安卓逆向|菜鸟的FRIDA学习笔记:分析一个简单的APK

淡淡的烟草味﹌ 2022-12-19 03:46 581阅读 0赞

**本文致谢**

本篇文章学到的内容来自且完全来自r0ysue的知识星球，推荐一下（这个男人啥都会，还能陪你在线撩骚）。

![format_png][]

打开样本app(文末有下载地址)，手机界面显示如下:

![format_png 1][]

将样本app拖入jadx，搜索上面的提示，定位到这里:

![format_png 2][]

判断property的值是否为Russia,写个frida简单Hook下:

Java.use("java.lang.System").getProperty.overload('java.lang.String').implementation = function (str)
    {
          console.log("Current Property is: ",str,this.getProperty(str));
          return "Russia";
    }

这样强制返回了"Russia",就可以过掉这个判断，Hook后运行:

![format_png 3][]

提示就在上面代码的下一个提示，可以看到是判断了这个:

!str.equals(getResources().getString(R.string.User))

找到 R.string.User，它在这里:

![format_png 4][]

依葫芦画瓢，让getenv方法强制返回:

RkxBR3s1N0VSTDFOR180UkNIM1J9Cg==

即可，代码:

Java.use("java.lang.System").getenv.overload('java.lang.String').implementation = function (str)
    {
          console.log("Current getenv is: ",str,this.getenv(str));
          return "RkxBR3s1N0VSTDFOR180UkNIM1J9Cg==";
     }

这个字符串看起来像base64编码后的字符，解码后，拿到第一个flag:

FLAG{57ERL1NG_4RCH3R}

Hook后，进入了登录界面:

![format_png 5][]

随便输入用户名和密码，看看提示啥:

![format_png 6][]

jdax中搜索红色箭头位置处的字符串，定位到这里:

![format_png 7][]

逻辑也很简单，输入的usename与 R.string.username相比较，在资源文件中找到R.string.username，它的值是:

![format_png 8][]

再看password:，它是在j方法里面进行处理的，一个简单的md5摘要算法，哈希出来的结果与 R.string.password进行比较。

![format_png 9][]

找到R.string.password的值，它是一个30位的字符串:

84e343a0486ff05530df6c705c8bb4

对于这种30位的md5，去掉前6位和后八位，然后再拿到md5加密网站上去解密即可。结果如图:

![format_png 10][]

得到结果:guest，这时，用户名和密码都拿到了，登录后拿到flag:

![format_png 11][]

这是一个聊天记录，随便输入一个字符串，点击SEND按钮，发现毫无反应，猜测需要发送特定的字符串，jadx中尝试搜索 last time，定位到这里:

![format_png 12][]

注意这个 com.tlamb96.kgbmessenger.b.a 方法，发现下面的代码中也有调用:

![format_png 13][]

看到这行代码:

String obj = editText.getText().toString();

以及这个if判断:

if (a(obj.toString()).equals(this.p)) {
            Log.d("MessengerActivity", "Successfully asked Boris for the password.");
            this.q = obj.toString();
            this.o.add(new com.tlamb96.kgbmessenger.b.a(R.string.boris, "Only if you ask nicely", j(), true));
            this.n.c();
     }

输入的字符串经过a方法后与this.p进行比较，而this.p的值是:

"V@]EAASB\u0012WZF\u0012e,a$7(&am2(3.\u0003";

a方法是:

private String a(String str) {
            char[] charArray = str.toCharArray();
            for (int i = 0; i < charArray.length / 2; i++) {
                char c = charArray[i];
                charArray[i] = (char) (charArray[(charArray.length - i) - 1] ^ '2');
                charArray[(charArray.length - i) - 1] = (char) (c ^ 'A');
            }
            return new String(charArray);
        }

这个方法很简单，后半段字符(逆序)与'2'异或，变成新的前半段字符;前半段字符逆序与'A'异或，变成新的后半段字符，中间的那个字符e不做处理。

写成Python还原代码：

s = "V@]EAASB\u0012WZF\u0012e,a$7(&am2(3.\u0003"
    half_len = len(s) // 2
    r = ""
    for i in range(half_len):
        r += chr(ord(s[i]) ^ ord('2'))
    r += 'e'
    for i in range(half_len+1,len(s)):
        r += chr(ord(s[i]) ^ ord('A'))
    print (r[::-1])

得到结果:

Boris, give me the password

输入后有回应了:

![format_png 14][]

还是没拿到flag，原来后面还是b函数处理:

b(obj.toString()).equals(this.r)

输入的字符串经过b方法后与this.r进行比较，而this.r的值是这样的:

"\u0000dslp}oQ\u0000 dks$|M\u0000h +AYQg\u0000P*!M$gQ\u0000";

b方法是这样的:

private String b(String str) {
            char[] charArray = str.toCharArray();
            for (int i = 0; i < charArray.length; i++) {
                charArray[i] = (char) ((charArray[i] >> (i % 8)) ^ charArray[i]);
            }
            for (int i2 = 0; i2 < charArray.length / 2; i2++) {
                char c = charArray[i2];
                charArray[i2] = charArray[(charArray.length - i2) - 1];
                charArray[(charArray.length - i2) - 1] = c;
            }
            return new String(charArray);
     }

b方法也很简单：先右移，再异或，处理完成后再逆序，总长度未变。

因为i%8的结果会有等于0的情况，而一个数异或本身是等于0的，所以你看到r字符串有很多\\u0000，其所在的位置都是8的倍数。写成Python还原后的代码:

r = "\u0000dslp}oQ\u0000 dks$|M\u0000h +AYQg\u0000P*!M$gQ\u0000"[::-1]
    s = ""
    for i in range(len(r)):
        for ch in range(256):
            if (ch >> (i%8)) ^ ch == ord(r[i]):
                s += chr(ch)
                break
    print (s)

得到结果:

ay I *P EASE* h ve the  assword

注意前后都有空白字符(\\u0000),空白位置(非空格,从0开始数8的倍数位置)替换任意字符都可以的.比如输入如下字符串:

May I *PLEASE* have the password?

显示结果:

![format_png 15][]

成功拿到了flag:"FLAG\{p455w0rd\_P134SE\}"。

为了证实空白位置可以填入任意字符，我写了个主动调用的Hook代码:

Java.choose("com.tlamb96.kgbmessenger.MessengerActivity",{
          onMatch : function (instance){
            console.log("found instance :"+ instance);
            instance.q.value = "Boris, give me the password";
            instance.s.value = "2ay I *PLEASE* have the password3";
            console.log("The flag is: ",instance.i());
          },
          onComplete : function(){
            console.log("Search Completed!");
          }
    })

保存后的运行:

![format_png 16][]

这里只需要修改instance.s.value的值，注意只能改空白位置的字符，可以随意运行。

本文完，再次感谢肉丝姐带我入门安卓逆向。

样本app百度网盘下载地址:

链接：https://pan.baidu.com/s/1-wHQAke6P6Ff-S3i9JAlYA 
    提取码：GOOG

[format_png]: /images/20221120/a8cb63b9c2d94ab8abeb2f43db92833f.png
[format_png 1]: /images/20221120/901f5e4392d54372b5da7c900cf47a8b.png
[format_png 2]: /images/20221120/d9a0b2c6b6d64777aae7fd0c20eba08d.png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscFBtNndpYWZTbmRpYVlsZ1pvVmppYWliTndXUVBPWGRwYU9JWHlScm1KakdmZVVPbEZNM3RFWnNnSFEvNjQw?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscEwycENCbEJLSW9JbXpQRHNnQUFDZVRINlpmQWpnc2tYS1p5TDFpYVdoRjZydlNMbXJyUkh5a2cvNjQw?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHdDRnlCWEFGZm00ZTI4OXRrWVhNczNOYXZnOEZvV3ZEU1g4bmNQdHdOWlFQTUk1RmljekhMZncvNjQw?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHdjaWJpYUdSVDF5UmliTnRSUzM5VkJCOEdub2V3aWFHSmJUSWRVUE16akI2RDVnMXFsRFZSN1VHaWJBLzY0MA?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHoyT21xakUzNnR6ZHhDc0QyREcxc1pRMlZxTmRkR25vRjBpY1dPSUJ0cGRHcUlsTlJJamliZVJRLzY0MA?x-oss-process=image/format,png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscFdDVHRiS2RteDhxemJvNlpmTnVYRURFdnREN2RKMlFmcThpYVhpYkM3d2c0RWs2U1BlcmhKMGZnLzY0MA?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscElSNk5jeXMxV2xRazk0RmxHaDFiZHZ3a1hHYklHd0hMZ21PWXFNNmVpYkF4MjZWTFdzYlNadXcvNjQw?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHpGOXlkSGR1cVk1RUZRUjhEMGtVdGRQNXRxMkxDZGJoaWFiSkpiSXVmdVp0dTh6aDJLaWFmYkp3LzY0MA?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscGliWmwyM0VsU0JQeE5DYWhsSU1OQ3dkR2tYZUF2MlpWZnpQOGlhQ2VscWYzckttQmNONlRVbFd3LzY0MA?x-oss-process=image/format,png
[format_png 12]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscFRMdVdVSGFlY1lnZXg5OG4xRkthSUpXaGoyUkE4MWljWlN2aWJBQTlUQWFyMmxNRTNObXpHOWlidy82NDA?x-oss-process=image/format,png
[format_png 13]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHZUc3g5VmljVExmTk1vdGw4RVFQeUlvbTVJTFZyaWFrUkdPbHlDWXREbTBpY0kxaWFrR2YwUDlGcncvNjQw?x-oss-process=image/format,png
[format_png 14]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHFPOGtNVDFpY0Q0SjlGTmljZ0hNME5uZlY1YmNtNmN5WXpVNFhGMk9JbHVjSDZYMmJOY1p2OGJnLzY0MA?x-oss-process=image/format,png
[format_png 15]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscHhhVUV5SXU2djBkVmR4WUZpYjYwOUxRcVNpYm5FVWlhcTc5bUU0NkpIN2MwMUtpYVByaWNZRUFub1lRLzY0MA?x-oss-process=image/format,png
[format_png 16]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy9MbGw4dHgwTURSMGdxZUZnN1hxS2xBdFRGd3YwQnNscFcza1JENjBPZlA5RHR2M3ZkV2gyOTdGZ1JvaWJ4Qmljb09uSWs4UzJYWnBzUFFrYVZ1MDNmWHZ3LzY0MA?x-oss-process=image/format,png