某摩托的脱壳，抓包，内存漫游，多进程保护，主动调用的动静态逆向分析

最新推荐文章于 2024-09-13 21:49:00 发布
最新推荐文章于 2024-09-13 21:49:00 发布
阅读量418 收藏
点赞数
分类专栏： APP及JS高级逆向 文章标签： python objection frida app安全 逆向
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/welggy/article/details/119533281
版权
这篇博客详细介绍了如何对一个摩托车应用进行逆向分析，包括脱壳过程，使用FRIDA-DEXDump、FART、Youpk和AUPK等工具，以及抓包技术如frida_ssl_logger和OkHttpLogger-Frida。作者还探讨了多进程保护和内存漫游，解析了参数分析和主动调用的方法，以获取加密请求参数，实现数据抓取。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

apk放入jadx-1.2.0中很明显被奇虎360加固了

请添加图片描述

使用PKiD再次确认

请添加图片描述

脱壳

环境

安卓8.1+fs128arm64+pyenv local 3.8.2

adb install 摩托邦4.8.0.2021070601.apk

FRIDA-DEXDump

对于完整的 dex，采用暴力搜索 DEX.035 即可找到。而对于抹头的 dex，通过匹配一些特征来找到。FRIDA-DEXDump纯粹的利用特征从内存中检索已经加载的 DEX 文件，而不需要拦截任何的函数得到一些结构体，并从中获取 DEX 的内存地址或其他相关信息。


                

                
                
        

    

  


        

            

                

                

                了解本专栏
                
                
                  
                订阅专栏 解锁全文
                 
                
                    
                    超级会员免费看
                
            

            
            
            
        


    


                



	

		

			

				
					
安卓APP-HTTPS抓包Frida Hook教程

				
			

			

				

					猫敷雪
				

				

					12-23
					
					1022
					
				

			

		

		

			
				
惯用的Android抓包手段是用fiddler/burpsuite/mitmproxy搭建代理服务器，设置Android代理服务器并用中间人劫持的方式获取http协议流量的内容，上述的抓包方式只能抓到http协议层以上的流量，这次我们来点不一样的，用tcpdump+frida+wireshark实现Android的全流量抓包，能实现https解密。最新的frida-server可以从 https://github.com/frida/frida/releases 下载。可以通过端口转发的方式实现此功能。

			
		

	



                

            
              



	

		

			

				
					
【Android】脱壳之Frida-dexdump小计

				
			

			

				

					HWHXY的博客
				

				

					06-08
					
					6518
					
				

			

		

		

			
				
本文详细介绍了frida-dexdump脱壳原理相关知识并且在实战中进行了脱壳操作。

			
		

	



              


  
              

                


	

		

			

				
					
android 加花工具下载,Android 代码混淆并加花

				
			

			

				

					weixin_33166692的博客
				

				

					05-25
					
					762
					
				

			

		

		

			
				
APK安全： 代码混淆且加壳防止反编译1、用到的工具jd-gui-0.3.5.windowsdex2jar-0.0.9.15IDAProv6.8C32AsmDexFixerWindowssigntool.zip2、代码混淆并加花添加花指令：在Android项目添加一个永不能执行到class；如下。也可以通过proguard-android.txt配置文件配置需要保留的class。参考https:/...

			
		

	





	

		

			

				
					
DexFixer.zip

				
			

			

				

					08-18
				

			

		

		

			
				
在DEX文件被修改后，修复DEX文件。

			
		

	



		

			
		



	

		

			

				
					
[网安实践III] 实验3.逆向分析

				
			

			

				

					LostUnravel的博客
				

				

					11-09
					
					5589
					
				

			

		

		

			
				
网安实践III - 实验3.逆向分析
1 流量分析
借助Wireshark抓取Android模拟器中“QQ同步助手”登录和同步数据时的流量，回答以下问题：  
（1）筛选流量中，对应域名 "mpssync.3g.qq.com" 的IP地址；
（2）同步报文的TCP流量源IP：端口，目的IP：端口；
（3）分析同步流量的数据特征，并根据这些特征，能否获取报文的一些信息，例如密文长度信息；
（4）保存并上传流量分组文件。


mpssync.3g.qq.com 的IP地址: 183.3.225.36 和 113

			
		

	





	

		

			

				
					
滴水逆向软件调试

				
			

			

				

					若面朝大海边竹妮春暖花开的博客
				

				

					10-27
					
					1537
					
				

			

		

		

			
				
一、调试对象


分为两种：创建进程和附加进程
创建进程为将未运行的程序创建进程
附加进程为将运行中的进程附加

对调试器做的事
DebugActiveProcess调用了DbgUiConnectToDbg，然后调用了ntdll.dll模块中的DbgUiConnectToDbg

DbgUiConnectToDbg调用ZwCreateDebugObject，进入0环，创建_DEBUG_OBJECT...

			
		

	





	

		

			

				
					
某二线城市摩托车销售数据数据分析

					
最新发布

				
			

			

				

					03-31
				

			

		

		

			
				
某二线城市摩托车销售数据，已做脱敏。未经允许，禁止商用，违者必究。

			
		

	





	

		

			

				
					
基于HTML的摩托车驾照理论考试系统静态页面设计源码

				
			

			

				

					09-27
				

			

		

		

			
				
基于HTML的摩托车驾照理论考试系统静态页面设计源码是一个包含了27个文件的项目，旨在构建一个为鸿基培训摩托车驾照理论考试系统提供支持的界面体验。该项目涉及多个技术文件类型，主要包括HTML、JavaScript、CSS、...

			
		

	





	

		

			

				
					
摩托车保险市场分析：责任险在摩托车保险市场中占据重要地位

				
			

			

				

					09-19
				

			

		

		

			
				
摩托车保险市场分析表明，责任险在其中扮演着至关重要的角色。报告涵盖了全球及主要地区市场如北美、欧洲、亚太、南美、中东及非洲的详细分析，揭示了摩托车保险的市场现状、竞争格局以及未来发展趋势。报告指出，...

			
		

	





	

		

			

				
					
行业资料-交通装置-一种多动能摩托车转向灯.zip

				
			

			

				

					08-18
				

			

		

		

			
				
行业资料-交通装置-一种多动能摩托车转向灯.zip

			
		

	





	

		

			

				
					
基于Python的国产摩托车销售数据分析与应用论文

				
			

			

				

					01-06
				

			

		

		

			
				
在本研究中，对国产摩托车市场的销售数据进行了全面的分析与应用研究。利用Python及其强大的数据处理和可视化库如Pandas、Matplotlib和Seaborn，采集、清洗并分析了大量销售数据，揭示销售趋势和预测未来市场表现。...

			
		

	





	

		

			

				
					
九款脱壳机(pux,aspack,fs等)

				
			

			

				

					11-18
				

			

		

		

			
				
九款脱壳机(pux,aspack,fs等),杀软报毒是正常 的,我一直在用,
九分,每个一分, 呵呵

			
		

	





	

		

			

				
					
【学习笔记】在Android使用Frida进行https抓包

				
			

			

				

					weixin_43894455的博客
				

				

					07-13
					
					6700
					
				

			

		

		

			
				
数据解密

			
		

	





	

		

			

				
					
Youpk: 又一款基于ART的主动调用的脱壳机

				
			

			

				

					zhangmiaoping23的专栏
				

				

					05-31
					
					2097
					
				

			

		

		

			
				
Youpk: 又一款基于ART的主动调用的脱壳机

原理

Youpk是一款针对Dex整体加固+各式各样的Dex抽取的脱壳机



基本流程如下:

从内存中dump DEX
	构造完整调用链, 主动调用所有方法并dump CodeItem
	合并 DEX, CodeItem
从内存中dump DEX

DEX文件在art虚拟机中使用DexFile对象表示, 而ClassLinker中引用了这些对象, 因此可以采用从ClassLinker中遍历DexFile对象并dump的方式来获取.


			1

	.

			
		

	





	

		

			

				
					
逆向分析工具-jadx下载和安装

					
热门推荐

				
			

			

				

					sinat_36735003的博客
				

				

					06-01
					
					1万+
					
				

			

		

		

			
				
JAVA反编译工具，可以查看smali代码与java代码

一、准备JDK环境（此教程为jdk1.8版本）

1.下载地址：

https://www.oracle.com/java/technologies/javase/javase-jdk8-downloads.html



2.下载时要求使用Oracle账号，有账号直接登录，没有账号需要创建账号



3.账号创建成功后开始下载



4.双击下载好的jdk-8u291-windows-x64.exe开始安装，下一步



5.安装完成后配置环境变

			
		

	





	

		

			

				
					
Frida基础-1.1-Frida基础介绍

				
			

			

				

					小小白哈喽的博客
				

				

					11-26
					
					1111
					
				

			

		

		

			
				
在CLI模式下，Frida可以直接通过命令行将JavaScript脚本注入进程，并对进程进行操作。另外，Frida还提供了RPC模式，使用Python脚本来完成JavaScript脚本的注入，实际操作仍由JavaScript脚本完成。spawn模式下，Frida控制启动App，并在注入时重新启动并注入App。需要注意的是，由于Frida使用attach模式注入应用时利用了ptrace原理，无法在IDA调试目标应用程序时以attach模式注入进程。Hook方案中，时机非常重要，必须在函数执行前进行Hook。

			
		

	





	

		

			

				
					
项目推荐：FRIDA-DEXDump

				
			

			

				

					gitblog_09555的博客
				

				

					09-13
					
					449
					
				

			

		

		

			
				
项目推荐：FRIDA-DEXDump

    
        
            frida-dexdump
            A frida tool to dump dex in memory to support security engineers analyzing malware.
            
                
              ...

			
		

	





	

		

			

				
					
frida-dexdump 脱壳教程

				
			

			

				

					moyebaobei1的博客
				

				

					05-11
					
					1336
					
				

			

		

		

			
				
然后使用push 指令把下载好的对应版本的frida-server 传到雷电服务器内。用 frida-ps -U 可以看到运行的app，可以看到名称和进程pid，然后可以用如下命令抓包。由于我的电脑下载的是frida-16.2.1，frida版本要与pc端对应。直接去官网下载对应的版本即可。# 查看 Android 进程列表 frida-ps -R。我这里就是(注意上传的是解压后的文件，不是.xz)frida-dexdump -U -p  进程id。frida-dexdump -U -n 保利票务。

			
		

	





	

		

			

				
					
FRIDA-DEXDump 常见问题解决方案

				
			

			

				

					gitblog_09554的博客
				

				

					09-13
					
					685
					
				

			

		

		

			
				
FRIDA-DEXDump 常见问题解决方案

    
        
            frida-dexdump
            A frida tool to dump dex in memory to support security engineers analyzing malware.
            
                
          ...

			
		

	





	

		

			

				
					

				
			

			

				

					
				

			

		

		

			
				

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
onejane

			
你的鼓励将是我创作的最大动力

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值