Android逆向破解入门

Stella981
• 阅读 960

前言

前年的时候搞过一点Android逆向,好久没搞了,最近有个哥们让我帮他做个Android逆向的小题目,于是拾起来Android逆向的知识重新来搞搞吧,这个apk十分简单,属于入门级的Android逆向分析程序,所以本文面向的对象主要是想涉足Android逆向的读者,让读者能够了解一下Android逆向是怎么回事。我这里附上apk文件,感兴趣的最好下载下来实操一下:

https://pan.baidu.com/s/17d7zKMjh8rKjj9mUl3J_0Q

提取码:htrx

引言

Android程序一般是使用Java语言开发,通过生成一个apk文件安装到Android手机上来运行,apk我们很容易获得,我们通过使用一些反汇编工具可以得知apk文件内部的逻辑,甚至得到他最初的Java源代码(不完全等同于开发时的源代码,但是大体上相同)。同时,也可以通过反汇编工具得到类似于smali代码,smali代码是一种类似于汇编语言的代码,适合机器执行,但对于程序员来说就相对晦涩难懂了。

首先,使用apktools和jad-gui工具或者Androidkiller得到反汇编后的smali代码和java代码,这两款工具可以很容易在网上搜到,使用方法也很简单,这里就不赘述了。下面开始进入代码分析阶段,java代码比较容易看懂,所以这里就先上java代码吧:

通过java得到flag

通过上述两款工具得到的MainActivity的java源码如下所示:

package com.a.sample.androidtest;

import android.content.Context;
import android.os.Bundle;
import android.support.v7.app.AppCompatActivity;
import android.view.View;
import android.view.View.OnClickListener;
import android.widget.EditText;
import android.widget.Toast;

public class MainActivity extends AppCompatActivity {
    private EditText editText;
    private byte[] s = new byte[]{(byte) 113, (byte) 123, (byte) 118, (byte) 112, (byte) 108, (byte) 94, (byte) 99, (byte) 72, (byte) 38, (byte) 68, (byte) 72, (byte) 87, (byte) 89, (byte) 72, (byte) 36, (byte) 118, (byte) 100, (byte) 78, (byte) 72, (byte) 87, (byte) 121, (byte) 83, (byte) 101, (byte) 39, (byte) 62, (byte) 94, (byte) 62, (byte) 38, (byte) 107, (byte) 115, (byte) 106};

    public boolean check() {
        byte[] chars = this.editText.getText().toString().getBytes();
        if (chars.length != this.s.length) {
            return false;
        }
        int i = 0;
        while (i < this.s.length && i < chars.length) {
            if (this.s[i] != (chars[i] ^ 23)) {
                return false;
            }
            i++;
        }
        return true;
    }

    protected void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        setContentView((int) R.layout.activity_main);
        final Context context = this;
        this.editText = (EditText) findViewById(R.id.edit_text);
        findViewById(R.id.button).setOnClickListener(new OnClickListener() {
            public void onClick(View v) {
                if (MainActivity.this.check()) {
                    Toast.makeText(context, "You got the flag!", 1).show();
                } else {
                    Toast.makeText(context, "Sorry your flag is wrong", 1).show();
                }
            }
        });
    }
}

猛一看这一段代码可能有点懵,没那个耐心去看这段代码在干嘛,这里可以先尝试使用安卓模拟器运行后观察一下程序的运行逻辑,打开后发现是一个输入框,然后一个check按钮。如图所示:
Android逆向破解入门
再结合代码进行分析可知,当点击check按钮时,会触发onClick函数,即如下代码段:

if (MainActivity.this.check()) {
                    Toast.makeText(context, "You got the flag!", 1).show();
                } else {
                    Toast.makeText(context, "Sorry your flag is wrong", 1).show();

由此可知如果check函数返回true,会提示You got the flag! 否则,提示Sorry your flag is wrong。下面对check函数进行分析:

public boolean check() {
        byte[] chars = this.editText.getText().toString().getBytes();
        if (chars.length != this.s.length) {
            return false;
        }
        int i = 0;
        while (i < this.s.length && i < chars.length) {
            if (this.s[i] != (chars[i] ^ 23)) {
                return false;
            }
            i++;
        }
        return true;
    }

其中,this.s是一个byte型的数组:

private byte[] s = new byte[]{(byte) 113, (byte) 123, (byte) 118, (byte) 112, (byte) 108, (byte) 94, (byte) 99, (byte) 72, (byte) 38, (byte) 68, (byte) 72, (byte) 87, (byte) 89, (byte) 72, (byte) 36, (byte) 118, (byte) 100, (byte) 78, (byte) 72, (byte) 87, (byte) 121, (byte) 83, (byte) 101, (byte) 39, (byte) 62, (byte) 94, (byte) 62, (byte) 38, (byte) 107, (byte) 115, (byte) 106};

首先看到check函数先是检查输入的flag和s数组的长度是否相等,之后进行while循环,其中if中的判断条件为:

this.s[i] != (chars[i] ^ 23)

这里^指的是二进制按位异或。这样整个逻辑就分析清楚了,那么如何得到正确的flag呢?

有一个需要记住的实用技巧,就是两次按位异或运算会得到自身,所以我们对s数组再进行一次异或即可得到真实的flag;python脚本如下:

# -*- coding: utf-8 -*-
def ascii2str():
    asciis=[113,123,118,112,108,94,99,72,38,68,72,87,89,72,36,118,100,78,72,87,121,83,101,39,62,94,62,38,107,115,106]
    strs=[]
    for ascii in asciis:
        str=chr(ascii^23)
        strs.append(str)
    print(''.join(strs))

if __name__ == '__main__':
    print("begin!")
    ascii2str()
    print("finished!")

运行后输出结果为:flag{It_1S@N_3asY@nDr0)I)1|d},
Android逆向破解入门
输入后可知显示You got the flag!如图所示:
Android逆向破解入门

通过smali修改跳转进行破解

前面提到除了Java源码,还有smali代码,那既然对Java源码都已经分析清楚了,为啥还要看smali代码?smali的好处在于能回编译,实现破解效果,即不需要对他的算法进行分析,无需知道真实的flag即可让他显示You got the flag!那么我们就用smali来搞一下;

MainActivity的smali源码check函数如下所示:

.method public check()Z
    .locals 5

    .prologue
    const/4 v2, 0x0

    .line 15
    iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->editText:Landroid/widget/EditText;

    invoke-virtual {v3}, Landroid/widget/EditText;->getText()Landroid/text/Editable;

    move-result-object v3

    invoke-virtual {v3}, Ljava/lang/Object;->toString()Ljava/lang/String;

    move-result-object v3

    invoke-virtual {v3}, Ljava/lang/String;->getBytes()[B

    move-result-object v0

    .line 16
    .local v0, "chars":[B
    array-length v3, v0

    iget-object v4, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B

    array-length v4, v4

    if-eq v3, v4, :cond_1

    .line 22
    :cond_0
    :goto_0
    return v2

    .line 18
    :cond_1
    const/4 v1, 0x0

    .local v1, "i":I
    :goto_1
    iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B

    array-length v3, v3

    if-ge v1, v3, :cond_2

    array-length v3, v0

    if-ge v1, v3, :cond_2

    .line 19
    iget-object v3, p0, Lcom/a/sample/androidtest/MainActivity;->s:[B

    aget-byte v3, v3, v1

    aget-byte v4, v0, v1

    xor-int/lit8 v4, v4, 0x17

    if-ne v3, v4, :cond_0

    .line 18
    add-int/lit8 v1, v1, 0x1

    goto :goto_1

    .line 22
    :cond_2
    const/4 v2, 0x1

    goto :goto_0
.end method

看起来比Java源码难懂了很多,其实我们目前只需要知道一些关键语句的含义就够了,当然后面如果想深入学习肯,smali代码越熟悉越好,这里对这里的部分smali进行解释一下,.method public check()Z 中的Z表示这是bool类型的函数;.locals 5 表明了在这个函数中最少要用到的本地寄存器的个数。.line 15 表明了该代码在原Java文件中的行数。其余的命令我也忘记了不少,为了避免误人子弟,我就大概解释一下主要的内容吧?

invoke-virtual {v3}, Landroid/widget/EditText;->getText()Landroid/text/Editable;

invoke-virtual是调用函数,invoke-static后面有一对大括号“{}”,其实是调用该方法的实例+参数列表。对v3进行分析就会发现它就是我们输入框输入的flag,v4就是上述数组里的s;看到这里:

if-eq v3, v4, :cond_1

Android逆向破解入门
其实我们已经找到了跳转点,if-eq 也就是v3 v4相等时跳转到某处,那么如果我们把它直接改成不相等时跳转,岂不是输入除真实的flag外的任何值都会提示You got the flag! 那我们就来试试直接将if-eq改成if-ne,然后使用Androidkiller中的回编译功能,对他进行签名,重新安装运行,发现随便输入都提示You got the flag!
Android逆向破解入门

点赞
收藏
评论区
推荐文章
Python进阶者 Python进阶者
2年前
手把手教你进行安卓逆向之篡改apk名称和图标
前言Hey,大家好呀,我是码农,星期八!最近假装是时间多了吧,打算学习安卓逆向相关的。先小试牛刀了一下,如何篡改app的名称和图标,一起来了解一下吧!环境app土豆.apk逆向工具AndroidKillerv1.3.1篡改app名先看一下我们正常的app打开工具AndroidKiller,将土豆.apk拖拽进去,时间会比较长...不进行工程分析
李志宽 李志宽
2年前
黑客赚钱的路子有多野?CTF逆向入门指南
1、背景在CTF比赛中,CTF逆向题目除了需要分析程序工作原理,还要根据分析结果进一步求出FLAG。逆向在解题赛制中单独占一类题型,同时也是PWN题的前置技能。在攻防赛制中常与PWN题结合。CTF逆向主要涉及到逆向分析和破解技巧,这也要求有较强的反汇编、反编译、加解密的功底。CTF中的逆向题目一般常见考点1、常见算法与数据结构。2、各种排序算法,树,
Stella981 Stella981
3年前
Android逆向流程Android逆向分析大全
Android逆向流程0.写在前面本文是笔者自学笔记,以破解某目标apk的方式进行学习,中间辅以原理性知识,方便面试需求。参考文章的原文链接会附在相应流程位置,方便阅读学习。逆向分析流程.jpg1.获取目标apk第一步是拿到目标安装包文件,这一步很简单,可以在主流的第三方市场
待兔 待兔
5个月前
手写Java HashMap源码
HashMap的使用教程HashMap的使用教程HashMap的使用教程HashMap的使用教程HashMap的使用教程22
Stella981 Stella981
3年前
Android逆向之静态分析
想必打过CTF的小伙伴多多少少都触过Android逆向,所以斗哥将给大家整一期关于Android逆向的静态分析与动态分析。本期先带来Android逆向的静态分析,包括逆向工具使用、文件说明、例题解析等。Android逆向就是反编译的过程,因为看不懂Android正向编译后的结果所以CTF中静态分析的前提是将出现文件反编译到我们看得懂一
东方客主 东方客主
3年前
Android输入法遮挡了输入框,使用android:fitsSystemWindows="true"后界面顶部出现白条
问题1、页面布局文件:<LinearLayoutxmlns:android"http://schemas.android.com/apk/res/android"android:id"@id/layoutorderdetail"android:layoutwidth"matchparent"android:layoutheigh
Stella981 Stella981
3年前
Android逆向之路
前言众所周知,现在软件在防止逆向采取了混淆,加壳等措施。比如360加固,腾讯加固,梆梆加固等等。这两天在逆向一款app的时候找到了一个不错的xposed插件推荐给大家,下载地址:点我下载(https://www.oschina.net/action/GoToLink?urlhttps%3A%2F%2Fpan.baidu.com%2Fs%
Android逆向前期准备
本公众号分享的所有技术仅用于学习交流,请勿用于其他非法活动,如果错漏,欢迎留言指正《Android软件安全与逆向分析》丰生强《Android应用安全防护和逆向分析》姜维Android逆向前期准备一、前置知识为什么学习安卓逆向1.学习研究去广告破解内购自动化
Stella981 Stella981
3年前
Android So动态加载 优雅实现与原理分析
背景:漫品Android客户端集成适配转换功能(基于目标识别(So库35M)和人脸识别库(5M)),导致apk体积50M左右,为优化客户端体验,决定实现So文件动态加载.!(https://oscimg.oschina.net/oscnet/00d1ff90e4b34869664fef59e3ec3fdd20b.png)点击上方“蓝字”关注我
Stella981 Stella981
3年前
Android选项卡TabHost功能和用法
1、布局文件<TabHostxmlns:android"http://schemas.android.com/apk/res/android"xmlns:tools"http://schemas.android.com/tools"android:id"@android:id/tabhost"