安卓动态调试七种武器之长生剑 - Smali Instrumentation

安卓动态调试七种武器之长生剑 - Smali Instrumentation

做者：蒸米@阿里聚安全

 

0x00 序

随着移动安全愈来愈火，各类调试工具也都层出不穷，但由于环境和需求的不一样，并无工具是万能的。另外工具是死的，人是活的，若是能搞懂工具的原理再结合上自身的经验，你也能够创造出属于本身的调试武器。所以，笔者将会在这一系列文章中（共7篇）分享一些本身常常用或原创的调试工具以及手段，但愿能对国内移动安全的研究起到一些催化剂的做用。

 

0x01 长生剑

长生剑是把神奇的剑，为白玉京所配，剑名取意来自于李白的诗：“仙人抚我顶，结发受长生。”长生剑是七种武器系列的第一种武器，而笔者接下来所要介绍的调试方法也是我最先学习的调试方法，而且这种方法就像长生剑同样，简单并一直都有很好的效果。这种方法就是Smali Instrumentation，又称Smali插桩。使用这种方法最大的好处就是不须要对手机进行root，不须要指定android的版本，若是结合一些tricks的话还会有意想不到的效果。

 

0x02 Smali/baksmali

作安卓逆向最早接触到的东西确定就是smali语言了，smali最先是由Jasmin提出，随后jesusfreke开发了最有名的smali和baksmali工具将其发扬光大，几乎dex上全部的静态分析工具都是在这个项目的基础上创建的。什么？你没据说过smali和baksmali？你只用过Apktool？若是你仔细阅读了Apktool官网的说明你就会发现，Apktool其实只是一个将各类工具结合起来的懒人工具而已。而且笔者建议从如今起就抛弃Apktool吧。缘由以下：首先，Apktool更新并无smali/baksmali频繁，smali/baksmali更新后要过非长久的时间才会合并到Apktool中，在这以前你可能须要忍受不少诡异的bug。其次，Apktool在反编译或者重打包dex的时候，若是发生错误，仅仅只会提供错误的exception信息而已，但若是你使用smali/baksmali，工具会告诉你具体的出错缘由，会对重打包后的调试有巨大的帮助。最后，不少apk为了对付反调试会在资源文件中加入不少junk code从而使得Apktool的解析崩溃掉，形成反编译失败或者没法重打包。但若是你仅对classes.dex操做就不会有这些问题了。

学习smali最好的方法就是本身先用java写好程序，再用baksmali转换成smali语句，而后对照学习。好比下面就是java代码和用baksmali反编译事后的smali文件的对照分析。

MZLog类主要是用Log.d()输出调试信息，Java代码以下：

 

对应的smali代码以下：

 

最后简单介绍一下smali经常使用的数据类型：

 

0x03 Smali插桩

若是仅仅用Smali来分析代码，效果其实不如用dex2jar和jd-gui更直观，毕竟看反编译的java代码要更容易一些。但Smali强大之处就是能够为所欲为的进行插桩操做。何为插桩，引用一下wiki的解释：程序插桩，最先是由J.C. Huang 教授提出的，它是在保证被测程序原有逻辑完整性的基础上在程序中插入一些探针（又称为“探测仪”），经过探针的执行并抛出程序运行的特征数据，经过对这些数据的分析，能够得到程序的控制流和数据流信息，进而获得逻辑覆盖等动态信息，从而实现测试目的的方法。下面我就来结合一个例子来说解一下何如进行smali插桩。

 

测试程序是一个简单的crackme (图1)。输入密码，而后点击check，若是密码正确会输出yes，不然输出no。

图1 Crackme1的界面

 

首先咱们对crackme这个apk进行解压，而后反编译。咱们会在MainActivity中看到一个getkey(String,int)函数。这个函数貌似很是复杂，咱们暂时无论。咱们首先分析一下点下button后的逻辑。咱们发现程序会经过getkey("mrkxqcroxqtskx",42)来计算出真正的密码，而后与咱们输人的密码进行比较，java代码以下：

 

 

这时候就是smali插桩大显身手的时候了，咱们能够经过插桩直接获取getkey("mrkxqcroxqtskx",42)这个函数的返回值，而后Log出来。这样咱们就不须要研究getkey这个函数的实现了。具体过程以下：

1 首先解压apk而后用baksmali进行反编译。

 

2 将上一节MZLog类的MZLog.smali文件拷贝到com/mzheng目录下，这个文件有3个LOG函数，分别能够输出String的值，Object的值和Object数组的值。注意，若是原程序中没有com/mzheng这个目录，你须要本身用mkdir建立一下。拷贝完后，目录结构以下：

 

3 用文本编辑器打开MainActivity$1.smali文件进行插桩。为何是MainActivity$1.smali而不是MainActivity.smali呢？由于主要的判断逻辑是在OnClickListener这个类里，而这个类是MainActivity的一个内部类，同时咱们在实现的时候也没有给这个类声明具体的名字，因此这个类用$1表示。加入MZLog.smali这个文件后，咱们只须要在MainActivity$1.smali的第71行后面加上一行代码，invoke-static {v1}, Lcom/mzheng/MZLog;->Log(Ljava/lang/Object;)V，就能够输出getkey的值了。Invoke是方法调用的指令，由于咱们要调用的类是静态方法，因此使用invoke-static。若是是非静态方法的话，第一个参数应该是该方法的实例，而后依次是各个参数。具体插入状况以下：

 

4 用smali.jar从新编译修改后的smali文件，把新编译的classes.dex覆盖老的classes.dex，而后再用signapk.jar对apk进行签名。几条关键指令以下：

 

5 安装程序到android，随便输入点啥，而后点击check按钮，随后在logcat中就能够看到getkey("mrkxqcroxqtskx",42)这个函数的返回值了(图2)。

图2 经过logcat获取getkey的返回值

 

0x03 Smali修改

经过Smali/baksmali工具，咱们不光能够插桩，还能够修改apk的逻辑。几个须要注意点以下：

 

1. if条件判断以及跳转语句

在smali中最多见的就是if这个条件判断跳转语句了，这个判断一共有12条指令：

 

 

好比咱们在crackme1里判断密码是否正确的smali代码段：

 

若是咱们不关心密码内容，只是但愿程序输出”yes”的话。咱们能够把if-eqz v1, :cond_25改为if-nez v1, :cond_25。这样逻辑就变为：当输错密码的时候，程序反而会输出”yes”。

 

2. 寄存器问题

修改Smali时有一件很重要的事情就是要注意寄存器。若是乱用寄存器的话可能会致使程序崩溃。每一个方法开头声明了registers的数量，这个数量是参数和本地变量总和。参数统一用P表示。若是是非静态方法p0表明this，p1-pN表明各个参数。若是是静态方法的话，p0-pN表明各个参数。本地变量统一用v表示。若是想要增长的新的本地变量，须要在方法开头的registers数量上增长相应的数值。

好比下面这个方法：

 

由于这不是静态方法，因此p0表明this。若是想要增长一个新的本地变量，好比v0。就须要把.registers 1改成.registers 2。

 

3. 给原程序增长大量逻辑的办法

我很是不建议在程序原有的方法上增长大量逻辑，这样可能会出现不少寄存器方面的错误致使编译失败。比较好的方法是：把想要增长的逻辑先用java写成一个apk，而后把这个apk反编译成smali文件，随后把反编译后的这部分逻辑的smali文件插入到目标程序的smali文件夹中，而后再在原来的方法上采用invoke的方式调用新加入的逻辑。这样的话无论加入再多的逻辑，也只是修改了原程序的几行代码而已。这个思路也是不少重打包病毒惯用的伎俩，确实很是方便好用。

 

0x04 APK签名Tricks

当咱们在实战中，有时会碰到某些apk在内部实现了本身的签名检查。此次咱们介绍的Smali Instrumentation方法由于须要重打包，因此会改变原有的签名。固然，你能够经过修改apk把签名检查的逻辑删掉，但这又费时又费力。笔者在这里简单介绍两种很是方便的方法来解决签名检查问题。

 

1. Masterkey

Masterkey漏洞一共有三个，能够影响android 4.4如下版本。利用这个漏洞，咱们能够插入新的classes.dex替换掉原有的classes.dex而不须要对apk自己进行从新签名。若是apk自己有签名校验逻辑的话，利用这个漏洞来进行Smali Instrumentation简直再好不过了。首先，你须要一个android 4.4如下版本的虚拟机或者真机，而后再使用一个masterkey利用工具对apk进行exploit便可。工具下载地址在文章最后，使用的命令以下：

 

orig.apk是本来的apk文件，moddedClassesDex.zip是修改后的classes.dex并压缩成zip文件，out.apk就是利用Masterkey漏洞生成的新的apk文件。若是成功的话用rar打开文件会看到两个classes.dex。

图3 Masterkey生成的apk文件有两个classes.dex文件

经过masterkey打包后的apk文件签名并不会有任何变化，这样也就不用担忧签名校验问题了。

 

2. 自定义ROM

签名的判断实际上是调用了android系统密码库的函数，若是咱们能够本身定制ROM的话，只须要修改AOSP源码路径下的libcore\luni\src\main\java\java\security\MessageDigest.java文件。将isEqual函数中的判断语句注释掉：

 

这样的话，若是在你自定义的ROM上运行apk，不管你怎么修改classes.dex文件，都不须要关心签名问题了，系统会永远返回签名正确的。

 

0x05 小结

虽然如今愈来愈多的apk开始使用so文件进行逻辑处理和加固，android 4.4也加入art运行环境，但dalvik永远是android最经典的东西。若是想要学好android逆向，必定要把这部分知识学好。而且把smali研究透彻之后，会对咱们之后要讲的自定义dalvik虚拟机有很大帮助。另外文章中全部提到的代码和工具均可以在个人github下载到，地址是： https://github.com/zhengmin1989/TheSevenWeapons

 

0x06 参考文章

Way of the AndroidCracker http://androidcracking.blogspot.hk/p/way-of-android-cracker-lessons.html

Android Master Key Exploit – Uncovering Android Master Key

https://bluebox.com/technical/uncovering-android-master-key-that-makes-99-of-devices-vulnerable/

https://github.com/Fuzion24/AndroidZipArbitrage

Min Zheng, Patrick P. C. Lee, John C. S. Lui. "ADAM: An Automatic and Extensible Platform to Stress Test Android Anti-Virus Systems", DIMVA 2012

 

做者：蒸米@阿里聚安全，更多安全技术文章，请访问阿里聚安全博客