Android逆向学习（七）绕过root检测与smali修改学习

一、写在前面

这是吾爱破解正己大大教程的第五个作业，然后我的系统还是ubuntu，这个是剩下作业的完成步骤。

二、任务目标

现在我们已经解决了一些问题，现在剩下的问题有

hash校验需要解决
关于root检测的
关于与smali学习的

1.解决hash校验的问题

老样子，我们先查看hash校验的代码，看一下这个代码的逻辑

直接把java代码给粘贴过来

public final boolean check_Hash(Context context) {String apkPath = getApkPath((Context) this);FileInputStream fileInputStream = null;try {try {MessageDigest messageDigest = MessageDigest.getInstance("SHA-1");byte[] bArr = new byte[1024];Ref.IntRef intRef = new Ref.IntRef();FileInputStream fileInputStream2 = new FileInputStream(new File(apkPath));while (true) {try {int read = fileInputStream2.read(bArr);intRef.element = read;if (read <= 0) {break;}messageDigest.update(bArr, 0, intRef.element);} catch (Exception e) {e = e;fileInputStream = fileInputStream2;e.printStackTrace();if (fileInputStream != null) {try {fileInputStream.close();} catch (IOException e2) {e2.printStackTrace();}}return false;} catch (Throwable th) {th = th;fileInputStream = fileInputStream2;if (fileInputStream != null) {try {fileInputStream.close();} catch (IOException e3) {e3.printStackTrace();}}throw th;}}String bigInteger = new BigInteger(1, messageDigest.digest()).toString(16);Log.e("zj2595", "hash:" + bigInteger);boolean areEqual = Intrinsics.areEqual(bigInteger, this.ApkHash);try {fileInputStream2.close();} catch (IOException e4) {e4.printStackTrace();}return areEqual;} catch (Exception e5) {e = e5;}} catch (Throwable th2) {th = th2;}}

2.解决root检验的问题

这个一共有三个检测方法，用了一个或操作，然后我就简要总结一下这个三个方法

检查有没有test-keys

检查发布的系统版本是测试版(test-keys)还是发布版(release-keys)，这个不一定，因为有的系统发布版就是test-keys，而且这个很少有人用
检查相应目录下有没有su文件或者有没有superuser.apk这种只有root手机才有的信息

这个方法经常使用，不过规避方法也很多
使用which命令来检测是否存在su

这个其实也挺简单的，如果用hook的话

实际上如果一个手机被root之后也是很难被发现的，因为如果root后就可以使用xposed或者frida这些工具进行hook，hook的功能是非常的强大的。

然后这个的解决方法也是很多，比如：

直接修改smali代码，永远返回真(之前讲到过，不讲了)
hook这个check代码，永远返回真（之前也讲到过，不讲了）
我想到的是使用frida做一个能够一劳永逸的hook代码

3.关于smali学习的题目

20240216180810

这里smali学习部分的作业，我们的目标就是通过修改smali代码，使vip和会员到期时间通过，并且修改钻石数量。

三、实现方法

问题一的实现

通过对代码的分析我们可以了解到。首先会读取apk的路径，然后计算出hash值，然后使用这个hash值和之前的hash值进行比对，就可以得到最终的正确的hash值。

这个的解决方法就太多了，我们就随便选择一个方式解决掉。

比如frida直接hook这个函数让他永远返回true。
hook这个getApkPath((Context) this)的方法，然后修改这个路径到我们自己安装包的路径，不过在上一篇文章中这个方法有点问题（我怀疑是这个apk本身的bug）
修改this.ApkHash，让这里hash值和实际计算的hash值一样。

这些方法在上一篇博客中已经介绍过了，所以这里不再赘述了，直接使用第一个方法给他hook了

Java.perform(function () {Java.use("com.zj.wuaipojie.ui.ChallengeFifth").check_Hash.implementation = function (j) {var result = this.check_Hash(j);send(result);return true;}
})

这样就可以很轻松的通过（frida真厉害！）

20240216231624

问题二的实现

关于root的实现我们先看一下java代码（注：这个地方smali2java插件是有问题的，所以这一串代码我是通过jd-gui逆向得到的）

public final boolean check_root() {return (checkRootMethod1() || checkRootMethod2() || checkRootMethod3());}public final boolean checkRootMethod1() {String str = Build.TAGS;boolean bool2 = false;boolean bool1 = bool2;if (str != null) {bool1 = bool2;if (StringsKt.contains$default(str, "test-keys", false, 2, null))bool1 = true; } return bool1;}public final boolean checkRootMethod2() {for (byte b = 0; b < 10; b++) {(new String[10])[0] = "/system/app/Superuser.apk";(new String[10])[1] = "/sbin/su";(new String[10])[2] = "/system/bin/su";(new String[10])[3] = "/system/xbin/su";(new String[10])[4] = "/data/local/xbin/su";(new String[10])[5] = "/data/local/bin/su";(new String[10])[6] = "/system/sd/xbin/su";(new String[10])[7] = "/system/bin/failsafe/su";(new String[10])[8] = "/data/local/su";(new String[10])[9] = "/su/bin/su";if ((new File((new String[10])[b])).exists())return true; } return false;}public final boolean checkRootMethod3() {boolean bool1 = false;boolean bool2 = false;boolean bool3 = false;Process process = null;try {Process process1 = Runtime.getRuntime().exec(new String[] { "/system/xbin/which", "su" });process = process1;BufferedReader bufferedReader = new BufferedReader();process = process1;InputStreamReader inputStreamReader = new InputStreamReader();process = process1;this(process1.getInputStream());process = process1;this(inputStreamReader);process = process1;String str = bufferedReader.readLine();bool1 = bool3;if (str != null)bool1 = true; bool2 = bool1;if (process1 != null) {process = process1;} else {return bool2;} process.destroy();} finally {Exception exception = null;} return bool2;}

我们一共发现了三个检测的方法，这个在前面的分析已经讲过了，然后我们启动一下frida

20240219204805

之后我们写一个frida脚本然后运行一下hook，这个hook的主要目的就是把checkroot2里面的查找跟root有关文件的东西给屏蔽掉，就是如果一个手机是已经root了的，那么就会产生su等文件，我们就是通过frida hook避免这个程序发现这些文件，然后我之前以为camodroid比较全面可以完成这些东西，但是实际运行发现camodroid并不能完全屏蔽掉这些，所以我自己写了一个（在camodroid上改的）。

Java.perform(function () {Java.use('java.io.File')['$init'].overload('java.lang.String').implementation = function (pathString) {let map ={// Rootbeer"/system/xbin/busybox": "/system/xbin/busybo","/system/bin/su": "/system/bin/s","/system/xbin/su": "/system/bin/s","/system/app/Superuser.apk":"1","/sbin/su":"1","/data/local/xbin/su":"1","/data/local/bin/su":"1","/system/sd/xbin/su":"1","/system/bin/failsafe/su":"1","/data/local/su":"1","/su/bin/su":"1",};var retval;if (map[pathString] != null) {retval = this.$init("/system/bin/suasaadfghdfgh");}else {retval = this.$init(pathString);}return retval;};Java.use("com.zj.wuaipojie.ui.ChallengeFifth").checkRootMethod1.implementation = function () {var result = this.checkRootMethod1();send(result);send("check1")return result;}Java.use("com.zj.wuaipojie.ui.ChallengeFifth").checkRootMethod2.implementation = function () {var result = this.checkRootMethod2();send(result);send("check2")return result;}Java.use("com.zj.wuaipojie.ui.ChallengeFifth").checkRootMethod3.implementation = function () {var result = this.checkRootMethod3();send(result);send("check3")return result;}
})

结果如下图片

20240219213744

然后有个问题就是check3方法，这个方法本来就有问题

20240219213907

就是正常情况下就不应该使用只使用/system/xbin/which去检测是否有su文件，这个算是吾爱作业软件的一个小bug吧

问题三的实现

这个界面在smalilearn里面，我们直接smali2java插件给转了，这个代码不长，所以就直接粘贴到这里了

public final class SmaliLearn extends AppCompatActivity {private final int vip_coin;public final int isVip() {return 0;}public final long vipEndTime() {return 1671889481513L;}public final int getVip_coin() {return this.vip_coin;}protected void onCreate(Bundle bundle) {super.onCreate(bundle);setContentView(2131427364);((Button) findViewById(2131230819)).setOnClickListener(new SmaliLearn$.ExternalSyntheticLambda0(this, (TextView) findViewById(2131231219), (TextView) findViewById(2131231221), (TextView) findViewById(2131231220)));}/* JADX INFO: Access modifiers changed from: private *//* renamed from: onCreate$lambda-0  reason: not valid java name */public static final void m1onCreate$lambda0(SmaliLearn smaliLearn, TextView textView, TextView textView2, TextView textView3, View view) {int isVip = smaliLearn.isVip();if (isVip == 0) {textView.setText("非会员");} else if (isVip == 1) {textView.setText("会员");} else if (isVip == 4) {textView.setText("大会员");} else if (isVip == 16) {textView.setText("超级会员");} else if (isVip == 99) {textView.setText("至尊会员");}long time = new Date().getTime();SimpleDateFormat simpleDateFormat = new SimpleDateFormat("yyyy-MM-dd");if (smaliLearn.vipEndTime() < time) {textView2.setText("已过期");} else {textView2.setText(simpleDateFormat.format(Long.valueOf(smaliLearn.vipEndTime())));}int i = smaliLearn.vip_coin;if (i != 0) {textView3.setText(String.valueOf(i));}}
}