安卓逆向学习笔记(5) - 在JNI_Onload 函数处下断点避开针对IDA Pro的反调试

转：http://blog.youkuaiyun.com/pengyan0812/article/details/43991983

在上篇文章中，我们介绍了如何利用IDA Pro来动态调试so文件。在移动安全领域有攻就有防，为了防止apk中的so文件被动态调试，开发者往往会使用一些反调试手段来干扰黑客的动态调试。

其中最常见的就是在so文件中检测TracerPid值，详情请见这篇博客：爱加密脱壳

本文以2015阿里巴巴移动安全大赛中的第二道题为例，IDA Pro版本为6.5 。

这里只介绍如何通过在JNI_Onload下断点避开反调试，而具体的解题步骤请看鬼哥的教程：MSC阿里比赛第二题详解

（0）先将libcrackme.so拖入到IDA Pro中进行静态分析，在JNI_Onload函数上下断点，如图1所示：

图1 静态分析libcrackme.so文件 在JNI_Onload函数处下断点

(1) 执行android_server，如图2所示：

图2  执行android_server

另外再开一个命令提示符，输入以下命令，执行端口转发，如图3所示：

图3  执行端口转发

（2） 在debug模式下启动apk，即使用am命令启动apk并进行调试。如图4所示：

图4 使用am命令启动apk

（3）IDA进行附加进程
回到之前静态分析libcrackme.so的IDA界面单击Debugger -> Process options 配置调试信息，这里只需配置hostname为localhost，其余的保持默认设置即可。如图5所示：

图5 配置process options

Debugger options:

                                             

单击Debugger -> Attach to process进行附加进程的操作，如图6所示：

图6 附加进程

（4）打开DDMS，查看jdb对应的调试端口。如图7所示：

图7 打开DDMS查看jdb的调试端口

（5）打开命令提示符，输入以下命令，进行jdb调试。如图8所示：

图8 使用jdb进行调试

（6）回到之前静态分析libcrackme.so的IDA界面 执行F9命令。在接下来弹出的对话框中，一律点击“cancel”按钮，待弹出图9所示的对话框后，选择same按钮。

图9 ida提示程序所调试的so文件是否与当前静态分析的so文件一样

（7）然后继续运行程序就会触发之前在JNI_Onload处所下的断点，如图10所示：

图10 JNI_Onload函数断点触发成功

 

ida动态调试so，在init_array和JNI_ONLOAD处下断点

转：http://blog.youkuaiyun.com/jltxgcy/article/details/50598430

   本文涉及到的apk，请在github下载https://github.com/jltxgcy/AliCrack/AliCrackme_2.apk。

   0x00

    如何在JNI_ONLOAD下断点，参考安卓逆向学习笔记(5) - 在JNI_Onload 函数处下断点避开针对IDA Pro的反调试。最好使用模拟器调试，确保 Attach to process后，对应进程在DDMS中出现小红蜘蛛。

    下面将如何在init_array下断点，首先要找到so的init_array端，把so拖入ida，然后按Crtl+s，会出现该so的所有段。如下：

     

    进入.init_array，如下：

    

   其中sub_2378就是init_array的代码。

   

   我们在这里下断点，具体调试的步骤和在JNI_ONLOAD下断点调试是一样的，参考安卓逆向学习笔记(5) - 在JNI_Onload 函数处下断点避开针对IDA Pro的反调试。网上有很多其他方法在init_array下断点，例如Android安全–linker加载so流程，在.init下断点。我还是觉得上面的方法比较方便。

   调试时使用jdb -connect com.sun.jdi.SocketAttach:port=8700,hostname=localhost，有时会报如下错误：

    此时，我们先观察DDMS。

    使用jdb -connect com.sun.jdi.SocketAttach:port=8622,hostname=localhost即可。