工具 ：Jadx AndroidKiller frida
熟练使用jadx ,Androidkiller frida，了解android逆向流程分析，熟悉Smali汇编以及Frida脚本编写，通过Jadx 流程分析android 中逻辑代码。AndroidKiller修改Smali汇编方式修改执行流程重新打包绕过某些逻辑条件判断，frida hook在逆向中占有重要地位，熟练掌握?frida hook基础知识是逆向必不可少的内容。
一、loginActivity
流程分析
解题
方法一：逻辑算法计算获取密码
通过逻辑算法输入用户名计算出返回的字符串即为密码。
public class Main {
? ?public static void main(String[] args) throws NoSuchAlgorithmException, InvalidKeyException {
? ? ? ?String inputs1="PwnGuo";
? ? ? String str =a(inputs1,inputs1);
?
? ? ? System.out.println("log:"+str);
? }
? ?public static String a(String str, String str2) throws InvalidKeyException, NoSuchAlgorithmException {
?
? ? ? ? ? ?SecretKeySpec secretKeySpec = new SecretKeySpec(str2.getBytes(), "HmacSHA256");
? ? ? ? ? ?Mac instance = Mac.getInstance("HmacSHA256");
? ? ? ? ? ?instance.init(secretKeySpec);
?
? ? ? ? ? ?return a(instance.doFinal(str.getBytes())) ;
? }
? ?private static String a(byte[] bArr) {
? ? ? ?StringBuilder sb = new StringBuilder();
? ? ? ?int i = 0;
? ? ? ?while (bArr != null && i < bArr.length) {
? ? ? ? ? ?String hexString = Integer.toHexString(bArr[i] & 255);
? ? ? ? ? ?if (hexString.length() == 1) {
? ? ? ? ? ? ? ?sb.append('0');
? ? ? ? ? }
? ? ? ? ? ?sb.append(hexString);
? ? ? ? ? ?i++;
? ? ? }
? ? ? ?return sb.toString().toLowerCase();
? }
}
//log:12638599104995570fcae7895cc54a57e485d9818887ba6762c5abaaebe670dc方法二：Smali 汇编修改绕过
1.AndroidKiller 直接硬编码修改成功跳过
2.AndroidKiller插桩方式输出计算后的密码成功完成
? 用户名 ：123456 密码：b8ad08a3a547e35829b821b75370301dd8c4b06bdd7771f9b541a75914068718
方法三：hook Java 层函数
通过hook a方法的返回参数获得密码
function hook_java() {
? ?Java.perform(function () {
? ? ? ?var LoginActivity = Java.use("com.example.androiddemo.Activity.LoginActivity");
? ? ? ?console.log(LoginActivity);
? ? ? ?LoginActivity.a.overload('java.lang.String', 'java.lang.String').implementation = function (str, str2) {
? ? ? ? ? ?var result = this.a(str, str2); ? ? //调用原来的函数
? ? ? ? ? ?console.log("LoginActivity.a:", str, str2, result);
? ? ? ? ? ?return result;
? ? ? };
?
? ? ? ?var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
? ? ? ?console.log(FridaActivity1);
?
? ? ? ?//hook函数，没有调用原来的函数，直接返回值
? ? ? ?FridaActivity1.a.implementation = function (barr) {
? ? ? ? ? ?console.log("FridaActivity1.a");
? ? ? ? ? ?return "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
? ? ? };
?
? ? ? ?console.log("hook_java");
? });
}二、FridaActivity1
流程分析
解题
方法一： Smali 汇编修改
直接修改onCheck()方法中返回值
?
或者修改a(byte[] bArr)方法中返回值。
方法二：hook Java 层函数
修改函数返回值或参数
function hook_java() {
? ?Java.perform(function () {
? ? ? ?var FridaActivity1 = Java.use("com.example.androiddemo.Activity.FridaActivity1");
? ? ? ?console.log(FridaActivity1);
? ? ? ?//hook函数，没有调用原来的函数，直接返回值
? ? ? ?FridaActivity1.a.implementation = function (barr) {
? ? ? ? ? ?console.log("FridaActivity1.a");
? ? ? ? ? ?return "R4jSLLLLLLLLLLOrLE7/5B+Z6fsl65yj6BgC6YWz66gO6g2t65Pk6a+P65NK44NNROl0wNOLLLL=";
? ? ? };
?
? ? ? ?console.log("hook_java");
? });
}三、FridaActivity2
流程分析
解题
通过分析 static_bool_var bool_var参数为true时第二关通关成功，修改参数或调用setStatic_bool_var()/setBool_var()方法即可
方法一：修改跳转语句
方法二：直接调用方法
?方法三：hook Java 层函数
调用静态函数和调用非静态函数
function call_FridaActivity2() {
? ?//主动调用函数
? ?Java.perform(function () {
? ? ? ?var FridaActivity2 = Java.use("com.example.androiddemo.Activity.FridaActivity2");
? ? ? ?//调用静态函数
? ? ? ?FridaActivity2.setStatic_bool_var(); ? ?
? ? ? ?//Java.choose 非静态函数调用
? ? ? ?Java.choose("com.example.androiddemo.Activity.FridaActivity2", {
? ? ? ? ? ?onMatch: function (instance) {
? ? ? ? ? ? ? ?instance.setBool_var();
? ? ? ? ? },
? ? ? ? ? ?onComplete: function () {
?
? ? ? ? ? }
? ? ? });
? });
}四、FridaActivity3
流程分析
静态/非静态成员变量通过满足if语句使通关成功
在Smali汇编中静态成员变量与非静态成员变量区别
?
解题
方法一：修改成员变量boolan值
方法二：设置成员变量
设置静态成员变量，非静态成员变量和函数名相同的成员变量
function call_FridaActivity3() {
? ?Java.perform(function () {
? ? ? ?var FridaActivity3 = Java.use("com.example.androiddemo.Activity.FridaActivity3");
? ? ? ?//设置静态成员变量
? ? ? ?FridaActivity3.static_bool_var.value = true; ? ? ?
? ? ? ?console.log(FridaActivity3.static_bool_var.value);
? ? ? ?Java.choose("com.example.androiddemo.Activity.FridaActivity3", {
? ? ? ? ? ?onMatch: function (instance) {
? ? ? ? ? ? ? ?//设置非静态成员变量的值
? ? ? ? ? ? ? ?instance.bool_var.value = true;
? ? ? ? ? ? ? ?//设置有相同函数名的成员变量的值
? ? ? ? ? ? ? ?instance._same_name_bool_var.value = true;
? ? ? ? ? ? ? ?console.log(instance.bool_var.value, instance._same_name_bool_var.value);
? ? ? ? ? },
? ? ? ? ? ?onComplete: function () {
? ? ? ? ? }
? ? ? });
? });
}五、FridaActivity4
流程分析
解题
方法一：Smali修改返回值
方法二：hook 内部类
//方式一
function hook_InnerClasses() {
? ?Java.perform(function () {
? ? ? ?
? ? ? ?var InnerClasses = Java.use("com.example.androiddemo.Activity.FridaActivity4$InnerClasses");
? ? ? ?console.log(InnerClasses);
? ? ? ?InnerClasses.check1.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?InnerClasses.check2.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?InnerClasses.check3.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?InnerClasses.check4.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?InnerClasses.check5.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?InnerClasses.check6.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? });
}
//方式二
//枚举类的函数
function hook_enum_function() {
? ?Java.perform(function () {
? ? ? ?//hook 类的多个函数
? ? ? ?var class_name = "com.example.androiddemo.Activity.FridaActivity4$InnerClasses";
? ? ? ?var InnerClasses = Java.use(class_name);
? ? ? ?var all_methods = InnerClasses.class.getDeclaredMethods();
? ? ? ?for (var i = 0; i < all_methods.length; i++) {
? ? ? ? ? ?var method = (all_methods[i]);
? ? ? ? ? ?var methodStr = method.toString();
? ? ? ? ? ?var substring = methodStr.substr(methodStr.indexOf(class_name) + class_name.length + 1);
? ? ? ? ? ?var methodname = substring.substr(0, substring.indexOf("("));
? ? ? ? ? ?console.log(methodname);
? ? ? ? ? ?InnerClasses[methodname].implementation = function () {
? ? ? ? ? ? ? ?console.log("hook_mul_function:", this);
? ? ? ? ? ? ? ?return true;
? ? ? ? ? }
? ? ? }
? });
}六、FridaActivity5
流程分析
动态加载dex ，调用check()方法，返回参数满足条件语句通关成功。
解题
方法一：Smali修改条件语句
getDynamicDexCheck()接口调用判断成立，只需修改check()方法满足条件。
方法二：hook动态加载的Dex
function hook_dyn_dex() {
? ?Java.perform(function () {
? ? ? ?var FridaActivity5 = Java.use("com.example.androiddemo.Activity.FridaActivity5");
? ? ? ?Java.choose("com.example.androiddemo.Activity.FridaActivity5", {
? ? ? ? ? ?onMatch: function (instance) {
? ? ? ? ? ? ? ?console.log(instance.getDynamicDexCheck().$className);
? ? ? ? ? }, onComplete: function () {
?
? ? ? ? ? }
? ? ? });
? ? ? ?//hook 动态加载的dex
? ? ? ?Java.enumerateClassLoaders({
? ? ? ? ? ?onMatch: function (loader) {
? ? ? ? ? ? ? ?try {
? ? ? ? ? ? ? ? ? ?if (loader.findClass("com.example.androiddemo.Dynamic.DynamicCheck")) {
? ? ? ? ? ? ? ? ? ? ? ?console.log(loader);
? ? ? ? ? ? ? ? ? ? ? ?Java.classFactory.loader = loader; ? ? ?//切换classloader
? ? ? ? ? ? ? ? ? }
? ? ? ? ? ? ? } catch (error) {
?
? ? ? ? ? ? ? }
?
? ? ? ? ? }, onComplete: function () {
? ? ? ? ? }
? ? ? });
? ? ? ?var DynamicCheck = Java.use("com.example.androiddemo.Dynamic.DynamicCheck");
? ? ? ?console.log(DynamicCheck);
? ? ? ?DynamicCheck.check.implementation = function () {
? ? ? ? ? ?console.log("DynamicCheck.check");
? ? ? ? ? ?return true;
? ? ? }
? });
}七、FridaActivity6
流程分析
解题
方法一：Smali修改条件语句
方法二：hook java类
//方式一：直接返回参数为真
function hook_FridaActivity6() {
? ?Java.perform(function () {
? ? ? ?var Frida6Class0 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class0");
? ? ? ?Frida6Class0.check.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?var Frida6Class1 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class1");
? ? ? ?Frida6Class1.check.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? ? ? ?var Frida6Class2 = Java.use("com.example.androiddemo.Activity.Frida6.Frida6Class2");
? ? ? ?Frida6Class2.check.implementation = function () {
? ? ? ? ? ?return true;
? ? ? };
? });
}
//方式二：枚举class
function hook_enum_class() {
? ?Java.perform(function () {
? ? ? ?Java.enumerateLoadedClasses({
? ? ? ? ? ?onMatch: function (name, handle) {
? ? ? ? ? ? ? ?if (name.indexOf("com.example.androiddemo.Activity.Frida6") >= 0) {
? ? ? ? ? ? ? ? ? ?console.log(name);
? ? ? ? ? ? ? ? ? ?var fridaclass6 = Java.use(name);
? ? ? ? ? ? ? ? ? ?fridaclass6.check.implementation = function () {
? ? ? ? ? ? ? ? ? ? ? ?console.log("frida 6 check:", this);
? ? ? ? ? ? ? ? ? ? ? ?return true;
? ? ? ? ? ? ? ? ? };
? ? ? ? ? ? ? }
? ? ? ? ? }, onComplete: function () {
? ? ? ? ? }
? ? ? })
? });
}
?