《教我兄弟学Android逆向09 IDA动态破解登陆验证》

会飞的丑小鸭 · 发表于 2018-5-22 16:47

本帖最后由会飞的丑小鸭于 2018-6-8 16:39 编辑

上一篇《教我兄弟学Android逆向08 IDA爆破签名验证》我带你熟悉了IDA工具的使用,并且用IDA爆破了so层的签名校验我给你布置的课后作业你也用上节课的方法做出来了看你上节课学习的不错那么这节课给你带来IDA动态调试so的教程。
你看着我激动地说大哥,本节课我已经期待很久了,终于来了！！我要认真听课！
要么学！要么不学！学和不学之间没有中间值不学就放弃,学就要去认真的学！ --致选择
下面开始今天的教程:
首先把黑宝宝apk安装到手机上随便输入一个用户名和密码程序弹框“登陆失败” 于是在jeb中搜索登陆失败发现搜索不到于是猜想字符串可能是在so中于是开始分析:
注:黑宝宝apk可在附件下载。

一 JEB反编译APK 静态分析Java代码
关于JEB的使用教程可以看番外《教我兄弟学Android逆向番外02 jeb工具的使用》
1.jeb打开黑宝宝.apk 打开AndroidManifest.xml查看程序入口这里 android:debuggable="true"表示此apk可以动态调试如果是false动态调试的时候需要改成true，否则不可被动态调试。

1.1.png

2.找到MainActivity入口类并反编译成java代码通过静态分析java代码可知用户在输入用户名和密码后程序会调用Native方法check来校验用户名和密码是否正确。
1.2_1.png

二 IDA静态分析找位置
1.解压黑宝宝软件找到lib\armeabi\libJniTest.so 并用IDA打开找到check函数并分析此函数，不会用IDA的请从前面课程开始学起
2.1_1.png

小结
经过以上分析在输入用户名和密码后程序会调用libJniTest.so中的check方法校验用户名和密码是否正确如果正确check方法返回字符串登陆成功,否则返回字符串登录失败。
这里有两种思路:
(1)像上节课爆破签名一样修改so的16进制改程序的跳转逻辑实现破解
(2)动态调试so 在程序运行的时候改变程序的跳转逻辑

三 IDA动态调试
对命令不了解的点击《教我兄弟学Android逆向番外03 Android逆向必会命令》
1. 将IDAPro\dbgsrv 目录下的android_server push 到手机/data/local/tmp/目录下给777权限并./运行。

3.1_1.png

2.端口转发命令adb forward tcp:23946 tcp:23946
3.2.png

3.手机上运行黑宝宝apk。
4.打开IDA找到黑宝宝程序的包名进行附加程序。

3.4_1.png

5.在modules窗口中Ctrl+F搜索找到libJniTest.so 点进去会有so中的函数方法的列表找到check方法并点击查看Debug窗口的汇编代码。
3.5_1.png

6 按F5将ARM汇编转换成c语言导入jni.h文件并优化代码的可读性。
3.6_1.png

7.F5转换成C语言后再按一次F5键刷新一下代码这里可以看到程序已经识别出来了strcmp函数。
3.7.png

8.按Esc键返回到汇编视图分析check函数汇编可以看到三处strcmp分别是校验签名,用户名,和密码是否正确由于我用的是原包测试所以这里签名是正确的这里在校验用户名和密码处的strcmp分别下一个断点。
3.8_1.png

9.按F9运行程序然后在手机正在运行的黑宝宝程序随便输入一个用户名和密码用户名:hfdcxy 密码:52pojie 点击登录看到程序断在了第一个strcmp处此时R0和R1寄存器分辨是strcmp函数的两个参数鼠标先点击Hex View-1窗口然后再点击R0寄存器后面的跳转地址即可在Hex窗口中看到我刚刚输入的hfdcxy和寄存器R1储存正确的用户名koudai
3.9_1.png

小结
跟到这一步我们已经把黑宝宝apk用IDA给动态调试起来了也学会了IDA怎么下断点但是到这里本节课就要结束了吗？当然不是由于我们的目的是动态调试破解程序也就是输入错误的用户名会提示登陆成功所以教程还在继续还请同学们认真听课。

四.置标志位破解
1. 置标志位改变程序执行逻辑。
4.1.png

2.重复上述步骤 F9继续运行,程序断在第二个strcmp处这个strcmp是用来比较密码是否正确的同样F8执行本条指令把R0寄存器置为0 强制让strcmp返回0 然后F9运行程序可以看到手机弹出登陆成功。

五.修改内存16进制破解
1.在Hex窗口中看R1寄存器地址存的正确用户名koudai对应的16进制为6B 6F 75 64 61 69
5.1.png

2.把R0寄存器地址内容修改成R1寄存器地址的内容修改完之后F9运行程序看到程序跳转到了下面一个strcmp
5.2.png

3.同样把下面密码校验的strcmp函数R0寄存器地址所存值的16进制改成R1寄存器地址所存值的16进制修改完成后F9运行程序可以看到手机弹出登陆成功。

六.总结
本节课使用Jeb+IDA两个工具的组合带你分析了黑宝宝apk 然后使用命令和IDA进行配合完成了对黑宝宝进程的附加实现了用IDA动态调试so 最后用两种方法完成了对黑宝宝登陆程序的破解。相信学完本节课你的收获一定很多,那么趁热打铁把课后作业做了吧。

课后作业
1.完成对重打包后的黑宝宝apk登陆程序的破解
2. 看完《IDA Pro权威指南》剩下的内容

下一篇：《教我兄弟学Android逆向10 静态分析反调试apk》

飞天蜗牛 · 发表于 2018-5-22 16:56

非常感谢楼主不断更新，楼主加油，我们一直支持你

lianziheqing · 发表于 2018-5-26 20:23

一步一个坑，运行的时候， ./android_server 时候报 error: only position independent executables (PIE) are supported. 度娘了一下说要修改android.mk什么的，有没有遇到同样问题的

Vegetable_Cat · 发表于 2019-4-11 22:06

704357815 发表于 2019-4-10 13:33
哪位大佬解释一下这是什么鬼，File->Load File->Parse c Header....的时候出现的

https://blog.csdn.net/miao_007/article/details/89221290

大野猪CJ · 发表于 2019-1-29 16:27

会飞的丑小鸭发表于 2019-1-29 16:20
你这里应该是没有关闭手机防火墙导致的,Android5.0以上的机器每次开机会默认打开系统防火墙,,Android系统 ...

作家您好，非常感谢你的无私分享，每一篇文章我都仔细看了并且动手实验，我用的是夜神模拟器调试

Aimers · 发表于 2018-5-22 16:49

前排，赞一个

郑志灿 · 发表于 2018-5-22 16:52

前排，赞一个

wszdzdalzl · 发表于 2018-5-22 17:03

非常感谢楼主不断更新，楼主加油，我们一直支持你

Mcaki · 发表于 2018-5-22 17:06

可以的！！！

回不去的时光 · 发表于 2018-5-22 17:23

mark 下

cosxiaobaitu · 发表于 2018-5-22 17:46

学习了学习了仔细看很有深度

181842 · 发表于 2018-5-22 18:15

感谢发布原创作品，吾爱破解论坛因你更精彩！

markfinad · 发表于 2018-5-23 09:26

感谢分享，学习学习!

帐号		自动登录	找回密码
密码			注册[Register]

[Android 原创] 《教我兄弟学Android逆向09 IDA动态破解登陆验证》

点评

免费评分

本帖被以下淘专辑推荐:

个人中心