app安全之安卓native层安全分析（八）：unidbg补前置环境+IO重定向

前言

继续跟着龙哥的unidbg学习：SO逆向入门实战教程七：main_unidbg 重定向_白龙~的博客-CSDN博客

还是那句，我会借鉴龙哥的文章，以一个初学者的角度，加上自己的理解，把内容丰富一下，尽量做到不在龙哥的基础上画蛇添足。感谢观看的朋友。

分析

首先，抓个包

里面这个mtgsig就是该app很经典的加密参数了，siua参数后续有时间就分析，没有就算了。本篇文章的重点是mtgsig.

1.静态分析

jadx分析，一搜：

发现其实并不多。

就拿这几个类进行hook，看看哪些方法被调用了就行了，没花多久时间，就找到这里：

com.xxxxx.plugin.sign.core.CandyPreprocessor.makeHeader(Uri$Builder) String

再跟一下：

这个main就是我们要的部位了。我们知道，第一个int参数，其实都写死了，就是203

第二个是一个对象数组

hook下这两个方法，main的地方参数中间有个byte[]没有打印出来

2.frida动态调试

所以这个byte[]就是个 请求方式 url的path 子路径

好了，入参大概都知道了

ida调试

调试之前，得找找他加载的是哪个so文件

这静态看代码，看了半天，愣是没看出来哪里用了system.loadlibrary。

用这个grep找到的是这个so，其实并不是

这里继续用yang神的hook_RegisterNative.js，一顿输出，直接找到这个so:

很nice。

卧槽，跑完直接把我手机干关机了。有点6

接下来打开ida看看，导出表都不用看了

方法也看不到啊，上面用hook_RegisterNative已经hook到位置了，直接定位过去就行

结果就是解析异常了。

unidbg调试

那直接unidbg调试吧

1.搭架子

跑起来，好像没啥问题 ，main也有了。

2.调用

那么直接调用吧，首先把之前hook到的数据，传递进去

上面需要的都有hook了，

现在就差这个key，往上找找：

hook下，等会儿，还hook啥呀，前面已经有了，就是这个9b69xxxx，思路不能乱，慢慢来

开始调用，结果如下：

尴尬，报错的意思是这个指针结果是一个空指针。根据龙哥的博客，应该是上下文缺失。jnitrace也可以发现。

3.解决问题

再来看看，这个main的调用实例

有这么多

用fridahook下这些

发现，果然是了，刚开始调用，还是null，然后再次调用，就有值了。

再来，把入参打印一下：

看来第一次是111，也就是代码的这里：

这个好像还算简单。

补一下这里的前置条件，然后执行：

补下这个环境，但是这个是啥呢，直接用firda hook可知如下：

因为他是static

那么直接调用

补完执行：

又来一个新的，同样操作

还有报错，

继续

卧槽，还有报错，而且这个报错，龙哥的博客好像没有这个，我手机是米10，安卓12，估计有啥不一样

问题不大，他既然要返回一个i，也就是整形，那直接这么补，然后执行：

说白了这个就是要获取当前的进程apk的路径，继续补

没啥可说的，继续补：

继续

继续

好了，终于不报错了，但是结果并没有被打印出来

仔细看这里，根据龙哥的博客，意思是这里做了文件读取操作，但是-100，好像读取异常了

这时候有两种方案解决这个

• 到unidbg目录，把apk放进去，用这个文件src/main/java/com/github/unidbg/file/BaseFileSystem.java获取当前程序路径
• 还可以用代码的方式进行操作，设置io重定向，把访问的路径放到我们指定的路径即可

这里我用重定向的方式：

然后执行：

继续补

但这里出现了问题，这里是一个空，尴尬，查看用例：

就这里做了赋值

想hook一下，结果hook不到，尴尬，但是那边确实看到是空，龙哥的博客是有数据的，不重要，遵从内心，补一个空，执行看看：

唉，结果有了，好像结果数据有点不对，最后是一个dvmobject，那就跟前面的文章一样了，转一下，打印下

这两个方式都可以：

这个结果能不能用呢？

重新抓个包，然后替换下试试：

ok，果然可以。很nice

代码

package com.sankuai;

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Emulator;
import com.github.unidbg.Module;
import com.github.unidbg.file.FileResult;
import com.github.unidbg.file.IOResolver;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.linux.android.dvm.api.Binder;
import com.github.unidbg.linux.android.dvm.api.ServiceManager;
import com.github.unidbg.linux.android.dvm.array.ArrayObject;
import com.github.unidbg.linux.android.dvm.array.ByteArray;
import com.github.unidbg.linux.android.dvm.wrapper.DvmInteger;
import com.github.unidbg.linux.file.SimpleFileIO;
import com.github.unidbg.memory.Memory;

import java.io.ByteArrayInputStream;
import java.io.File;
import java.io.UnsupportedEncodingException;
import java.nio.charset.StandardCharsets;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.util.ArrayList;
import java.util.List;
import java.util.Locale;

public class meituan extends AbstractJni implements IOResolver {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final Module module;

    meituan() {
        // 创建模拟器实例,进程名建议依照实际进程名填写，可以规避针对进程名的校验
        emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.sankuai.meituan").build();
        // 获取模拟器的内存操作接口
        final Memory memory = emulator.getMemory();
//        emulator.getSyscallHandler().setEnableThreadDispatcher(true);
        // 设置系统类库解析
        memory.setLibraryResolver(new AndroidResolver(23));
        // 创建Android虚拟机,传入APK，Unidbg可以替我们做部分签名校验的工作
        vm = emulator.createDalvikVM(new File("unidbg-android\\src\\test\\java\\com\\xxx\\xxx.apk"));
        // 加载目标SO
//        DalvikModule dm = vm.loadLibrary(new File("unidbg-android\\src\\test\\java\\com\\xxxx\\libmtguard.so"), true); // 加载so到虚拟内存

        emulator.getSyscallHandler().addIOResolver(this);
        vm.setVerbose(true); // 设置是否打印Jni调用细节
        DalvikModule dm = vm.loadLibrary(new File("E:\\work\\myproject\\unidbg\\unidbg-android\\src\\test\\java\\com\\xxxx\\libmtguard.so"), true);

        //获取本SO模块的句柄,后续需要用它
        module = dm.getModule();
        vm.setJni(this); // 设置JNI
        vm.setVerbose(true); // 打印日志
        dm.callJNI_OnLoad(emulator); // 调用JNI OnLoad
    }

    @Override
    public DvmObject<?> callStaticObjectMethodV(BaseVM vm, DvmClass dvmClass, String signature, VaList vaList) {
        switch (signature) {
            case "com/meituan/android/common/mtguard/NBridge->getPicName()Ljava/lang/String;":
                return new StringObject(vm, "ms_com.xxx.xxx");
            case "com/meituan/android/common/mtguard/NBridge->getSecName()Ljava/lang/String;":
                return new StringObject(vm, "ppd_com.xxx.xxx.xbt");
            case "com/xxxx/android/common/mtguard/NBridge->getAppContext()Landroid/content/Context;":
                return vm.resolveClass("android/content/Context").newObject(null);
            case "com/xxxx/android/common/mtguard/NBridge->getMtgVN()Ljava/lang/String;":
                return new StringObject(vm, "4.4.7.3");
            case "com/xxx/android/common/mtguard/NBridge->getDfpId()Ljava/lang/String;":
                return new StringObject(vm, "");

        }

        return super.callStaticObjectMethodV(vm, dvmClass, signature, vaList);
    }

    @Override
    public DvmObject<?> newObjectV(BaseVM vm, DvmClass dvmClass, String signature, VaList vaList) {
        switch (signature) {
            case "java/lang/Integer-><init>(I)V": {
                int input = vaList.getIntArg(0);
                return vm.resolveClass("java/lang/Integer").newObject(input);
            }
        }

        return super.newObjectV(vm, dvmClass, signature, vaList);
    }

    @Override
    public int getStaticIntField(BaseVM vm, DvmClass dvmClass, String signature) {
        switch (signature) {
            case "android/content/pm/PackageManager->GET_SIGNATURES:I":
                return 1;

        }
        return super.getStaticIntField(vm, dvmClass, signature);
    }

    @Override
    public int getIntField(BaseVM vm, DvmObject<?> dvmObject, String signature) {
        switch (signature) {
            case "android/content/pm/PackageInfo->versionCode:I":
                return 2;

        }
        return super.getIntField(vm, dvmObject, signature);
    }

    @Override
    public DvmObject<?> callObjectMethodV(BaseVM vm, DvmObject<?> dvmObject, String signature, VaList vaList) {
        switch (signature) {
            case "android/content/Context->getPackageCodePath()Ljava/lang/String;":
                return new StringObject(vm, "/data/app/com.xxx.xxx-TEfTAIBttUmUzuVbwRK1DQ==/base.apk");
        }
        return super.callObjectMethodV(vm, dvmObject, signature, vaList);
    }

    public static void main(String[] args) {
        meituan test = new meituan();
        test.callMain111();
        System.out.println(test.getSign());
    }

    public void callMain111() {
        List<Object> list = new ArrayList<>(10);
        list.add(vm.getJNIEnv()); // arg1
        list.add(0); //arg2
        list.add(111); //arg3
        DvmObject<?> obj = vm.resolveClass("java/lang/object").newObject(null);
        vm.addLocalObject(obj);
        // 完整的参数2
        list.add(vm.addLocalObject(new ArrayObject(obj)));
        Number number = module.callFunction(emulator, 0x5a38d, list.toArray());
    }

    public String getSign() {
        List<Object> list = new ArrayList<>(10);
        list.add(vm.getJNIEnv()); // arg1
        list.add(0); //arg2
        list.add(203); //arg3
        StringObject input2_1 = new StringObject(vm, "9b69f861-e054-4bc4-9daf-d36ae205ed3e");
        ByteArray input2_2 = new ByteArray(vm, "GET /api/entry/indexLayer __reqTraceID=aa14663c-9979-445b-a311-8017c596f343&ci=1&group=xxxx&msid=xxxxx&userid=-1&utm_campaign=AgroupBgroupC0E0&utm_content=xxxx&utm_medium=android&utm_source=wandoujia&utm_term=1100090405&uuid=xxxxx&version_name=11.9.405".getBytes(StandardCharsets.UTF_8));
        DvmInteger input2_3 = DvmInteger.valueOf(vm, 2);
        vm.addLocalObject(input2_1);
        vm.addLocalObject(input2_2);
        vm.addLocalObject(input2_3);
        // 完整的参数2
        list.add(vm.addLocalObject(new ArrayObject(input2_1, input2_2, input2_3)));
        Number number = module.callFunction(emulator, 0x5a38d, list.toArray());
//        String result = vm.getObject(number.intValue()).getValue().toString();
//        return result;

        DvmObject[] result1 = (DvmObject[]) vm.getObject(number.intValue()).getValue();
        String sign = result1[0].toString();
        System.out.println(sign);

        StringObject result2 = (StringObject) ((DvmObject[])((ArrayObject)vm.getObject(number.intValue())).getValue())[0];
        System.out.println(result2.getValue());
        return result2.getValue();
    }

    @Override
    public FileResult resolve(Emulator emulator, String pathname, int oflags) {
        if (("/data/app/com.sankuai.meituan-TEfTAIBttUmUzuVbwRK1DQ==/base.apk").equals(pathname)) {
            // 填入想要重定位的文件
            return FileResult.success(new SimpleFileIO(oflags, new File("unidbg-android\\src\\test\\java\\com\\xxx\\xxx.apk"), pathname));
        }
        return null;
    }
}

知识点总结

1.找不到该native方法引入的哪个so文件时，用hook_RegisterNative脚本分析

2.执行结果发现不对返回空指针时，很大可能是逻辑问题，需要结合jnitrace分析

3.报dirfd=-100，就是读取文件错误，需要指导程序到正确的路径

4.补文件读取有两个方法

• 到unidbg目录，把apk放进去，用这个文件src/main/java/com/github/unidbg/file/BaseFileSystem.java获取当前程序路径
• 还可以用代码的方式进行操作，设置io重定向，把访问的路径放到我们指定的路径即可

5.补环境的时候getIntArg是获取方法的参数

我的代码是：

int input = vaList.getIntArg(0);

return vm.resolveClass("java/lang/Integer").newObject(input);

龙哥的代码：

int input = vaList.getInt(0);

return new DvmInteger(vm, input);

6.如果最后的数据是一个数组而不是字符串，有两种方式获取

StringObject result = (StringObject) ((DvmObject[])((ArrayObject)vm.getObject(number.intValue())).getValue())[0];
System.out.println(result.getValue());

DvmObject[] result1 = (DvmObject[]) vm.getObject(number.intValue()).getValue();
String sign = result1[0].toString();
System.out.println(sign);