Android逆向之路---脱壳360加固

前言

众所周知,现在软件在防止逆向采取了混淆,加壳等措施。比如360加固,腾讯加固,梆梆加固等等。
这两天在逆向一款app的时候找到了一个不错的xposed插件推荐给大家,

下载地址:点我下载

前提环境

  • xposed
  • root过的android手机
  • dumpdex.apk文件(下载地址在上方)

自动脱壳

安装完成dumpdex.apk之后,在xposed里面软重启,激活。就好了。

dumpdex

现在就可以脱壳了,我们可以找一个已经被加固的app,
在此就不列举app的名字了。

我们点击app打开,这个时候WrBug会自动的帮我们脱壳完成。
此时此刻我们只需要去对应目录找dex文件就好了。

路径如图:

dumpdex

接下来就可以用adb pull命令将对应的dex文件取出,脱壳完毕。

xposed hook 360加壳后app注意事项

由于360加壳之后,更改了classloader,因此我们用原本的classloader是会报类无法被找到的异常的。

不过我们去分析源码便知道,我们要先hook到360的classloader,再从360的classloader里面获取到app运行时的类。

360加固源码分析

类com.stub.StubApp

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
public class StubApp
extends Application
{
private static boolean loadDexToC = false;
private static boolean loadFromLib;
private static boolean needX86Bridge;
public static String strEntryApplication;
private static Application ?�A = null;
private static Application ??;
private static String ??;
private static Context ??;
static
{
strEntryApplication = "com.qihoo360.crypt.entryRunApplication";
?? = null;
?? = "libjiagu";
loadFromLib = false;
needX86Bridge = false;
throw new VerifyError("bad dex opcode");
}
//--------略--------
private static Application ᵢˋ(Context context) {
try {
if (ᵢˎ == null) {
ClassLoader classLoader = context.getClassLoader();
if (classLoader != null) {
Class loadClass = classLoader.loadClass(strEntryApplication);
if (loadClass != null) {
ᵢˎ = (Application) loadClass.newInstance();
}
}
}
} catch (Exception e) {
}
return ᵢˎ;
}
//--------略--------
}

上面代码中有一个方法,这个方法的名称是乱码,你没看错,这个方法名称本身就是一串奇怪的字符,我们需要Hook到这个方法,然后拿出classloader才可以

Hook代码如下

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
XposedHelpers.findAndHookMethod("com.stub.StubApp", lpparam.classLoader, "ᵢˋ", Context.class, new XC_MethodHook() {
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
super.afterHookedMethod(param);
//获取到360的Context对象,通过这个对象来获取classloader
Context context = (Context) param.args[0];
//获取360的classloader,之后hook加固后的代码就使用这个classloader
ClassLoader classLoader = context.getClassLoader();
//替换classloader,hook加固后的真正代码
XposedHelpers.findAndHookMethod("com.alibaba.fastjson.JSON", classLoader, "toJSONString", Object.class, new XC_MethodHook() {
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
super.afterHookedMethod(param);
XposedBridge.log(TAG + "JSONObject");
XposedBridge.log(TAG + param.args[0].toString());
XposedBridge.log(TAG + param.getResult());
}
});
}
});

这样就可以了

注意!!!

由于360加固版本也会更新换代,升级,变形,也希望读者读到了这里可以自己思考。
今天是2018/12/13,如果你看到这篇文章的时间,360加固已经更新了N个版本,欢迎call我,一起来找到最新的破解办法。

网上目前流传很多其他办法,例如:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
XposedHelpers.findAndHookMethod("com.qihoo.util.StubApp579459766", loadPackageParam.classLoader,
"getNewAppInstance", Context.class, new XC_MethodHook() {
@Override
protected void afterHookedMethod(MethodHookParam param) throws Throwable {
super.afterHookedMethod(param);
//获取到360的Context对象,通过这个对象来获取classloader
Context context = (Context) param.args[0];
//获取360的classloader,之后hook加固后的就使用这个classloader
ClassLoader classLoader =context.getClassLoader();
//下面就是强classloader修改成360的classloader就可以成功的hook了
XposedHelpers.findAndHookMethod("xxx.xxx.xxx.xxx", classLoader, "xxx", String.class, String.class, new XC_MethodHook() {
@Override
protected void beforeHookedMethod(MethodHookParam param) throws Throwable {
super.beforeHookedMethod(param);
Log.i(TAG, "密钥: " + (String) param.args[0]);
Log.i(TAG, "内容: " + (String) param.args[1]);
param.setResult((String) param.args[1]);
}
});

上方的方法其实已经是360加固16年的破解版本了,
现在是8102年了,还请读者自行辨析。

目前16年的版本已经无效了,请使用最新的方法

写在最后

技术瞬息万变,30年河东30年河西,希望大家都可以抓住那些不变的东西,努力进取。

争取在每次浪潮来临之际,能够赶上每一波更新,加油!

注:感谢作者WrBug。

项目github地址如下:

点我点我

关于我

个人博客:MartinHan的小站

博客网站:hanhan12312的专栏

知乎:MartinHan01