吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 11443|回复: 19
收起左侧

[Android 原创] 某安全SDK的ARM级VMP简单分析

  [复制链接]
无名侠 发表于 2017-6-29 03:15
本帖最后由 无名侠 于 2017-6-29 03:18 编辑

样本来源于阿里安全SDK,APP为狼人杀,这个样本并不算真正的VMP,但是有VM的影子,非常值得学习。

阿里安全SDK的libsgmainso-5.3.38.so提取方法:
解压APP,定位lib目录,找到libsgmain.so,该so实际是一个apk文件。将该apk解压后,就能在lib目录中找到真实SO。

样本SO ELF文件节表有问题,IDA无法正常打开,进行简单修复即可。

修复方法:
打开010 套模板,Elf32_Half e_shnum置0即可。

运作原理:

图片1.png



其中有一张表,该表记录了opcode对应Handler的偏移地址。

Handler地址计算:
Vm_table 为该表起始地址。
Vm_base 为一个对齐地址等于Vm_table + 1
Offset = vm_table[opcode * 4]
HandlerAddr = offset + vm_base
Opcode字节码不集中,采用指令链接形式把所有opcode串联起来。

本文样本的解析部分结果(手动计算):
Op Handler
1D CF9D
1E D3B3
10 D264
2B D5F4
25 D4F0
2A D5CC
0C 01F8
29 .....
...       ....
可以根据前面的公式自行写一个脚本提取Opcode。

Op 链接例子:例如0x1E的Handler 0xD3B3中,在主要代码执行后,有一条指令来设置下一条指令的Opcode 0x10。如图:

图片2.png
所以,0x1E的下一条指令为0x10。




分析JNI_OnLoad 函数,单步一小会有如下风景:
图片3.png
我们可以在这里清晰的看到虚拟机入口和第一条指令设置的代码以及VM相关的数据。


函数sub_8ccA0 为重要函数(忽略转移代码)
图片4.png 自行看注释理解吧
libsgmainso-5.3.38.zip (326.51 KB, 下载次数: 147)

免费评分

参与人数 13威望 +2 吾爱币 +27 热心值 +13 收起 理由
2864095098 + 1 + 1 热心回复!
ZF0806 + 1 热心回复!
chenjingyes + 1 + 1 已经处理,感谢您对吾爱破解论坛的支持!
海盗小K + 3 + 1 厉害了我的哥
MagicnoBob + 1 + 1 谢谢@Thanks!
KaQqi + 3 + 1 膜拜
zhuzaiting + 1 + 1 谢谢@Thanks!
MXWXZ + 2 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
qtfreet00 + 2 + 12 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
欧阳锋锋 + 1 + 1 用心讨论,共获提升!
1154h + 1 + 1 看晕了
夏雨微凉 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
snccwt + 1 热心回复!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

梦幻的彼岸 发表于 2017-6-29 06:18 来自手机
蒙圈了 我还要努力啊  楼主学的是c语言吗
emsAron 发表于 2017-6-29 07:26
snccwt 发表于 2017-6-29 08:15
夏雨微凉 发表于 2017-6-29 08:35
感谢分享经验教程!
by92926 发表于 2017-6-29 08:48
感谢楼主分享经验!
头像被屏蔽
yuan71058 发表于 2017-6-29 10:13
提示: 作者被禁止或删除 内容自动屏蔽
夏末moent 发表于 2017-6-29 10:19
感谢发布原创作品,吾爱破解论坛因你更精彩!
zhuzaiting 发表于 2017-6-29 16:38
感谢楼主分享
6767 发表于 2017-6-29 19:17
vmp逐渐要成为更强的android保护机制了
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-28 20:56

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表