Android加壳与脱壳（4）—— 一代壳脱壳工具集

安全后厨团队大约 11 分钟

一、前言

在前面的文章中我们已经讲述了Android加壳与脱壳的基本原理，也制作了简易的加壳机，本文主要分享一些网络上常使用的开源脱壳工具，这里收集并整理了，方便逆向工作者针对一代壳进行简易脱壳。

二、工具介绍

1.场景1

假设你手里有一台已经root过的测试机，但目前什么工具都没有安装，你想使用这部机器进行脱壳，你可以方便使用哪些工具呢？

1.1 Frida

你考虑使用frida，这里你可以考虑两种方案，第一自己写Frida脚本，看过我前面整体加壳和脱壳原理的，这里应该十分容易，这种方法更加具有灵活性，其次你可以使用网络上的开源框架，这里推荐使用网络上葫芦娃大佬的框架FRIDA-DEXDump

1.1.1 自定制脚本

根据脱壳原理选择脱壳点，然后编写相应的hook脚本，然后通过frida进行hook上即可

var savepath = "/sdcard/"
function savedexfile(dexfileptr) {
    try {
        //将mCookie转换为对应的dexfile内存指针
        var dexfilebegin = ptr(dexfileptr).add(Process.pointerSize*1).readPointer(); //dex的初始指针
        var dexfilesize = ptr(dexfileptr).add(Process.pointerSize*2).readU32(); //dex的大小
        var dex = new File(savepath+"_"+dexfilesize+".dex","a");
        if(dex!=null){
            var content = ptr(dexfilebegin).readByteArray(dexfilesize);
            dex.write(content);
            dex.flush();
            dex.close();
            console.warn("[dumpdex]"+savepath+"_"+dexfilesize+".dex");
        }
    } catch (e) {
        
    }
}


function dumpDexBymCookie() {
    Java.perform(function () {
       var DexFileClass = Java.use("dalvik.system.DexFile");
       Java.choose("dalvik.system.DexFile",{
           onMatch:function (dexfile) {
               var mCookie = dexfile.mCookie.value;
               //获取类列表和dex路径
            //    var classlist = DexFileClass.getClassNameList(mCookie);
            //    classlist.forEach(function (classname) {
            //        console.log(dexfile.mFileName.value+"->"+classname);
            //    })
               //console.log(mCookie.$className);
               var Array = Java.use("java.lang.reflect.Array");
               var size = Array.getLength(mCookie);
               var i = 0;
               for(i=0;i<size;i++){
                   //console.log(i+"->"+Array.getLong(mCookie,i));
                   var longvalue = Array.getLong(mCookie,i);
                   var dexfilestr = ptr(longvalue + "");
                   //console.log(dexfilestr);
                   savedexfile(dexfilestr)
                }
               
           },onComplete:function () {
               console.warn("Search DexFile over!");
           }
       }) 
    })
}

1.1.2 FRIDA-DEXDump

葫芦娃大佬的框架针对第一代壳也十分好用，不想自己编写脚本的朋友，可以直接使用工具

工具链接：FRIDA-DEXDump

使用说明：

我们简单演示一下，这里结合objection一起使用

1.1.3 缺陷

使用Frida的脱壳方式，需要root和frida两个要求，但是现在很多设备会对root进行检测以及frida进行检测，这样使得这种方式就不能很好的处理，当然针对root检测和frida检测都有相应的对抗方式，比如定制root以及定制frida，但是这样都比较麻烦。

1.2 Xposed

比如这里我们遇到frida检测了，我们还可以在我们的设备上安装Xposed，通过编写Xposed模块来进行脱壳，Xposed脱壳原理和frida没有区别，只是编程语言有差异而已，这里我们直接给出一些已经开源的Xposed的模块

Xposed的安装十分简单：

(1) 4.4以下Android版本安装比较简单，只需要两步即可
    1.对需要安装Xposed的手机进行root
    2.下载并安装xposedInstaller,之后授权其root权限，进入app点击安装即可
    但是由于官网不在维护，导致无法直接通过xposedinstaller下载补丁包
（2）Android 5.0-8.0 由于5.0后出现ART，所以安装步骤分成两个部分：xposed.zip 和
    XposedInstaller.apk,zip文件是框架主体，需要进入Recovery后刷入，apk文件用于Xposed管理
    1.完成对手机的root，并刷入reconvery(比如twrp),使用Superroot
    2.下载你对应的zip补丁包，并进入recovery刷入
    3.重启手机，安装xposedInstaller并授予root权限即可
    官网地址：https://dl-xda.xposed.info/framework/
（3）由于Android 8.0后，Xposed官方作者没有再对其更新，我们一般就使用国内大佬riyu的Edxposed框架
    Magisk + riyu + Edxposed

这里收集了网上开源的Xposed脱壳模块，其中以FDex2和反射大师较为经典

这里我们拿反射大师为例：

1.2.1 反射大师

反射大师的使用流程十分简单，首先我们安装Xposed并装上反射大师的模块，打开反射大师

我们选择要脱壳的目标进程

然后我们再次打开目标进程，点击中间的六芒星，然后选择当前Activity

然后我们写出Dex，就可以脱下dex文件，并在保存路径中可以拿出来

你可以选择内置脚本，自己也可以将我们前面写的脱壳脚本上传，这里我们就选内置脚本

选择一个脚本，配置成功，我们可以选择对应的模式，这里不同模式针对不同壳，这里我就选择通用模式

然后就可以脱壳成功，这里如果不成功可能是系统与脱壳脚本不匹配等问题

2.场景2

此时你拿到一些样本，你发现这个样本检测frida、检测Xposed、检测root，然后你不知道如何解决

2.1 Fart

Fart是寒冰大佬定制的针对Art的主动调用脱壳机，适用于一代壳和二代抽取壳

Fart现在开源出来的版本包含：

Fart原始版：无法应对root检测
Fart8：抹除了指纹，可以应对root检测

Fart的使用很简单，可以配合寒冰大佬的定制版jadx来进行恢复抽取壳，本文主要针对第一代壳的解决

使用说明：https://github.com/hanbinglengyue/FART

2.2 定制化系统

我们学习Fart的原理，可以发现第一代壳的定制化是很容易实现的，是在一些脱壳点进行插桩，然后保存dex，例如LoadMethod、DexFile等等

我们在源码编译（1）——Android6.0源码编译详解中已经讲述了如何编译源码，接下来我们进行插桩脱壳

同理、还是定位脱壳点，我们还是随便定位一个脱壳点LoadMethod 然后进行插桩

//add
char dexfilepath[100]=0;
memset(dexfilepath,0,100);
sprintf(dexfilepath,"%d_%zu_LoadMethod.dex",getpid(),dex_file.Size());
int dexfd = open(dexfilepathm,O_CREAT|O_RDWR,666);
if(dexfd>0){
	int result = write(dexfd,dex_file.Begin(),dex_file.Size());
	if(result>0){
		close(dexfd);
		LOG(WARNING)<<"LoadMethod"<<dexfilepath;
	}

}
//add

同理我们在execute同样插桩此段代码，最后进行编译，编译成功

然后给程序授权sdcard权限，再次启动应用，就可以看见脱取的dex文件就保存在sdcard目录下

再次将sdcard下dex文件打开，这里我们已经看见了8732435这个文件，再次打开脱取成功

首先选取脱壳点，我们还是选择DexFile::DexFile

动态调试的步骤我在前面的文章中已经做了详细的讲解，不会的朋友去看前面的文章

首先我们启动android_server

然后我们附加上进程

然后我们打开libart.so，并定位到DexFile::DexFile

然后在该函数下断点，然后F9过来

此处我们就可以很明显看到X1就是我们的起始地址，X4是我们的偏移值

编写脚本进行hook

 static main(void){    
	 auto fp, begin, end, dexbyte;      
	 fp = fopen("d:\\dump.dex", "wb+");      
	 begin =  0x76FCD93020;    
	 end = begin + 0x7EEC5600; 
	 for ( dexbyte = begin; dexbyte<end;dexbyte++)
	 {
	 fputc(Byte(dexbyte), fp);        
	 }   
	 
 }