Android.Hook框架Cydia篇(脱壳机制作)

注:框架有风险,使用要谨慎.

Substrate是一个代码修改平台.它可以修改任何主进程的代码,不管是用Java还是C/C++(native代码)编写的.而Xposed只支持HOOK app_process中的java函数,因此Cydia Substrate是一款强大而实用的HOOK工具.

官网地址:http://www.cydiasubstrate.com/

官方教程:http://www.cydiasubstrate.com/id/38be592b-bda7-4dd2-b049-cec44ef7a73b

SDK下载地址:http://asdk.cydiasubstrate.com/zips/cydia_substrate-r2.zip

0x00Hook Java 层


之前讲解过 xposed 的用法为啥还要整这个了,下面简单对比两款框架.想了解之前 xposed 篇的可以看这里:http://drops.wooyun.org/tips/7488

劣势:

  • 没啥错误提醒,排错比较麻烦.
  • 需要对 NDK 开发有一定了解,相对 xposed 模块的开发学习成本高一些.
  • 因为不开源网上(github)上可以参考的模块代码很少.

优势:

  • 可以对 native 函数进行 hook .
  • 与 xposed hook 原理不一样,因为不是开源具体原理我也不清楚. 结果就是一些Anti hook 可能对 xposed 有效而对 Cydia 无效.

使用方法


1.安装框架app:http://www.cydiasubstrate.com/download/com.saurik.substrate.apk

2.创建一个空的Android工程.由于创建的工程将以插件的形式被加载,所以不需要activity.将SDK中的substrate-api.jar复制到project/libs文件夹中.

3.配置Manifest文件

4.创建一个类,类名为Main.类中包含一个static方法initialize,当插件被加载的时候,该方法中的代码就会运行,完成一些必要的初始化工作.

5.hook imei example

6.在 cydia app 界面中点击 Link Substrate Files 之后重启手机

7.使用getimei的小程序验证imei是否被改变

8.关键api介绍

MS.hookClassLoad:该方法实现在指定的类被加载的时候发出通知(改变其实现方式?).因为一个类可以在任何时候被加载,所以Substrate提供了一个方法用来检测用户感兴趣的类何时被加载.

这个api需要实现一个简单的接口MS.ClassLoadHook,该接口只有一个方法classLoaded,当类被加载的时候该方法会被执行.加载的类以参数形式传入此方法.

参数 描述
name 包名+类名,使用java的.符号(被hook的完整类名)
hook MS.ClassLoadHook的一个实例,当这个类被加载的时候,它的classLoaded方法会被执行.

 

MS.hookMethod:该API允许开发者提供一个回调函数替换原来的方法,这个回调函数是一个实现了MS.MethodHook接口的对象,是一个典型的匿名内部类.它包含一个invoked函数.

1
void hookMethod(Class _class, Member member, MS.MethodHook hook, MS.MethodPointer old);
参数 描述
_class 加载的目标类,为classLoaded传下来的类参数
member 通过反射得到的需要hook的方法(或构造函数). 注意:不能HOOK字段 (在编译的时候会进行检测).
hook MS.MethodHook的一个实例,其包含的invoked方法会被调用,用以代替member中的代码

0x01Hook Native 层


这块的功能 xposed 就不能实现啦.

整个流程大致如下:

  • 创建工程,添加 NDK 支持
  • 将 cydia 的库和头文件加入工程
  • 修改 AndroidManifest配置文件
  • 修改Android.md
  • 开发模块
    • 指定要hook 的 lib 库
    • 保留原来的地址
    • 替换的函数
    • Substrate entry point
      • MSGetImageByName or dlopen
      • MSFindSymbol or dlsym or nlist 指定方法,得到开始地址
      • MSHookFunction 替换函数

使用方法


**第零步:添加 ndk 支持,将 cydia 的库和头文件加入工程

有关 ndk 开发的基础可以参考此文: NDK入门篇

注意要是 xxx.cy.cpp,不要忘记.cy

其实应该是动态链接库名称中的 cy 必须有,所有在 Android.md 中module 处的 .cy 必须带上咯

第一步:修改配置文件

设置 android:hasCode 属性 false,设置android:installLocation属性internalOnly”

第二步:指定要 hook 的 lib 库

设置要 hook 的可执行文件或者动态库

第三步: 等待 class

第四步:修改实现


下面是步骤是在官网教程基础上对小白同学的一些补充吧.

第五步

复制libsubstrate-dvm.so(注意 arm 和 x86平台的选择)和substrate.h到 jni 目录下.创建SuperMathHook.cy.cpp文件

第六步

配置Android.mk文件

加入 c 的 lib

strings 查看下里面的函数.

脱壳机模块发开


网上流传的 IDA dump 脱壳流程大致如下:

  • 对/system/lib/libdvm.so 方法JNI_OnLoad/dvmLoadNativeCode/dvmDexFileOpenPartial下断点分析
  • IDA 附加 app (IDA6.5以及之后版本)
  • Ctrl+s 查看基地址+偏移
  • IDA 分析寻找 dump 点
  • F8/F9执行到dex完全被解密到内存中时候进行 dump

现在目标就是通过 Cydia 的模块来自动化完成这个功能.这里咱选择对dvmDexFileOpenPartial函数进行 hook.至于为什么要选择这里了?这就需要分析下 android dex优化过程


Android会对每一个安装的应用的dex文件进行优化,生成一个odex文件.相比于dex文件,odex文件多了一个optheader,依赖库信息(dex文件所需要的本地函数库)和辅助信息(类索引信息等).

dex的优化过程是一个独立的功能模块来实现的,位于http://androidxref.com/4.4.3_r1.1/xref/dalvik/dexopt/OptMain.cpp#57 其中extractAndProcessZip()函数完成优化操作.

http://androidxref.com/4.1.1/xref/dalvik/dexopt/OptMain.cpp

OptMain中的main函数就是加载dex的最原始入口

可以看到,这里会分别对3中类型的文件做不同处理,我们关心的是dex文件,所以接下来看看fromDex函数:

这个函数先初始化了一个虚拟机,然后调用dvmContinueOptimization函数/dalvik/vm/analysis/DexPrepare.cpp,进入这个函数:


 

这个函数中对Dex文件做了一些优化(如字节重排序,结构对齐等),然后重新写入Dex文件.如果优化成功的话接下来调用dvmDexFileOpenPartial,而这个函数中调用了真正的Dex文件.在具体看看这个函数/dalvik/vm/DvmDex.cpp


 

这个函数的前两个参数非常关键,第一个参数是dex文件的起始地址,第二个参数是dex文件的长度,有了这两个参数,就可以从内存中将这个dex文件dump下来了,这也是在此函数下断点的原因.该函数会调用dexFileParse()对dex文件进行解析

所以在dexFileParse函数处来进行 dump 也是可行的.但是因为这个函数的原型是

其返回值为一个结构体指针struct DexFile { … },要 hook 这个函数得把结构体从 android 源码中扣出来或者直接改镜像.

找到dvmDexFileOpenPartial函数在 libdvm.so 对应的名称

有了上述理论基础,现在可以正式开发模块了.大致流程如下

  • 指定要hook 的 lib 库
  • Original method template 原函数模板
  • Modified method 替换的函数
  • Substrate entry point
    • MSGetImageByName or dlopen 载入lib得到 image
    • MSFindSymbol or dlsym or nlist 指定方法,得到开始地址
    • MSHookFunction 替换函数

完整代码


 

效果如下:

脱壳机模块改进一

更改 hook 点为 dexFileParse,上文已经讲解了为啥也可以选择这里.也分析了 dex 优化的过程,这里在分析下 dex 加载的过程.

DexClassLoader广泛被开发者用于插件的动态加载.而PathClassLoader几乎没怎么见过.

因为PathClassLoader 没有提供优化 dex 的目录而是固定将 odex 存放到 /data/dalvik-cache 中 ,故它只能加载已经安装到 Android 系统中的 apk 文件,也就是 /data/app 目录下的 apk 文件.

PathClassLoader 和 DexClassLoader 父类为 BaseDexClassLoader

http://androidxref.com/4.4.2_r1/xref/libcore/dalvik/src/main/java/dalvik/system/BaseDexClassLoader.java


 

http://androidxref.com/4.4.2_r1/xref/libcore/dalvik/src/main/java/dalvik/system/DexPathList.java


 

http://androidxref.com/4.4.2_r1/xref/libcore/dalvik/src/main/java/dalvik/system/DexFile.java


 

调用 native 函数 native private static int openDexFileNative(String sourceName, String outputName, int flags)


 

http://androidxref.com/4.4.2_r1/xref/dalvik/vm/native/dalvik_system_DexFile.cpp


 

http://androidxref.com/4.4.2_r1/xref/dalvik/vm/RawDexFile.cpp


 

http://androidxref.com/4.4.4_r1/xref/dalvik/vm/DvmDex.cpp


 

http://androidxref.com/4.4.4_r1/xref/dalvik/libdex/DexFile.cpp


 

方法openDexFile里通过dvmDexFileOpenFromFd函数调用dexFileParse函数,分析Dex文件里每个类名称和类的代码所在索引,然后dexFileParse调用函数dexParseOptData来把类名称写对象pDexFile->pClassLookup里面,当然也更新了索引


 

脱壳机模块改进二

  • 加入encode
  • 优化输出

github 地址如下,里面已经有一个编译好但是没有签名的 apk 了…

https://github.com/WooyunDota/DumpDex

如果提取的是 encode 版的,需要 decode 一下:

一些错误排除


NDK环境没有配好,没有找到stddef.h

也是NDK环境未配置好,或者编译器 BUG.先强行编译一次若问题未解决就检查下 NDK 环境.

如果遇到一些成员 ref 到两种头文件中,需要配置下 include.我在使用 mkdir 的时候 mode_t 就 ref 到 ndk 和 osx 的头文件中导致编译失败.解决办法下加入了include:

android-ndk-r10d/platforms/android-17/arch-arm/usr/include/sys

Android Studio 1.3已经开始支持 NDK,完全抛弃 eclipse 的时日即将到来.

0x03参考


http://www.cnblogs.com/goodhacker/p/4014617.html

http://www.cnblogs.com/goodhacker/p/4014617.html

http://www.cnblogs.com/baizx/p/4254359.html

http://www.gitzx.com/android-cydiasubstrate/

从源码中跟踪Dex的加载流程

https://github.com/bunnyblue/DexExtractor

Android逆向之动态调试总结

dex文件的优化解析及装载

Android系统ODEX文件格式解析

DexClassLoader4.4.2动态加载分析(磁盘加载分析)

Android4.0内存Dex数据动态加载技术