【Android逆向】记录一次某某虚拟机的逆向

导语

学了一段时间的XPosed，发现XPosed真的好强，只要技术强，什么操作都能实现...
这次主要记录一下我对这款应用的逆向思路

apk检查

  1. 使用MT管理器检查apk的加壳情况

  1. 发现是某数字的免费版本

  2. 直接使用frida-dexdump

  3. 脱下来后备用

应用分析

  1. 进入应用之后会发现里边含有登录 会员等模块
  2. 我们先不管登录的部分，先检查会员的使用场景，一般在会员的使用场景或者显示场景中都会有检查是否是VIP的业务逻辑，根据这个来加载显示不同的资源

会员分析

  1. 通过对应用的检查发现在添加虚拟机设备的时候用到了会员权限

 

同时弹出一个对话框，应用也贴心的告诉我们VIP的使用场景 

 

  • 打开算法助手，算法助手对应用进行了常见功能的Hook，最重要的是支持免费加固的Hook

  • 将这3项勾选

 

  • 重复1、2步，在日志中检查OnClick和弹窗是否有用的信息

  • 很幸运，在这一步就获取有关的逻辑

  • 且函数名称并没有被混淆，能够从调用堆栈读出以下逻辑：点击下载按钮->检查是否VIP->用户没有登录->显示购买VIP的弹窗

  • 打开jadx将脱壳后的dex文件载入，搜索checkVip

 选择第一个函数，发现无有用信息，继续进入checkVip函数在此函数中发现getUserConf，即获取用户的配置

 在此函数中发现getUserConf，即获取用户的配置

 

通过对此函数的阅读，得出此函数的返回值为UserBean 

然后检查
UserBean 

 

  1. 很明显，有关VIP的数据都在此，使用XPosed来修改这些成员变量，即可达到对显示UI的修改，即使服务器对这些数据有校验也不影响，至少在UI层面已经成功了

抓包分析

  1. 使用抓包工具检查网络请求，当点击底部的导航栏的时候，应用会发送网络请求

 

通过检查getInfo，获取一个Post请求的链接

对此链接进行引用查询，发现有关用户的逻辑
 

 

阅读此函数，网络请求库可能为Retrofit，当请求成功的时候会将用户的信息保存起来并移除广告？同样也能得到UserBean，这个关键的信息 

编写插件

思路

  1. 通过对应用的分析可以得出一个关键的信息getUserConf
  2. getUserConf函数右键->复制为XPosed片段

 

1

2

3

4

5

6

7

8

9

10

XposedHelpers.findAndHookMethod("com.vmos.pro.account.AccountHelper", classLoader, "getUserConf", new XC_MethodHook() {

    @Override

    protected void beforeHookedMethod(MethodHookParam param) throws Throwable {

        super.beforeHookedMethod(param);

    }

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        super.afterHookedMethod(param);

    }

});

  1. 可以看到jadx为我们一键生成了有关的Hook代码，但是这样就行了吗？我可以告诉你，不行。别忘了，这是一个加壳的应用，即使它是一款免费的加壳

加壳应用Hook

通过对网上公开资料的查询，发现即使应用加固也需要在运行时进行还原修复，使用jadx打开加固的apk文件，找到attachBaseContext

1

2

3

4

5

6

7

8

9

XposedHelpers.findAndHookMethod("com.stub.StubApp", param.classLoader, "attachBaseContext", android.content.Context.class, new XC_MethodHook() {

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        super.afterHookedMethod(param);

        Context context = (Context) param.args[0];//获取运行时的Context

        ClassLoader classLoader = context.getClassLoader()//获取真正的ClassLoader

        //在此添加Hook VIP等操作，使用classLoader

    }

});

继续编写

  1. 获取到正确的ClassLoader后，对getUserConf函数的返回值进行遍历

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

XposedHelpers.findAndHookMethod("com.vmos.pro.account.AccountHelper", classLoader, "getUserConf", new XC_MethodHook() {

    @Override

    protected void afterHookedMethod(MethodHookParam param) throws Throwable {

        Object UserBean = param.getResult();

        for (Field field : UserBean.getClass().getDeclaredFields()) {

            //设置可访问, 极其重要, 不然会崩溃

            field.setAccessible(true);

            //使用反射来获取运行时的数据

            var name = field.getName();

            var type = field.getType();

            var value = field.get(UserBean);

            Log.i("HookTag", name + ": " + value);

        }

        super.afterHookedMethod(param);

    }

});

  1. Hook完成后，能够发现nickName是正确的，能够对应上UI的显示
     

 

 

  1. 接下来只需要对循环里的数据进行判断赋值，然后返回即可

1

2

3

4

5

6

7

8

9

10

//修改名称，其他自行测试

for (Field field : UserBean.getClass().getDeclaredFields()) {

    ......

    if (name.equals("nickName")) {

        field.set(UserBean, "测试文字");

    } else if(......) {

        ......

    }

}

param.setResult(UserBean);//设置返回值，替换掉param.getResult()获取的

  1. UI显示和下载功能

 

插件下载破解

获取到VIP后，发现还有一个插件下载的逻辑没有效果

下载逻辑分析

  1. 当点击Root或者XPosed的时候，会提示加载失败

 

  • 但是点击谷歌服务的时候却有效果，猜测是网络请求

  • 打开抓包工具，通过对两者的对比，发现是其中少了一些数据，所以才会加载失败

 在jadx中搜索getPluginUrl，通过阅读此函数发现有2个匿名函数，failure和success

 

 

  1. 使用jadx默认给我们的参数Hook不太行，这时候需要使用其他函数来获取vu

1

2

3

4

5

6

7

8

9

10

11

//vu<jo4>.class 无法获取

//使用loadClass来获取，在参数中填写vu即可

Class<?> vu = classLoader.loadClass("vu");

XposedHelpers.findAndHookMethod("com.vmos.pro.activities.main.fragments.PluginHelper$getPluginDownloadBean$2$1", classLoader, "success", vu, new XC_MethodHook() {

    @Override

    protected void beforeHookedMethod(MethodHookParam param) throws Throwable {

        Log.i("HookTag", "success: " + Arrays.toString(param.args));

        super.beforeHookedMethod(param);

    }

});

//或者使用XposedBridge.hookAllMethods

  1. 通过对这两者的Hook，当点击Root插件按钮时会进入success且参数为：

1

2

谷歌服务按钮：success: [CommonResult{code=0, msg='OK', data=RespPlugin{systemPluginResult=RespPluginInfo{pluginUrl='http://xxx/xxx/plugin/android71gp_plugin-64bit3.zip', pluginMd5='62c38ec6b509e546e9fe9566969f7c49', version=0}}}]

Root按钮：success: [CommonResult{code=0, msg='OK', data=RespPlugin{systemPluginResult=null}}]

  1. 可以明显发现其中确实是少了一些数据，接下来只需要补齐下载链接即可，但是如何获取这个链接呢？
  • 充值VIP获取其中的链接
  • 扫描网站链接?或者找到一个函数获取?
  • 猜测
  1. 上面2点显然不是我能够解决的，2333，那就通过对链接的猜测吧，根据能够下载的谷歌服务链接来看，root和xposed可能为：
  • http://xxx/xxx/plugin/android71root_plugin-64bit.zip'
  • http://xxx/xxx/plugin/android71xposed_plugin-64bit.zip'
  • 通过一系列猜测，得出来正确的下载链接，MD5的话只需要在终端输入md5 file即可得到
  1. 阅读函数，检查参数发现具体的链接在vu中的data，但是返回类型是T，这就比较麻烦了

 

 

  1. 这里采用一种比较麻烦的方法来修改：
  • Hookvu类的m49633函数获取返回结果
  • 遍历返回结果的Fields
  • 找到含有systemPluginResult的field
  • 使用field.getType()获取到Class<?> jo4
  • 使用jo4.newInstance()创建一个实例ret
  • 再次遍历ret.getDeclaredFields()
  • 根据pluginMd5和pluginUrl分别赋值到ret中
  • 最后使用field.set(data, ret);赋值即可
  • 具体代码截图，pluginMd5和pluginUrl是我获取的正确链接，就不公布了

 

 

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/217854.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

yolov8实战第二天——yolov8训练结果分析（保姆式解读）

yolov8实战第二天——yolov8训练结果分析（保姆式解读）

yolov8实战第一天——yolov8部署并训练自己的数据集&#xff08;保姆式教程&#xff09;-CSDN博客 我们在上一篇文章训练了一个老鼠的yolov8检测模型&#xff0c;训练结果如下图&#xff0c;接下来我们就详细解析下面几张图。 一、混淆矩阵 正确挑选&#xff08;正确&#…
阅读更多...
gRPC框架

gRPC框架

1、gRPC 与 Protobuf 介绍 微服务架构中&#xff0c;由于每个服务对应的代码库是独立运行的&#xff0c;无法直接调用&#xff0c;彼此间 的通信就是个大问题gRPC 可以实现微服务&#xff0c; 将大的项目拆分为多个小且独立的业务模块&#xff0c; 也就是服务&#xff0c; 各服…
阅读更多...
如何做一名“机关算尽”的伦敦银投资者？

如何做一名“机关算尽”的伦敦银投资者？

做伦敦银投资者有一个好处&#xff0c;就是这个世界上投资者均可以参与的市场会比较公平&#xff0c;所以我们从书中、从课程中学习到的分析方法&#xff0c;可以应用在该市场中。其中有一种方法&#xff0c;可以通过计算&#xff0c;算出银价转折、反转的点位等等。那我们如何…
阅读更多...
拆解大语言模型 RLHF 中的PPO算法

拆解大语言模型 RLHF 中的PPO算法

为什么大多数介绍大语言模型 RLHF 的文章&#xff0c;一讲到 PPO 算法的细节就戛然而止了呢&#xff1f;要么直接略过&#xff0c;要么就只扔出一个 PPO 的链接。然而 LLM x PPO 跟传统的 PPO 还是有些不同的呀。 其实在 ChatGPT 推出后的相当一段时间内&#xff0c;我一直在等…
阅读更多...
一些AG10K FPGA 调试的建议-Douglas

一些AG10K FPGA 调试的建议-Douglas

PLL AGM FPGA 在配置成功时&#xff0c;PLL 已经完成锁定&#xff0c;lock 信号已经变高&#xff1b;如果原设计中用 lock 信号输出实现系统 reset 的复位功能&#xff0c;就不能正确完成上电复位&#xff1b;同时&#xff0c;为了保证 PLL 相移的稳定&#xff0c;我们需要在 P…
阅读更多...
RabbitMq的详细使用

RabbitMq的详细使用

消息队列RabbitMQ详细使用 文章目录 消息队列RabbitMQ详细使用MQ 的相关概念什么是MQ为什么要用MQMQ 的分类MQ 的选择 RabbitMQRabbitMQ 的概念四大核心概念各个名词介绍安装RabbitMQWeb管理界面及授权操作Docker 安装Hello world简单示例 Work Queues轮训分发消息消息应答自动…
阅读更多...
Java编程中通用的正则表达式（一）

Java编程中通用的正则表达式（一）

正则表达式&#xff08;Regular Expression&#xff0c;简称RegEx&#xff09;&#xff0c;又称常规表示法、正则表示、正规表示式、规则表达式、常式、表达式等&#xff0c;是计算机科学中的一个概念。正则表达式是用于描述某种特定模式的字符序列&#xff0c;特别是用来匹配、…
阅读更多...
设计模式（二）-创建者模式（5）-建造者模式

设计模式（二）-创建者模式（5）-建造者模式

一、为何需要建造者模式&#xff08;Builder&#xff09;? 在软件系统中&#xff0c;会存在一个复杂的对象&#xff0c;复杂在于该对象包含了很多不同的功能模块。该对象里的各个部分都是按照一定的算法组合起来的。 为了要使得复杂对象里的各个部分的独立性&#xff0c;以及…
阅读更多...
大模型学习之GPT系列

大模型学习之GPT系列

GPT系列 预备知识GPT-1无监督预训练有监督的微调训练 GPT-2数据集&#xff1a;输入表示模型实验 GPT-3模型数据集实验局限性 InstructGPTGPT-4GPT-4 新特性基础能力 参考文献 大模型 GPT演进路线图 预备知识 Transformer 结构图 GPT-1 首先使用未标注的数据训练一个预训练…
阅读更多...
速学数据结构 | 树 森林 二叉树 的概念详讲篇

速学数据结构 | 树 森林 二叉树 的概念详讲篇

&#x1f3ac; 鸽芷咕&#xff1a;个人主页 &#x1f525; 个人专栏:《速学数据结构》 《C语言进阶篇》 ⛺️生活的理想&#xff0c;就是为了理想的生活! &#x1f4cb; 前言 &#x1f308;hello&#xff01; 各位宝子们大家好啊&#xff0c;关于线性表我们已经在前面更新完了…
阅读更多...
c YUV 转 JPEG（准备霍夫曼编码）

c YUV 转 JPEG（准备霍夫曼编码）

先取yuv 文件中一个168的块&#xff0c;跑通全流程 理解与思路&#xff1a; 1.块分割 YUV 文件分为&#xff1a;YUV444 YUV 422 YUV420。444:就是&#xff1a;12个char 有4个Y&#xff0c;4个U&#xff0c;4个 U&#xff0c;422&#xff1a;8个char 中有4个Y &#x…
阅读更多...
西科大微机原理实验四（定时器程序设计）

西科大微机原理实验四（定时器程序设计）

任务一、 按实验要求内容新建一个ASM41.ASM文件，使用masm命令生成obj文件并输入 上述源程序中使用了外部资源，该外部资源存在于文件 LIB_TIM.OBJ中，因此使用link命令将 ASM41.OBJ 和 LIB_TIM.OBJ 一起链接生成可执行文件 使用debug加载程序并进行调试 使用-g指令，回显如下…
阅读更多...
技术分享 | 想做App测试就一定要了解的App结构

技术分享 | 想做App测试就一定要了解的App结构

app 的结构包含了 APK 结构和 app 页面结构两个部分 APK结构 APK 是 Android Package 的缩写&#xff0c;其实就是 Android 的安装包。通过将 APK 文件直接传到 Android 模拟器或 Android 手机中执行即可安装。 APK 文件其实是 zip 格式&#xff0c;但后缀名被修改为 apk&…
阅读更多...
Mysql进阶-InnoDB引擎事务原理及MVCC

Mysql进阶-InnoDB引擎事务原理及MVCC

事务原理 事务基础 事务是一组操作的集合&#xff0c;它是一个不可分割的工作单位&#xff0c;事务会把所有的操作作为一个整体一起向系 统提交或撤销操作请求&#xff0c;即这些操作要么同时成功&#xff0c;要么同时失败。 事务的四大特性&#xff1a; 原子性&#xff08;A…
阅读更多...
抖去推--短视频剪辑、矩阵无人直播saas营销工具一站式开发

抖去推--短视频剪辑、矩阵无人直播saas营销工具一站式开发

抖去推是一款短视频剪辑和矩阵无人直播SAAS营销工具一站式开发平台。它提供了以下功能和特点&#xff1a; 1. 短视频剪辑&#xff1a;抖去推提供了一系列的剪辑工具&#xff0c;包括自动剪辑、特效制作、配音配乐等&#xff0c;可以帮助用户轻松制作出高质量的短视频。 2. 矩阵…
阅读更多...
Java实现一个简单的贪吃蛇小游戏

Java实现一个简单的贪吃蛇小游戏

一. 准备工作 首先获取贪吃蛇小游戏所需要的头部、身体、食物以及贪吃蛇标题等图片。 然后&#xff0c;创建贪吃蛇游戏的Java项目命名为snake_game&#xff0c;并在这个项目里创建一个文件夹命名为images&#xff0c;将图片素材导入文件夹。 再在src文件下创建两个包&#xff0…
阅读更多...
阿里云SLB的使用总结

阿里云SLB的使用总结

一、什么是SLB 实现k8s的服务service的一种推荐方式&#xff0c;也是服务上云后&#xff0c;替代LVS的一个必选产品。 那么它有什么作用呢&#xff1f; 1、负载均衡&#xff0c;是它与生俱来的。可以配置多个服务器组&#xff1a;包括虚拟服务器组、默认服务器组、主备服务器…
阅读更多...
鸿蒙原生应用/元服务开发-Stage模型能力接口（二）

鸿蒙原生应用/元服务开发-Stage模型能力接口（二）

ohos.app.ability.AbilityConstant (AbilityConstant)一、说明 AbilityConstant提供Ability相关的枚举&#xff0c;包括设置初次启动原因、上次退出原因、迁移结果、窗口类型等。本模块首批接口从API version 9开始支持。后续版本的新增接口&#xff0c;采用上角标单独标记接口…
阅读更多...
python读取csv文件

python读取csv文件

在Python中&#xff0c;你可以使用pandas库来读取CSV文件。以下是一个基本的例子&#xff1a; import pandas as pd# 读取CSV文件data pd.read_csv(filename.csv)# 显示前几行数据print(data.head()) 这里&#xff0c;filename.csv应该被替换为你的CSV文件的实际路径和名称。…
阅读更多...
多合一iPhone 解锁工具:iMyFone LockWiper iOS

多合一iPhone 解锁工具:iMyFone LockWiper iOS

多合一iPhone 解锁工具 无需密码解锁 iPhone/iPad/iPod touch 上所有类型的屏幕锁定 在几分钟内解锁 iPhone Apple ID、Touch ID 和 Face ID 立即绕过 MDM 并删除 iPhone/iPad/iPod touch 上的 MDM 配置文件 支持所有 iOS 版本和设备&#xff0c;包括最新的 iOS 17 和 iPhone 1…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发