android逆向奇技淫巧三：MT管理器替代android killer修改和重新编译smail代码/frida hook 更改so层代码 |
您所在的位置：网站首页 › mt管理器如何修改软件图标 › android逆向奇技淫巧三：MT管理器替代android killer修改和重新编译smail代码/frida hook 更改so层代码 |
android逆向奇技淫巧三：MT管理器替代android killer修改和重新编译smail代码/frida hook 更改so层代码
|
对于逆向同学而言，用android killer打开、分析、修改源代码、重新编译apk是很方便的一件事，所以大部分人都是按照这个流程逆向搞APK的；对于大部分APK而言这么做也是ok的，但是对于少数APK，用android killer打开的时候就会报错，比如前面提到的这款国民级app： android killer反编译时不管三七二之一，会反编译所有的文件，不仅仅是源代码。其实对于逆向而言，核心需求就是改代码，至于资源、配置文件一般都是不关心的，但是这种报错（有些apk也可能不报错）直接影响了apk的二次编译，比如重新编译时报错如下： 明明一行代码也没改，二次编译的时候居然还是爆各种错误，逆向同学感觉“很受伤”！遇到这种情况怎么办了？难道就没办法改apk的smail源码了？这个时候就要借助MT管理器了；打开MT，在data/app目录下选中这款app，单击base.apk后选中功能，弹窗如下：这是MT管理器的核心功能了，非常强大！ 返回后点击查看，能看到apk目录的所有文件；这里主要演示修改smail代码，所以选中一个dex，在弹出的窗口中选择dex编辑器： 然后继续选择需要更改代码的部分，比如类列表->方法列表->方法，这里只是做测试，随便选择一个init初始化方法，增加几个空格，如下：然后保存；会弹窗提示保存成功！ 再一路返回，选择“保存并退出”！这里选中自动签名，并确定！然后MT会自动打包apk！ 改过的dex会变绿: 退回上一级，base.apk也会变绿： 这时在点击base.apk重新安装：签名状态显示的是v1+v2： 然后一路点击安装按钮，就能重新安装我们更改后的apk了！
=============================分割线============================================== Java层的代码用MT管理器修改，so层了？当然可以用010Editor、IDA等修改，但是app有可能会做MD5检测，是完全能检查出so被更改的！这时只能在刚加载so时去更改代码了（防止动态检测反调试），核心js代码如下：先通过linker找到call_funtion的地址，然后hook该函数，看看第三个参数、也就是so的path是不是自己想要更改的so；如果是，就可以直接在内存改so的代码了！ function dis(address, number) { for (var i = 0; i < number; i++) { var ins = Instruction.parse(address); console.log("address:" + address + "--dis:" + ins.toString()); address = ins.next; } } //libc->strstr() 从linker里面找到call_function的地址 function hook() { //call_function("DT_INIT", init_func_, get_realpath()); var linkermodule = Process.getModuleByName("linker"); var call_function_addr = null; var symbols = linkermodule.enumerateSymbols(); for (var i = 0; i < symbols.length; i++) { var symbol = symbols[i]; //LogPrint(linkername + "->" + symbol.name + "---" + symbol.address); if (symbol.name.indexOf("__dl__ZL13call_functionPKcPFviPPcS2_ES0_") != -1) { call_function_addr = symbol.address; //LogPrint("linker->" + symbol.name + "---" + symbol.address) } } Interceptor.attach(call_function_addr, { onEnter: function (args) { var type = ptr(args[0]).readUtf8String(); var address = args[1]; var sopath = ptr(args[2]).readUtf8String(); console.log("loadso:" + sopath + "--addr:" + address + "--type:" + type); if (sopath.indexOf("libnative-lib.so") != -1) { var libnativemodule = Process.getModuleByName("libnative-lib.so");//call_function正在加载目标so，这时就拦截下来 var base = libnativemodule.base; dis(base.add(0x8D8E).add(1), 10); var patchaddr = base.add(0x8d96);//改so的机器码，避免待会完全加载后运行时就错过时机了！ Memory.patchCode(patchaddr, 4, patchaddr => { var cw = new ThumbWriter(patchaddr); cw.putNop(); cw = new ThumbWriter(patchaddr.add(0x2)); cw.putNop(); cw.flush(); }); /* Memory.protect(base.add(0x8d96),4,'rwx'); base.add(0x8d96).writeByteArray([0x00,0xbf,0x00,0xbf]);*/ console.log("+++++++++++++++++++++++") dis(base.add(0x8D8E).add(1), 10); console.log("----------------------") dis(base.add(0x8E6E).add(1), 10); Memory.protect(base.add(0x8E78), 4, 'rwx'); base.add(0x8E78).writeByteArray([0x00, 0xbf, 0x00, 0xbf]); console.log("+++++++++++++++++++++++") dis(base.add(0x8E6E).add(1), 10); } } }) } function main() { hook(); } setImmediate(main);
1、https://space.bilibili.com/10015124 MT管理器介绍 2、https://space.bilibili.com/377614938 MT管理器介绍 |
【本文地址】
今日新闻 |
推荐新闻 |