Android常见App加固厂商脱壳方法的整理

本文转载自:http://www.mottoin.com/89035.html

简述

Apk文件结构
Dex文件结构
壳史
壳的识别

Apk文件结构

Dex文件结构

壳史

第一代壳 Dex加密

Dex字符串加密
资源加密
对抗反编译
反调试
自定义DexClassLoader

第二代壳 Dex抽取与So加固

对抗第一代壳常见的脱壳法
Dex Method代码抽取到外部（通常企业版）
Dex动态加载
So加密

第三代壳 Dex动态解密与So混淆

Dex Method代码动态解密
So代码膨胀混淆
对抗之前出现的所有脱壳法

第四代壳 arm vmp（未来）

壳的识别

1.用加固厂商特征：

娜迦： libchaosvmp.so , libddog.solibfdog.so
爱加密：libexec.so, libexecmain.so
梆梆： libsecexe.so, libsecmain.so , libDexHelper.so
360：libprotectClass.so, libjiagu.so
通付盾：libegis.so
网秦：libnqshield.so
百度：libbaiduprotect.so

2.基于特征的识别代码

第一代壳

内存Dump法
文件监视法
Hook法
定制系统
动态调试法

内存Dump法

内存中寻找dex.035或者dex.036
/proc/xxx/maps中查找后，手动Dump

android-unpacker https://github.com/strazzere/android-unpacker

drizzleDumper https://github.com/DrizzleRisk/drizzleDumper
升级版的android-unpacker，read和lseek64代替pread，匹配dex代替匹配odex

IDA Pro + dumpDEX
dumpDex https://github.com/CvvT/dumpDex

文件监视法

Dex优化生成odex
inotifywait-for-Android https://github.com/mkttanabe/inotifywait-for-Android
监视文件变化

notifywait-for-Android https://github.com/mkttanabe/inotifywait-for-Android
监视DexOpt输出

Hook法

Hook dvmDexFileOpenPartial
http://androidxref.com/4.4_r1/xref/dalvik/vm/DvmDex.cpp

定制系统

修改安卓源码并刷机

DumpApk https://github.com/CvvT/DumpApk
只针对部分壳

动态调试法

IDA Pro

gdb gcore法

<pre class="" style="box-sizing: border-box; overflow: auto; font-family: monospace, monospace; font-size: 16px; color: rgb(68, 68, 68); font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; font-weight: 400; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; background-color: rgb(255, 255, 255); text-decoration-style: initial; text-decoration-color: initial;">.gdbserver :1234 –attach pid
.gdb
(gdb) target remote :1234
(gdb) gcore</pre>

coredump文件中搜索“dex.035”