IDA动态调试无法导入JNI文件的解决办法

傷城~ 2022-12-19 03:45 197阅读 0赞

前言：学习过程中遇到了，特此记录一下。

样本app链接在这里：

https://pan.baidu.com/s/1pVLBBuBKRzDzHlBClrBA2A 提取码: 9tz8

它是 2015年阿里的一个反调试app，我是参考这篇文章来过反调试的：

https://blog.csdn.net/Viewz/article/details/97757862

这不是重点，样本里的app是修改过后的，原始的可以在文章中获取。

![format_png][]

过反调试后就很简单了，输入密码，与它内置的密码一致就成功了。

静态分析如果不提前知道密码的话，会感觉毛都没有，只有动态调试了。

怎么开启动态调试请参考上一篇文章，我这就直接来到这里了。

![format_png 1][]

双击进入这个函数，并按下F5：

![format_png 2][]

然后 按下 CTRL + F9，导入JNI.h文件：

![format_png 3][]

提示这个错误，那就按照它提示的来：

![format_png 4][]

弹出框，继续进行选择，点击OK即可：

![format_png 5][]

这时，我们再次 按下 CTRL + F9，导入JNI.h文件：

![format_png 6][]

然后，就报了20个错误，这种错误，小白的我也不知道怎么解决啊。

这时的我有三种选择，

一. 更新IDA Pro版本，我现在的版本是 6.8的，说不定换成 IDA Pro 7.0就不会报错了。

二. 谷歌该问题或者请教大佬，遇到报错改怎么解决，不过可能找不到答案或者大佬没遇见过，就尴尬了。

三. 自己摸索解决。捣鼓几下，说不定就不报错了。

我这里选择了第三种方法，竟然OK了，操作如下：

1.选择 View --> Open subviews --> Type libraries

![format_png 7][]

2.弹出 warning，点击OK即可。

![format_png 8][]

3.单击右键，选择 Load type library

![format_png 9][]

4.选择第一个，单击OK：

![format_png 10][]

5.再次 按下 CTRL + F9，导入JNI.h文件：

![format_png 11][]

发现竟然成功了。

切换伪C代码，如图分析：

![format_png 12][]

图中红色框上面是干嘛的我不清楚，因为它没有返回或者exit程序的代码，可以不用去关心吧。将鼠标移动并点击 while，并按下 Tab键，来到汇编代码处：

![format_png 13][]

设置断点，并按下F9，手机app输入 1234567890：

![format_png 14][]

点击输入密码后，发现IDA停在了断点处：

![format_png 15][]

因为下面有个cmp指令，所以看看 R2寄存器的值，它是一个内存地址，在内存中查看它的值：

![format_png 16][]

是这样的一串字符串，再看看R0寄存器的值所在地址的值：

![format_png 17][]

这里就是刚才输入的 “1234567890”了。这就比较清楚了，通过输入的字符串与这个内置的字符串进行比较，相同就表示成功了，不同则失败。

它这里没有调用 库函数 strcmp，而是通过单个字符的比较判断，因此没法爆破(当然也可以修改返回值进行爆破)：

按下F8两次后，R1和R3的内容：

![format_png 18][]

"1"字符的ASCI值是 0x31,"a"字符的ASCI值是 0x61,确实是单个字符全部进行比较的。按下Tab键，可以看到 伪C代码窗口：

![format_png 19][]

动态调试时，可以通过修改 R1的值与R3一致，可以看到成功后的窗口：

![format_png 20][]

我总觉得：**动态调试比静态分析要爽多了**。

[format_png]: /images/20221120/aa59cc8277b344fd8a5dd66e3810c8aa.png
[format_png 1]: /images/20221120/7680108fb99e4cba8d224af33094cc87.png
[format_png 2]: /images/20221120/574befacac314716aa4c224a4e55f867.png
[format_png 3]: /images/20221120/ceafafce7820437780f74e7792081fc5.png
[format_png 4]: /images/20221120/1d8efa13cae0495d80ca0cb43541d239.png
[format_png 5]: /images/20221120/1a212208f8534499873c2424d5e868cb.png
[format_png 6]: /images/20221120/d8b4c482ec5548288d4c87e75ad7c5b5.png
[format_png 7]: /images/20221120/443cf0bb64ed429b92a1ef19fd813cd8.png
[format_png 8]: /images/20221120/4e8a03f579294df9a85c05719d8aab0d.png
[format_png 9]: /images/20221120/48197cb6bd574f0ab22c723288d5d766.png
[format_png 10]: /images/20221120/86aa0cacd4e0483a90f9e776c27791c5.png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRHJyNjY3ZUJ4cTdZRkdUTFM5T2tzRWljV1cwUXN0S0FjZW1BWjRKV3lKcERDalg1WXZBbmM5U2cvNjQw?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRG9TWDhiNTg5NGVNaWFLbnNmaFhpYlY4SnVqd3pKT3lmQ2JXVmNZOUwyalFSWUoxcUdaZm41TjVRLzY0MA?x-oss-process=image/format,png
[format_png 13]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRFVkQk9FbTVzRDZBSUl5RHhVTWRwVFFpYjQxdVYyc1dGa1BmbkpUT0plOGd4TUNYYnFuNEF1YmcvNjQw?x-oss-process=image/format,png
[format_png 14]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRHFpY2tmRVRpY1Nudk9Wc2ppYmRObkl4cE42OVNhemQ2UUZMaWNUdERWMXlpYjNBdGxPM2ZJQW5qUE9RLzY0MA?x-oss-process=image/format,png
[format_png 15]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRE56bmpFYzZPS1FWN2lhR3lkQWZIaWNPQkJ3Z0JWRnFoZnIwd05BNFBZZEpkZjlvMENpYm9oUGljcncvNjQw?x-oss-process=image/format,png
[format_png 16]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRERSazNscDBPY3pWME94UmpZTzlOaWNWWkhFaWIyQUV4NW9LQTA2SERINENLbHF6SEVPUGhRVExBLzY0MA?x-oss-process=image/format,png
[format_png 17]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRGVKT2ljaWFvdXhqbXl3U0picktpYktpY1VrZlBJQWhMRW1uT0FiTXZEZjJadUZSRHBkenJTcU02ZXcvNjQw?x-oss-process=image/format,png
[format_png 18]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLREdDOFFqVWdvUEpDbjZvMjRZTXhCM2lhcndHTk5jZzZubWRCQWZnTGliUmt1VnFKbjlzRmlhZk5KZy82NDA?x-oss-process=image/format,png
[format_png 19]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRGM4eDJ5Vk5lV1dVbXhYWmIyM0U0bmlhd2ljaWJncHo5T25pY3lVQTh2MWRyUkNwNnFtQ21tWFV6SWcvNjQw?x-oss-process=image/format,png
[format_png 20]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMURkT29jS0pZdWtDTkxnb2ZxMmhLRGQ3VnJkeUxzR25QaWFLRmxzZjNFc1BMTUhvRXVhMW0xOHkyT05DcVVHdkNVaDl2Tzg0OFZJRncvNjQw?x-oss-process=image/format,png