一文带你实现获取检测apk的父进程

程序员小肖

已于 2024-01-19 10:22:23 修改

阅读量126

点赞数

文章标签： java 开发语言

于 2023-02-16 13:04:14 首次发布

本文链接：https://blog.youkuaiyun.com/qq_53058639/article/details/129059259

版权

简介

每个App的用于程序都是通过父进程zygote进行fork出来的子进程，所以zygote也是所有app的父进程。那么对于zygote进程可以用于检测判断app应该是否处于被调试状态。

检测父进程原理

有的时候不使用apk附加调试的方法进行逆向，而是写一个.out可执行文件直接加载so进行调试，这样程序的父进程名和正常启动apk的父进程名是不一样的。

实验测试

1、正常启动的apk程序：父进程是zygote2、调试启动的apk程序：在AS中用LLDB调试发现父进程还是zygote3、附加调试的apk程序：父进程是zygote4、vs远程调试用可执行文件加载so:父进程名为gdbserver

实验结论：父进程名非zygote的，判定为调试状态

代码实现

 int CheckApkParents()
 { 

// 设置buf 
 char strPpidCmdline[0x100]={0};
 snprintf(strPpidCmdline, sizeof(strPpidCmdline), "/proc/%d/cmdl ine", getppid()); 
 // 调用系统的open函数进行打开文件 
 int file=open(strPpidCmdline,O_RDONLY); if(file<0) 
 {  //打开失败， LOGA("CheckApkParents open错误!\n"); return -1;
 }
 
 // 文件内容读入内存
 memset(strPpidCmdline,0,sizeof(strPpidCmdline)); 
 //调用系统read函数进行读内存操作
 ssize_t ret=read(file,strPpidCmdline,sizeof(strPpidCmdline));
 if(-1==ret) 
 { 
 //读取内存数据失败 LOGA("CheckApkParents read错误!\n"); return -1; 
 }
 // 没找到返回0
 char sRet=strstr(strPpidCmdline,"zygote"); 
 if(NULL==sRet)
 { 
 
 // 执行到这里，判定为调试状态  LOGA("父进程cmdline没有zygote子串!\n"); return 0; 
 }

 return 1;
 }

网络安全入门学习路线

其实入门网络安全要学的东西不算多，也就是网络基础+操作系统+中间件+数据库，四个流程下来就差不多了。

1.网络安全法和了解电脑基础

其中包括操作系统Windows基础和Linux基础，标记语言HTML基础和代码JS基础，以及网络基础、数据库基础和虚拟机使用等...

别被这些看上去很多的东西给吓到了，其实都是很简单的基础知识，同学们看完基本上都能掌握。计算机专业的同学都应该接触了解过，这部分可以直接略过。没学过的同学也不要慌，可以去B站搜索相关视频，你搜关键词网络安全工程师会出现很多相关的视频教程，我粗略的看了一下，排名第一的视频就讲的很详细。当然你也可以看下面这个视频教程仅展示部分截图：学到http和https抓包后能读懂它在说什么就行。