首页
论坛
课程
招聘
[原创]一次对tx御安全的脱壳
2021-6-21 18:53 12068

[原创]一次对tx御安全的脱壳

2021-6-21 18:53
12068

朋友发我两个app,好像是看雪班里面的题目,加了tx御安全的壳,问我能不能脱

那便开始处理:


首先获取一下基本信息


安装app运行起来使用frida dex dump进行脱壳

得到如下文件

发现有一摸一样大小的dex,发觉不对劲,用GDA打开

里面的方法都被抽取了,使用jeb验证一下

全部都是nop


这里说一下原理:抽取壳的原理其实就是将原来app dex里面的代码全部替换成nop保存起来,然后在需要调用的时候再填充回去,在app运行起来的时候进行dump是能够拿到一些完整的代码的,这些代码都是被调用过的,所以已经回填变成完整的了,但是我们不可能在用户操作界面把所有的方法都运行一遍,这个时候就需要主动调用式的脱壳机才能进行脱壳了



这里我使用了 https://bbs.pediy.com/thread-259854.htm 这个脱壳机


本来是用的fart,但是不知道为什么会出现脱壳过程中app闪退的情况,猜测可能是调用到了不该调用的方法


使用youpk进行脱壳得到dex

使用作者提供的脚本修复一下,再按照顺序对dex重命名之后直接覆盖到原app里面的dex



至此,dex处理完毕

然后便是对manifest文件的处理,因为里面的入口还是壳的入口,需要换成app的原始入口,而app原始入口位于未脱壳的app的dex中的

com.wrapper.proxyapplication.WrapperProxyApplication的WrapperProxyApplication.className中


将这个字符串替换到manifest文件下面的application属性里面的 name里面


这里推荐使用np管理器或者mt管理器进行替换,省去了反编译和重打包的麻烦和各种问题


删除壳的冗余文件

已经显示未加固


运行一下看看有没有问题

运行正常,脱壳结束



最后附上样本

https://wwr.lanzoui.com/i0symq5q3af 
密码:9br5 







2021 KCTF 秋季赛 防守篇-征题倒计时(11月14日截止)!

最后于 2021-6-22 07:37 被Dyingchen编辑 ,原因:
收藏
点赞3
打赏
分享
最新回复 (14)
雪    币: 1454
活跃值: 活跃值 (2576)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lhxdiao 活跃值 2021-6-21 22:18
2
0
不错哦,实际上脱壳你用Xposed环境就行,tx御安全为了兼容Xposed,会主动回填所有nop。
雪    币: 2365
活跃值: 活跃值 (1118)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
Dyingchen 活跃值 2021-6-21 22:36
3
0
lhxdiao 不错哦,实际上脱壳你用Xposed环境就行,tx御安全为了兼容Xposed,会主动回填所有nop。
还有这种说法的吗,因为我真机安卓版本比较高,弄xposed比较麻烦就没装,在模拟器上面启动app的时候被检测了,也就放弃了xp,兼容xp主动回填还是第一次听说
雪    币: 35
活跃值: 活跃值 (330)
能力值: ( LV9,RANK:250 )
在线值:
发帖
回帖
粉丝
daxia200N 活跃值 6 2021-6-22 06:45
4
0
楼主把样本发下,有时间也玩玩
雪    币: 1454
活跃值: 活跃值 (2576)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lhxdiao 活跃值 2021-6-22 16:58
5
0
Dyingchen 还有这种说法的吗,因为我真机安卓版本比较高,弄xposed比较麻烦就没装,在模拟器上面启动app的时候被检测了,也就放弃了xp,兼容xp主动回填还是第一次听说
有的,之前有人分析过御安全,得出结论也是这样,御安全不是说检测到xposed不运行,而是为了兼容性(以前的淘宝为了兼容xposed,改了几个libart内几个类成员的偏移,而不是直接闪退),主动兼容xposed。
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
柒晨 活跃值 2021-6-23 13:43
6
0
tx加固还挺良心
雪    币: 217
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_hgbbfgzh 活跃值 2021-6-23 20:43
7
0
学习到了
雪    币: 835
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
图灵真主护佑 活跃值 2021-6-28 11:02
8
0
请问大佬,查看apk加固信息的软件能介绍一下吗
雪    币: 2365
活跃值: 活跃值 (1118)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
Dyingchen 活跃值 2021-6-28 12:55
9
0
图灵真主护佑 请问大佬,查看apk加固信息的软件能介绍一下吗
np管理器
雪    币: 233
活跃值: 活跃值 (599)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
kakasasa 活跃值 2021-6-28 18:45
10
0
mark
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_yvvzfcdo 活跃值 2021-7-15 22:33
11
0
那个修复工具,咋调用
雪    币: 2365
活跃值: 活跃值 (1118)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
Dyingchen 活跃值 2021-7-16 18:29
12
0
mb_yvvzfcdo 那个修复工具,咋调用
看作者原帖,有详细描述
雪    币: 2448
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
iamblackhat 活跃值 2021-7-16 19:44
13
0
不错不错
雪    币: 18
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
万里星河 活跃值 2021-7-18 14:44
14
0
支持一下
雪    币: 2706
活跃值: 活跃值 (511)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
billery 活跃值 2021-7-18 21:10
15
0
学习了,感谢分享!
游客
登录 | 注册 方可回帖
返回