使用IDA反编译.so文件并修改

使用IDA反编译.so文件并修改

简述

之前一直在做应用层的开发很少接触底层,总感觉底层是一个很神秘的地方。最近各种原因之下有一些逆向的工作,但是好多应用的核心逻辑都是利用jni在c/c++层去实现的,这就给我们的逆向工作带来了很大的困难,所以了解底层知识还是比较重要的。逆向过程中java层面的逆向还是比较简单的,今天主要介绍一下如何逆向.so文件。

例子是我最近分析的一个项目,项目中数据是从.so库处理发出的。但是.so文件对手机的串号做了校验,也就是说只有固定的几部手机才能使用。
所以这篇博客最终的效果就是通过反编译.so文件,找到记录串号的Hex码修改为自己的串号,就可以绕过.so的串号校验了。

利用IDA反编译.so文件

IDA。是目前最棒的一个静态反编译软件,为众多0day世界的成员和ShellCode安全分析人士不可缺少的利器。IDA功能及其复杂,今天只是简单的介绍一些基本功能。

IDA的安装略过不讲,安装好之后打开IDA(Version 7.0.170914 Windows x64)第一次使用,选择直接选择Go即可,进入界面后左上角File—>Open选择要打开的so文件,我选择的是一个
armeabi-v7a指令集的.so文件。打开之后如下图设置,然后点击OK


1.png

打开后如下图


2.png

在左侧的function name中寻找main入口函数。找到后现在IDA View中显示的反编译出来的汇编语言看起来比较费劲,可以按F5转成伪代码


3.png

到这就可以看到逻辑是调用sub_32E4位置的方法然后执行死循环打印日志qcd err ......,这正是我启动失败logcat上显示的日志。现在基本能断定关键逻辑在sub_32E4方法中。

sub_32E4值得应该是方法的Hex码的起始位置是32E4,不过在IDA中可以直接鼠标双击该方法直接进入,如图


4.png

大致逻辑就是现获取手机的imei码然后和一个常量数组off_9D24里的已有串码进行比对,如果对不上就跳出,也就是执行了main方法里的打印错误日志的死循环。

所以关键的串号数组也就知道了,双击off_9D24找到数组位置,选中数组中某个条目,按 Q 就可以显示Hex码的位置,然后记住这个位置。


5.png

使用010 Editor修改.so文件

.so文件本质上已经编译成了二进制文件,使用010 Editor可以更方便的修改。

现在已经知道了需要修改的数组的位置,用010 Editor打开刚才分析的.so文件。


6.png

根据左侧的行号找到63F0这一行,这个时候就可以看到63F0这一行的第6个Hex码是38正好对应ASCII码的8,根据右侧的ASCII码对照表,正好是设备码数组的第二个元素的第一个字符。
找到了位置就可以把数组里的数据修改成任何你想要的设备码了,修改Hex码不太方便可以直接修改ASCII对照码表里的ASCII码。


7.png

现在我将8改成了9(当然设备码国内应该是86开头,这只是做个示范),Hex码也自动改成了39。

好了现在就可以挑数组里的一个条目完全改成你自己的设备码,然后ctrl+S保存,将新的.so包放到工程里重新打包或者直接用adb放到手机的/data/user/0/com.xxx.xxx/lib下重启应用即可。经过尝试果然绕过了设备码限制,成功拿到数据。

后记

这次只是简单尝试,受困于不太熟悉汇编语言,只能修改静态资源值,如果熟悉汇编语言的话可以直接修改流程,比如修改if判断条件恒为true,或者置为相反条件即数组里的设备反而都不能用等,这是今后需要继续学习的地方。

你可能感兴趣的:(使用IDA反编译.so文件并修改)