确实是少了一些数据，接下来只需要补齐下载链接即可，但是如何获取这个链接呢？
  • 充值VIP获取其中的链接
  • 扫描网站链接?或者找到一个函数获取?
  • 猜测
  1. 上面2点显然不是我能够解决的，2333，那就通过对链接的猜测吧，根据能够下载的谷歌服务链接来看，root和xposed可能为：
  • http://xxx/xxx/plugin/android71root_plugin-64bit.zip'
  • http://xxx/xxx/plugin/android71xposed_plugin-64bit.zip'
  • 通过一系列猜测，得出来正确的下载链接，MD5的话只需要在终端输入md5 file即可得到
  1. 阅读函数，检查参数发现具体的链接在vu中的data，但是返回类型是T，这就比较麻烦了

 

 

  1. 这里采用一种比较麻烦的方法来修改：
  • Hookvu类的m49633函数获取返回结果
  • 遍历返回结果的Fields
  • 找到含有systemPluginResult的field
  • 使用field.getType()获取到Class<?> jo4
  • 使用jo4.newInstance()创建一个实例ret
  • 再次遍历ret.getDeclaredFields()
  • 根据pluginMd5和pluginUrl分别赋值到ret中
  • 最后使用field.set(data, ret);赋值即可
  • 具体代码截图，pluginMd5和pluginUrl是我获取的正确链接，就不公布了

 

 

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/229105.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

二叉树前，中序推后续_中，后续推前序

二叉树前，中序推后续_中，后续推前序

文章目录 介绍思路例子 介绍 二叉树是由根、左子树、右子树三部分组成。 二叉树的遍历方式又可以分为前序遍历&#xff0c;中序遍历&#xff0c;后序遍历。 前序遍历&#xff1a;根&#xff0c;左子树&#xff0c;右子树 中序遍历&#xff1a;左子树&#xff0c;根&#xff0…
阅读更多...
菜鸟学习日记（python）——匿名函数

菜鸟学习日记（python）——匿名函数

Python 使用 lambda 来创建匿名函数。 lambda 函数是一种小型、匿名的内联函数&#xff0c;它可以具有任意数量的参数&#xff0c;但只能有一个表达式。 匿名函数的一般格式如下&#xff1a; lambda 参数列表:表达式 表达式用于计算并返回函数结果 lambda 函数通常用于编写…
阅读更多...
FreeRtos里的几个中断屏蔽

FreeRtos里的几个中断屏蔽

1、primask 寄存器 PRIMASK用于禁止除NMI和HardFalut外的所有异常和中断&#xff0c;使用方法&#xff1a; cpsid i &#xff1b; //设置primask &#xff08;禁止中断&#xff09; cpsie i ; //清除primask (使能中断) 也可以 movs r0,#1 msr primask r0; //将 1写入p…
阅读更多...
C# WPF上位机开发（网络程序界面开发）

C# WPF上位机开发（网络程序界面开发）

【 声明&#xff1a;版权所有&#xff0c;欢迎转载&#xff0c;请勿用于商业用途。 联系信箱&#xff1a;feixiaoxing 163.com】 之前我们讨论过&#xff0c;设备之间通讯的方式很多。但是&#xff0c;不知道大家有没有注意&#xff0c;前面谈到的这些通讯方式都需要上位机电脑…
阅读更多...
华为云创新动能涌现，浒墅关开启先进制造新纪元

华为云创新动能涌现，浒墅关开启先进制造新纪元

编辑&#xff1a;阿冒 设计&#xff1a;沐由 穿境而过的京杭大运河&#xff0c;孕育了苏州浒墅关深厚的历史文化底蕴。千年延续不断的繁华&#xff0c;滋养了一代又一代奋进的浒墅关人。今天&#xff0c;一座国家级经开区挺立在这里&#xff0c;散发出创新创业的蓬勃活力。 苏州…
阅读更多...
WordPress如何搭建多站点

WordPress如何搭建多站点

这边之前有讲到过wordpress站中站&#xff08;栏目站&#xff09;建站教程&#xff0c;同样的也有讲到过WordPress开启多站点配置&#xff0c;两种方法都是用来搭建子站点的&#xff0c;而开启多站点的方式不同于普通搭建站中站&#xff0c;多站点配置开启&#xff0c;是可以实…
阅读更多...
STM32F407-14.3.18-01连接霍尔传感器

STM32F407-14.3.18-01连接霍尔传感器

连接霍尔传感器 可通过用于生成电机驱动 PWM 信号的高级控制定时器&#xff08;TIM1 或 TIM8&#xff09;以及图 114 中称为 “接口定时器”的另一个定时器 TIMx&#xff08;TIM2、TIM3、TIM4 或 TIM5&#xff09;&#xff0c;实现与霍尔传感器的连接。3 个定时器输入引脚&…
阅读更多...
【C语言】实战项目——通讯录

【C语言】实战项目——通讯录

引言 学会创建一个通讯录&#xff0c;对过往知识进行加深和巩固。 文章很长&#xff0c;要耐心学完哦&#xff01; ✨ 猪巴戒&#xff1a;个人主页✨ 所属专栏&#xff1a;《C语言进阶》 &#x1f388;跟着猪巴戒&#xff0c;一起学习C语言&#x1f388; 目录 引言 实战 建…
阅读更多...
C语言——完数难题（编程题目）

C语言——完数难题（编程题目）

归纳编程学习的感悟&#xff0c; 记录奋斗路上的点滴&#xff0c; 希望能帮到一样刻苦的你&#xff01; 如有不足欢迎指正&#xff01; 共同学习交流&#xff01; &#x1f30e;欢迎各位→点赞 &#x1f44d; 收藏⭐ 留言​&#x1f4dd; 生命如同寓言&#xff0c;其价值不在于…
阅读更多...
【数据分享】2019-2023年我国区县逐年二手房房价数据（Excel/Shp格式）

【数据分享】2019-2023年我国区县逐年二手房房价数据（Excel/Shp格式）

房价是一个区域发展程度的重要体现&#xff0c;一个区域的房价越高通常代表这个区域越发达&#xff0c;对于人口的吸引力越大&#xff01;因此&#xff0c;房价数据是我们在各项城市研究中都非常常用的数据&#xff01;之前我们分享了2019—2023年我国区县逐月的二手房房价数据…
阅读更多...
破译模式：模式识别在计算机视觉中的作用

破译模式：模式识别在计算机视觉中的作用

一、介绍 在当代数字领域&#xff0c;计算机视觉中的模式识别是关键的基石&#xff0c;推动着众多技术进步和应用。本文探讨了计算机视觉中模式识别的本质、方法、应用、挑战和未来趋势。通过使机器能够识别和解释视觉数据中的模式&#xff0c;模式识别不仅推动了计算机视觉领域…
阅读更多...
小程序商城活动页面怎么生成二维码

小程序商城活动页面怎么生成二维码

背景 小程序商城某些页面需要做成活动推广页&#xff0c;或需要某一个页面做成二维码进行推广。比如某些非公开的商品做成一个活动&#xff0c;发送指定部分用户&#xff0c;这个活动页面可以做成二维码。 前提 小程序已经上线 步骤 登录微信小程序官网&#xff0c;选择工具…
阅读更多...
【i.MX6ULL】使用buildroot构建根文件系统

【i.MX6ULL】使用buildroot构建根文件系统

文章目录 前言1、下载源码2、构建根文件系统1. 配置buildroot2. 编译buildroot3. buildroot根文件系统测试 3、buildroot第三方软件和库的配置1. 使能 alsa-lib2. 使能 alsa-utils 4、 buildroot下的busybox配置1. busybox配置2. 使能常用命令 前言 本篇文章时参考的正点原子的…
阅读更多...
嵌入式开发中的总线与时钟

嵌入式开发中的总线与时钟

总线 AHB总线 AHB的全称是"Advanced High-performance Bus"，中文翻译就是"高级高性能总线"。这是一种在计算机系统中用于连接不同硬件组件的总线架构，它可以帮助这些组件之间高效地传输数据和信息。这个总线架构通常用于处理速度较快且对性能要求较高的…
阅读更多...
设计模式详解---单例模式

设计模式详解---单例模式

1. 设计模式详解 单例模式是一种创建对象的设计模式&#xff0c;它确保一个类只有一个实例&#xff0c;并提供全局访问点以获取该实例。 在单例模式中&#xff0c;类负责创建自己的唯一实例&#xff0c;并确保任何其他对象只能访问该实例。这对于需要共享状态或资源的情况非常有…
阅读更多...
踩坑记录：java连接ssh的问题

踩坑记录：java连接ssh的问题

目录 概述一、第一个问题解决 二、第二个问题分析解决 三、第三个问题分析解决 第四个问题解决 概述 手里有个CS架构的老系统&#xff0c;服务端要用SSH的方式传文件。没想到写了两天&#xff01;遇到一堆问题&#xff0c;于是记录下。&#xff08;老系统真恶心啊&#xff01;…
阅读更多...
浮点数float类型不能用“==” 否知if语句不起作用

浮点数float类型不能用“==” 否知if语句不起作用

浮点数float类型不能用“” 否知if语句不起作用 简介演练 简介 在许多编程语言中&#xff0c;包括Python&#xff0c;浮点数类型&#xff08;float&#xff09;的比较是有问题的。浮点数是近似表示的&#xff0c;因此在比较两个浮点数是否相等时可能会遇到精度问题。 比如&am…
阅读更多...
Linux（23）：Linux 核心编译与管理

Linux（23）：Linux 核心编译与管理

编译前的任务&#xff1a;认识核心与取得核心原始码 Linux 其实指的是核心。这个【核心(kernel)】是整个操作系统的最底层&#xff0c;他负责了整个硬件的驱动&#xff0c;以及提供各种系统所需的核心功能&#xff0c;包括防火墙机制、是否支持 LVM 或 Quota 等文件系统等等&a…
阅读更多...
CMA、CNAS软件检测公司分享：压力测试应关注的指标和面临的问题

CMA、CNAS软件检测公司分享：压力测试应关注的指标和面临的问题

软件压力测试是容易被传统企业忽视的测试点&#xff0c;用户人数一旦超过预期&#xff0c;极易造成软件产品卡顿、崩溃的情况&#xff0c;不利于用户正常使用&#xff0c;严重影响企业公信力和盈利水平。今天卓码软件测评小编来聊聊压力测试过程中应该关注的指标和会面临的问题…
阅读更多...
PLC、RS485、变频器通讯接线图详解

PLC、RS485、变频器通讯接线图详解

plc与变频器两者是一种包含与被包含的关系&#xff0c;PLC与变频器都可以完成一些特定的指令&#xff0c;用来控制电机马达&#xff0c;PLC是一种程序输入执行硬件&#xff0c;变频器则是其中之一。 但是PLC的涵盖范围又比变频器大&#xff0c;还可以用来控制更多的东西&#x…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023