Android通用脱壳机FUPK3

最新推荐文章于 2024-04-11 10:01:28 发布
转载 最新推荐文章于 2024-04-11 10:01:28 发布 · 1k 阅读 · 1 ·
CC 4.0 BY-SA版权
原文链接：https://bbs.pediy.com/thread-246117.htm

FUPK3是一款基于Android源码修改的脱壳机，通过代码注入和Cookie提取，实现对加密dex文件的dump及修复。利用自定义接口和方法重构，绕过加固技术，提取并组合加密数据。

https://github.com/F8LEFT/FUPK3

大家好，我是F8LEFT，潜水了这么久，抽空来发个技术帖子。这次要发的作品是我以前写的一个脱壳机FUPK3，这个脱壳机的思路应该是以前没人放过的，这里我不私藏了，放出来给大家来评评。

Android代码是开源的，那么通过直接修改Android源码，把运行时的所有dex数据dump出来，不就可以实现一个通用的脱壳机了吗？FUPk3就是基于上面的思路来实现的。FUPK3需要修改Android源码，导出数据接口.不过，最为核心的脱壳操作是在一个so中执行的，脱壳时应用会自动加载该so，这样好处在于可以通过替换这个so来达到动态修bug的效果。

代码注入

程序启动后读取配置文件/data/local/tmp/FUpk3.txt,如果命中脱壳的配置就会直接加载so /data/local/tmp/libFupk3.so，进行脱壳。修改Android源码。

try {
UpkConfig config = new UpkConfig();
if (config.load() && config.mTargetPackage.equals(data.info.getPackageName())) {
    Fupk upk = new Fupk(config.mTargetPackage);
    upk.unpackAfter(10000);
}
} catch (Throwable t) {
}

 

cookie

脱壳需要知道app当前加载的所有dex文件。每一个被加载到内存中的dex文件都会被记录为一个cookie值，存放在程序的loader中,所有类的加载都需要通过该loader进行。Java层的loader可能会比较复杂，比如会用到双亲委派机制等，不好遍历。但是，到了Jni层，一切都变得简单起来，在native中，会通过一个Hash表来存储所有dex文件。

// 每个打开的dex文件都会存储到gDvm.userDexFiles中
static void addToDexFileTable(DexOrJar* pDexOrJar) {
u4 hash = (u4) pDexOrJar;
void* result;

dvmHashTableLock(gDvm.userDexFiles);
result = dvmHashTableLookup(gDvm.userDexFiles, hash, pDexOrJar,
        hashcmpDexOrJar, true);
dvmHashTableUnlock(gDvm.userDexFiles);

if (result != pDexOrJar) {
    ALOGE("Pointer has already been added?");
    dvmAbort();
}

pDexOrJar->okayToFree = true;
}

因此，想要知道当前apk加载了那些dex就简单多了，只需要遍历这个userDexFile这个Hashtable就好了。直接在Android源码中导出接口。

// @F8LEFT exported function
HashTable* dvmGetUserDexFiles() {
return gDvm.userDexFiles;
}

然后，直接在so里面调用接口,就可以取出所有dex文件的内存布局。

auto fn = (HashTable* (*)())dlsym(libdvm, "dvmGetUserDexFiles");
if (fn == nullptr) {
goto bail;
}
gDvmUserDexFiles = fn();

 

dex重建

dex文件被加载起来后，一些值就不会再被用到,如文件头sig，数据偏移等，部分壳会把这些数据抹除。这些数据需要直接从应用的运行时数据 DvmDex, ClassObject, MethodObject等取出来,并进行重建。还有一些常量数据，StringPool,TypePool等，这些是不会加密的，直接dump出来。

bool DexDumper::fixDexHeader() {
DexFile *pDexFile = mDvmDex->pDexFile;

mDexHeader.stringIdsOff = (u4) ((u1 *) pDexFile->pStringIds - (u1 *) pDexFile->pHeader);
mDexHeader.typeIdsOff = (u4) ((u1 *) pDexFile->pTypeIds - (u1 *) pDexFile->pHeader);
mDexHeader.fieldIdsOff = (u4) ((u1 *) pDexFile->pFieldIds - (u1 *) pDexFile->pHeader);
mDexHeader.methodIdsOff = (u4) ((u1 *) pDexFile->pMethodIds - (u1 *) pDexFile->pHeader);
mDexHeader.protoIdsOff = (u4) ((u1 *) pDexFile->pProtoIds - (u1 *) pDexFile->pHeader);
mDexHeader.classDefsOff = (u4) ((u1 *) pDexFile->pClassDefs - (u1 *) pDexFile->pHeader);
return true;
}

对于Method的重构要复杂得多，每一代加固的发展重点都是增强对Method的CodeItem的加密。从整体加密到函数抽取到最新的函数VMP，还原难度也越来越高。VMP暂且不说，函数抽取本身还是可以攻破的。有些壳做得非常复杂，会在函数执行时还原代码，执行完后又加密回去。针对这种情况，可以看到，在程序运行时的某一个时刻，dex的部分数据肯定是还原的，那么我们可以通过不断地手动构造代码，来遍历触发这些还原点，同时进行数据提取，最终完成修复。

// 从Android源码中导出方法
/* @F8LEFT
* This method is used to export some data for fupk3 to dump dex file.
* Fupk3 will hook this method and get data from it.
*/
void fupkInvokeMethod(Method* meth) {
   // it is no need to init or link class, the code of the method will
   // not exec actually, so just ignore it
   // anyway, I should make sure this method has code to execute
   if (dvmIsMirandaMethod(meth) || dvmIsAbstractMethod(meth)) {
       return;
   }
   dvmInvokeMethod((Object*)0xF88FF88F, meth, NULL, NULL, NULL, true);
}

bool fupkExportMethod(Thread* self, const Method* method) {
   return false;
}

FupkInterface gFupk = {
   NULL, NULL, NULL, NULL,
   fupkExportMethod
};
// @F8LEFT add end
// 对解析器入口插桩
void dvmInterpret(Thread* self, const Method* method, JValue* pResult)
{
   // @F8LEFT insert point for Fupk
   if ((u4)pResult->i == 0xF88FF88F) {
       gFupk.ExportMethod(self, method);
       return;
   }
   // @F8LEFT add end
   ...
}

在上面，直接在Android源码中构造了脱壳用到的接口 gFupk，它提供了4个void*的空间来存放临时数据，与一个可以替换的接口方法fupkExportMethod。这样，只需要手动调用fupkInvokeMethod方法，程序就会走函数正常的执行流程，从dvmInvokeMethod开始，进入dvmInterpret中，并最终调用完gFupk.ExportMethod后直接退出Interpret。这样当我们手动调用函数时，既可以让壳还原出原始代码，又不会影响到程序本身的稳定性。

// 在so中直接替换ExportMethod
auto interface = FupkImpl::gUpkInterface;
if (interface == nullptr) {
   FLOGE("Unable to found fupk interface");
   return;
}
// Hook all
interface->ExportMethod = fupk_ExportMethod;

 

// 传递参数，然后直接调用
gUpkInterface->reserved0 = &shared;
shared.mCurMethod = dexMethod;
FupkImpl::fupkInvokeMethod(m);
shared.mCurMethod = nullptr;
// 在ExportMethod中直接提取CodeItem数据
bool fupk_ExportMethod(void *thread, Method *method) {
   DexSharedData* shared = (DexSharedData*)gUpkInterface->reserved0;
   DexMethod* dexMethod = shared->mCurMethod;
   u4 ac = (method->accessFlags) & mask;
   if (method->insns == nullptr || ac & ACC_NATIVE) {
       if (ac & ACC_ABSTRACT) {
           ac = ac & ~ACC_NATIVE;
       }
       dexMethod->accessFlags = ac;
       dexMethod->codeOff = 0;
       return false;
   }

   if (ac != dexMethod->accessFlags) {
       dexMethod->accessFlags = ac;
   }
   dexMethod->codeOff = shared->total_point;
   DexCode *code = (DexCode*)((const u1*) method->insns - 16);

   u1 *item = (u1*) code;
   int code_item_len = 0;
   if (code->triesSize) {
       const u1*handler_data = dexGetCatchHandlerData(code);
       const u1 **phandler = (const u1**) &handler_data;
       u1 *tail = codeitem_end(phandler);
       code_item_len = (int)(tail - item);
   } else {
       code_item_len = 16 + code->insnsSize * 2;
   }
   shared->extra.append((char*)item, code_item_len);
   shared->total_point += code_item_len;
   while(shared->total_point & 3) {
       shared->extra.push_back(shared->padding);
       shared->total_point++;
   }
   return true;
}

这样，所有加密的数据都提取出来了，直接进行组合，以加密的方式dump出来。

size_t myfwrite(const void* buffer, size_t size, size_t count, FILE* stream) {
   char *tmp = new char[size * count];
   mymemcpy(tmp, buffer, size * count);
   for (size_t i = 0; i < size * count; ++i) {
       tmp[i] ^= encryptKey;
   }
   size_t rel = fwrite(tmp, size, count, stream);
   delete []tmp;
   return rel;
}

 

dex修复

上面dump下来的dex文件是非标准的，可能存在部分的class数据不合法，并且一些软件不认。所以需要一个写一个修复的server来跳过非法的数据。server主要修改了baksmali与smali的代码，自动跳过无法反编译的类。

 

其他

Android加固发展到现在，经历了好几个大版本改动。最初的是dex整体加固，现在的是VMP加固，中间出了不少非常不错的脱壳机，其中最为经典的有2个：ZjDroid与dexHunter，这两个都是开源的，并且写得非常好，即使是放到今天来看，也具有相当的参考价值,想要学习脱壳的同学们可以拜读一下。另外，FUpk3是运行在dalvik上的，那么要在art下脱壳怎么办呢？道理还是一样的，只是art下会复杂很多, 跑解析的跑编译的都有，修复起来需要记录很多数据，这里由于某些原因就不公开art下的脱壳机了。

写在最后

新手想要入门，需要什么？

1. 一台谷歌亲儿子(nexus)

2. 一个Ubuntu系统

3. 一套完整的Android源码。

平时有事没事可以多看看源码,刷刷机之类的。Android平台与Windows上的不同，到目前为止，Android上系统的优秀的教材实在是少，如果没人手把手地带入门的话，基本上就是在白做功，幸好大部分难点的解决方案答案都可以在源码里面找到，多熟悉一下总会有好处的。

https://github.com/F8LEFT/FUPK3

看雪上的md插件怪怪的，大家去我的github上看吧，欢迎各种star与follow，演示视频在这里 https://pan.baidu.com/s/1HH_-TQGca1NLoSqzvOPB3Q 密码：izm3

 

 

 

 

原文链接：https://blog.youkuaiyun.com/bme314/article/details/88997895

FUPK原理图

要手动调用fupkInvokeMethod

在这里插入图片描述

在这里插入图片描述

bool DexDumper::fixMethodByDvm(DexSharedData &shared, DexMethod *dexMethod,
                               ClassDefBuilder* builder, u4 &lastIndex) {
    lastIndex = lastIndex + dexMethod->methodIdx;
    auto m = builder->getMethodMap(lastIndex);

    assert(m != nullptr && "Unable to fix MethodBy Dvm, this should happened");

    shared.mCurMethod = dexMethod;
    FupkImpl::fupkInvokeMethod(m);     /////////////////////////////////////////////////
    shared.mCurMethod = nullptr;
    return true;
}

/* @F8LEFT
 * This method is used to export some data for fupk3 to dump dex file.
 * Fupk3 will hook this method and get data from it.
 */
void fupkInvokeMethod(Method* meth) {
    // it is no need to init or link class, the code of the method will
    // not exec actually, so just ignore it
    // anyway, I should make sure this method has code to execute
    if (dvmIsMirandaMethod(meth) || dvmIsAbstractMethod(meth)) {
        return;
    }
    dvmInvokeMethod((Object*)0xF88FF88F, meth, NULL, NULL, NULL, true);
}

dvmInvokeMethod又会调用gFupk.ExportMethod

gFupk.ExportMethod在xposed的框架中加载so的过程中被设置为fupk_ExportMethod

也就是说，调用fixMethodByDvm 就会跳转到fupk_ExportMethod(void * thread,Method *method)

接口设计

c语言好像没有接口这种概念，作者整了个接口。

bool fupkExportMethod(Thread* self, const Method* method) {
    return false;
}

FupkInterface gFupk = {
    NULL, NULL, NULL, NULL, 
    fupkExportMethod
};

 然后在xposed 的so中替换

// 在so中直接替换ExportMethod
auto interface = FupkImpl::gUpkInterface;
if (interface == nullptr) {
    FLOGE("Unable to found fupk interface");
    return;
}
// Hook all
interface->ExportMethod = fupk_ExportMethod;

dex重组

// 传递参数，然后直接调用
gUpkInterface->reserved0 = &shared;
shared.mCurMethod = dexMethod;
FupkImpl::fupkInvokeMethod(m);
shared.mCurMethod = nullptr;

// 在ExportMethod中直接提取CodeItem数据
bool fupk_ExportMethod(void *thread, Method *method) {
    DexSharedData* shared = (DexSharedData*)gUpkInterface->reserved0;
    DexMethod* dexMethod = shared->mCurMethod;
    u4 ac = (method->accessFlags) & mask;
    if (method->insns == nullptr || ac & ACC_NATIVE) {
        if (ac & ACC_ABSTRACT) {
            ac = ac & ~ACC_NATIVE;
        }
        dexMethod->accessFlags = ac;
        dexMethod->codeOff = 0;
        return false;
    }

    if (ac != dexMethod->accessFlags) {
        dexMethod->accessFlags = ac;
    }
    dexMethod->codeOff = shared->total_point;
    DexCode *code = (DexCode*)((const u1*) method->insns - 16);

    u1 *item = (u1*) code;
    int code_item_len = 0;
    if (code->triesSize) {
        const u1*handler_data = dexGetCatchHandlerData(code);
        const u1 **phandler = (const u1**) &handler_data;
        u1 *tail = codeitem_end(phandler);
        code_item_len = (int)(tail - item);
    } else {
        code_item_len = 16 + code->insnsSize * 2;
    }
    shared->extra.append((char*)item, code_item_len);
    shared->total_point += code_item_len;
    while(shared->total_point & 3) {
        shared->extra.push_back(shared->padding);
        shared->total_point++;
    }
    return true;
}

这样，所有加密的数据都提取出来了，直接进行组合，以加密的方式dump出来。

size_t myfwrite(const void* buffer, size_t size, size_t count, FILE* stream) {
    char *tmp = new char[size * count];
    mymemcpy(tmp, buffer, size * count);
    for (size_t i = 0; i < size * count; ++i) {
        tmp[i] ^= encryptKey;
    }
    size_t rel = fwrite(tmp, size, count, stream);
    delete []tmp;
    return rel;
}



 

安卓系统定制脱壳（第一章）
任雪飘的博客
09-22 1748
学习系统编译，更好了解安卓系统dex 加载时机。给个关注呗！针对系统定制脱壳机，学习交流使用。编译环境非常重要。作者：任雪飘。
APK360加固与“脱壳”：移动应用安全的攻与防
最新发布
lzj781210的博客
09-19 601
通俗点说，加固就是给应用程序穿上一层“盔甲”。它通过一系列安全处理（如代码混淆、资源加密、运行时保护等），来防止应用被破解、篡改或者二次打包。360加固保作为国内知名的移动应用安全服务，早已成为许多开发者的首选。防止逆向分析：通过代码混淆与加密，让反编译后的代码难以阅读。运行环境检测：在运行过程中监测是否被调试、是否处于虚拟环境。资源保护：对应用中的图片、音视频等资源进行保护，避免被随意提取。一句话，APK360加固的目的，就是保护开发者的劳动成果。
Android通用脱壳机FUPK3脱壳机镜像（电脑模拟器用），镜像集成root权限
09-04
Android通用脱壳机FUPK3脱壳机镜像（电脑模拟器用），镜像集成root权限，F8LEFT脱壳机镜像
Android脱壳工具整理
热门推荐
Andy0214的专栏
12-22 2万+
现在开源的脱壳工具比较多，今天我们来分享几款比较常见的脱壳工具，有刷入定制系统的脱壳机方式的，有Xpose模块hook关键函数的，也有Frida工具hook脱壳的，各有优缺点，小伙伴们可以自由搭配使用。 FART 这款脱壳工具是寒冰大佬写的，是通过刷入大佬定制的系统，进而在程序运行中动态脱壳。 具体介绍可见大佬的github：https://github.com/hanbinglengyue/FART 原理介绍：https://bbs.pediy.com/thread-252630.htm 有些人可
常用的android脱壳工具,Android万能脱壳机
weixin_39559382的博客
05-25 1935
我本人一般不习惯也不喜欢发帖子，但是看着身边人经常说自己在哪里哪里发过什么原创帖子，感觉没发过几个原创帖子都不好意思在社会上混了。很多人觉得Android加固很牛逼，试着用各种方法去研究，然后弄个脱壳机，牛不牛逼咱不知道，写个脱壳机还是可以的。Android加固分为Dex加固和so加固，我这里只给出脱dex的方法，本人声明仅用于学习交流目的，你们不要用它搞破坏，本人对此概不负责！！！下面提供两种方...
FUPK3脱壳机镜像：具备root权限的Android通用模拟器镜像
标题中的“Android通用脱壳机FUPK3脱壳机镜像（电脑模拟器用）”，描述了这份文件的性质和用途。脱壳机是指可以去除Android应用中的壳（即代码保护层）的工具，便于进行安全分析、逆向工程、调试等操作。在安全研究...
看雪『Android安全』板块 2018 年优秀和精华帖分类索引
墨鱼菜鸡
07-11 1131
转载：https://bbs.pediy.com/thread-249602.htm [推荐]『Android安全』版2018年优秀和精华帖分类索引 文章筛选和评价仅代表个人观点，欢迎指正。 列表不定期更新，欢迎自荐~ 2018年 1.逆向技术基础 Frida操作手册-Android环境准备 Frida hook方便快捷，并且跨平台，可以学习一...
解决我的Android通用脱壳机BUG
qq_41071646的博客
04-10 2209
背景 上年夏天在上海实习，某天正在开心的划水中..然后划水被导师当场抓到。导师说 "你竟然在水群？还是管理！" 于是就给我增加了一个任务，基于fart增加一个goto类型dex method 抽取的脱壳机。 当时我参考的是youpk作者的思路 fart https://bbs.pediy.com/thread-252630.htm youpk https://bbs.pediy.com/thread-259854.htm 然后在我离职前都没有完成这个工作（找不到自己的bug 遍历方法的时候进
apk脱壳工具_BUnpacker是一款Android脱壳工具
weixin_39790717的博客
11-27 790
BUnpacker简介BUnpacker是一款Android脱壳工具 TUnpacker is an Android unpack tool.使用方法python bunpacker.py jiagu.apk必读事项1.本代码仅适用于特定的加固方式 (BB)2.本代码仅供安全研究及授权测试使用，如用于非法用途，后果自负3.运行本代码前需要确保连接Android测试设备或虚拟机，并确保An...
Android dex文件通用自动脱壳器
09-02
标 题: 【原创】Android dex文件通用自动脱壳器 作 者: zyqqyz 时 间: 2015-09-01,13:03:30 链 接: http://bbs.pediy.com/showthread.php?t=203776 之前做了一个Android dex的通用脱壳器，主要思想是以AOP的模式对运行时ART和DVM进行定制，附件中是在HITCON上演讲的ppt。 源码地址：https://github.com/zyq8709/DexHunter 代码较挫，大家可以看看，有兴趣的可以继续在上边改一改：）。 github上有一段demo视频和相关的样本，大家有兴趣也可以试试。 测试了国内主流的6款在线加固服务，可以正常脱下来。有其他的样本的也可以试试，发现问题的话请联系我。 为了方便大家阅读，我把对运行时的关键修改摘了出来。class_linker.txt 是对ART的修改，dalvik_system_DexFile.txt是对DVM的修改。 demo视频下载：http://pan.baidu.com/s/1o6Mjwim 密码：x1ay 因为那个视频是H264编码的MP4，所以可能比较挑播放器，大家可以换着试试，比如kmplayer等。 我传了一份到优酷，视频地址:http://v.youku.com/v_show/id_XMTMyNDc4OTQwMA==.html*转载请注明来自看雪论坛@PEdiy.com
CTF 安卓脱壳工具大全
07-10
安卓脱壳已经安卓反编译工具，全部集成一套。这里推荐逍遥模拟器，十分方便快捷，然后在安卓中脱壳成功，一般模拟器是root 模式 所以可以减去很多麻烦的东西。
易语言通用脱壳机(鉴于目前易语言的加载机制,因此几乎所有的壳都可以被通用的脱掉.)
05-14
特别是独立编译支持相对来说有那么一点用处.因为如果你要Patch人家的程序.你当然希望Patch完以后可以直接运行而不是带上X个易语言的运行库文件。这一点ECE还不能够修复。 目前还不支持DLL 的脱壳。这个以后有时间在加入，因为易的DLL无法独立编译所以 这个应用相对来说很少。 另外对于Arm的双进程模式和Themida的bundler也还不支持
通用脱壳工具gunpacker
02-13
Gunpacker,较老的一款脱壳工具，有需要的请下载使用。
android穿山甲列表刷新,穿山甲全系列脱壳机(高手菜鸟都必备精品)
weixin_32042331的博客
05-29 1万+
All Armadillo toolsArmadillo tools===============ARMA.INTRUDER.0.4ARMACRC.V1ARMADETACH.V1ARMADETACHMEARMADILLO FIND PROTECTED V1ARMADILLO KILLER 2ARMADILLO REDUCER 1.7ARMADILLO.DLL&OCXARMADILLO.SE...
探索FUPK3：一个创新的开源项目，为开发者带来无限可能
gitblog_00067的博客
04-11 397
探索FUPK3：一个创新的开源项目，为开发者带来无限可能 FUPK3 演示视频https://pan.baidu.com/s/1HH_-TQGca1NLoSqzvOPB3Q 密码：izm3 项目地址: https://gitcode.com/gh_mirrors/...
android 脱壳 虚拟机,一种基于Android虚拟机的沙箱脱壳方法及系统与流程
weixin_42452460的博客
05-29 1317
技术特征：1.一种基于Android虚拟机的沙箱脱壳方法，其特征在于，包括以下步骤：启动Android虚拟机，将系统的类加载器替换为预定义类加载器,加载用于沙箱脱壳的自定义Android虚拟机代码包，得到可执行Android脱壳代码的运行环境，其中，所述自定义Android虚拟机代码包用于为应用程序执行提供接口，并为脱壳流程提供入口；在虚拟机中读取待脱壳的目标应用的包名和主Acitivity名，并...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值