【N1CTF2024】ezapk

前言

久違的看看安卓題，~~順便水一篇文章~~，有任何問題歡迎指出！

分析

java層

拉入jadx，很容易可以定位到關鍵邏輯，經典的加密對比。

加密函數enc在native層，而且加載了2個so。

嘗試分別將2個so都拉入ida，但都未發現enc，顯然是動態注冊的。

網上抄的一個frida腳本，用來hook動態注冊的native函數

// com.n1ctf2024.ezapk
function find_RegisterNatives(params) {
    let symbols = Module.enumerateSymbolsSync("libart.so");
    let addrRegisterNatives = null;
    for (let i = 0; i < symbols.length; i++) {
        let symbol = symbols[i];
        
        //_ZN3art3JNI15RegisterNativesEP7_JNIEnvP7_jclassPK15JNINativeMethodi
        if (symbol.name.indexOf("art") >= 0 &&
                symbol.name.indexOf("JNI") >= 0 && 
                symbol.name.indexOf("RegisterNatives") >= 0 && 
                symbol.name.indexOf("CheckJNI") < 0) {
            addrRegisterNatives = symbol.address;
            console.log("RegisterNatives is at ", symbol.address, symbol.name);
            hook_RegisterNatives(addrRegisterNatives)
        }
    }

}

function hook_RegisterNatives(addrRegisterNatives) {

    if (addrRegisterNatives != null) {
        Interceptor.attach(addrRegisterNatives, {
            onEnter: function (args) {
                console.log("[RegisterNatives] method_count:", args[3]);
                let java_class = args[1];
                let class_name = Java.vm.tryGetEnv().getClassName(java_class);
                //console.log(class_name);

                let methods_ptr = ptr(args[2]);

                let method_count = parseInt(args[3]);
                for (let i = 0; i < method_count; i++) {
                    let name_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3));
                    let sig_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize));
                    let fnPtr_ptr = Memory.readPointer(methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize * 2));

                    let name = Memory.readCString(name_ptr);
                    let sig = Memory.readCString(sig_ptr);
                    let symbol = DebugSymbol.fromAddress(fnPtr_ptr)
                    console.log("[RegisterNatives] java_class:", class_name, "name:", name, "sig:", sig, "fnPtr:", fnPtr_ptr,  " fnOffset:", symbol, " callee:", DebugSymbol.fromAddress(this.returnAddress));
                }
            }
        });
    }
}

setImmediate(find_RegisterNatives);

發現是在libnative1.so!0x1b148

native層

0x1b148函數如下，重命名成enc，做了一些奇奇怪怪的操作，等等再分析

在此之前，由於比較好奇另一個so libnative2.so有什麼用，於是順手查看了.init_array段，看看有沒有偷偷在做壞事。( 因為在java層沒有發現任何對libnative2.so函數的調用，只有調用libnative1.so的，因此合理懷疑對libnative2.so的操作是在libnative1.so中進行的，而.init_array就是一個很好的時機。 )

sub_1B540是.init_array段最後一個函數，果然發現了libnative2.so的字樣。