Android IDA 动态调试最完善攻略，跨过各种坑

柔光的暖阳◎ 2022-12-10 14:50 211阅读 0赞

From：[https://www.pianshen.com/article/3409449384/][https_www.pianshen.com_article_3409449384]

IDA **静态分析** 与 **动态分析**：[https://zhuanlan.zhihu.com/p/38983223][https_zhuanlan.zhihu.com_p_38983223]

新手向总结：IDA 动态调试 So 的一些坑：[https://zhuanlan.zhihu.com/p/145383282][https_zhuanlan.zhihu.com_p_145383282]

Android 逆向之旅 --- 动态方式破解 apk 进阶篇 ( IDA 调试 so 源码 )：[https://zhuanlan.zhihu.com/p/23321571][https_zhuanlan.zhihu.com_p_23321571]

IDA 动态调试 逆向 so 库：[https://zhuanlan.zhihu.com/p/40174083][https_zhuanlan.zhihu.com_p_40174083]

**Android 未root 环境下使用 IDA 调试**：**[https://www.pianshen.com/article/6759779793/][https_www.pianshen.com_article_6759779793]**

IDA 动态调试 android 的 so 文件 (二)：[https://www.pianshen.com/article/29271382106/][https_www.pianshen.com_article_29271382106]

\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\* **前提条件** 和 **运行环境** 一定要写清楚，不然会有很多坑，坑死人。 \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*

**雷电、蓝叠的 cpu 是 x86 的，ida不能正常调试，需要用 Android 编译器自带的创建模拟器。**  
ida模拟器动态调试，当执行到断点时会出现错误，通过百度知道是因为雷电、蓝叠模拟器的cpu都是x86的架构，所以用来调试就会出错，通过观看视频发现教程中用的是Android自带的模拟器，所以这里也是创建一个模拟器。  
**用 Android studio 创建模拟器会出现下面的选项，选择 Other Images 选项，这时显示出 armeabi-v7a，选择这个创建模拟器，就是 arm 的模拟器不是 x86，能正常调试。**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 1][]

**动态启动调试**（**IDA 调试 Android 方法及简单的脱壳实现**：**[https://www.pianshen.com/article/12891271497/][https_www.pianshen.com_article_12891271497]**）

Android Killer 反编译 x.apk，取出 classes.dex Dalvik文件，记录包名和启动类名。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 2][]

修改 AndroidManifest.xml 文件，在 <application> 标签里添加属性 android:debuggable="true"  这一步越早修改越好，防止忘记改。可以查看一下AndroidManifest.xml 他们的对应关系，加深理解。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 3][]

用 AndroidKiller 重新编译修改过的 x\_fix.apk。  
**adb install x\_fix.apk**  安装到手机  
将 IDA 安装目录 dbgsrv 目录下的 android\_server 文件拷入手机  
**adb push dbgsrv\\android\_server /data/data/android\_server**  
接着执行  
        **adb shell chmod 655 /data/data/android\_server** 添加可执行权限  
        **adb shell /data/data/android\_server**           将其运行起来

步骤：

(1) IDA 是 7.0 版本

(2) JDB 使用 Java 安装目录下的

(3) 系统是 win10， 使用命令窗口时有很大的差别

(4) 手机是4.4 以下系统

1.手机要有 Root 权限

2.复制 IDA 安装目录下 **dbgsrv** 文件里面的 **android\_server** 文件到手机内存储的  **/data/local/tmp** 目录下

**adb push** **dbgsrv\\android\_server****/data/data/android\_server**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 4][]

3.控制台输入 adb shell su 命令获取管理员权限

4.cd /data/local/tmp 进入android\_server目录 ，输入chmod 777 android\_server 命令获取执行权限

5.  ./android\_server 启动 android\_server

6. 新开一个命令窗口    不用获取管理员权限，直接输入 adb forward tcp:23946 tcp:23946   命令 端口转发

7.**adb shell am start -D -n ** 包名/activity路径   启动应用

adb shell am start -D -n com.cmxxzwy.mz/com.e4a.runtime.android.mainActivity

8.打开 IDA

9. 菜单 debugger->attach->Remote ARM Linux/android debugger

10.debug options 一定要选

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 6][]

11. hostname 处输入127.0.0.1

12. 点击 ok 后，在弹出的进程选择框 选择要调试的 com.cmxxzwy.mz 进程

13. 手机上的 App 开始运行后，一定要点击 IDA 的开始运行按钮。如果有反调试的话，一定要先下断点，不然一运行就崩溃了，一切重新来过。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 7][]

14. 打开 DDMS，下一步要用

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 8][]

15. 查看  要调试的进程，发现 8700 端口被占用。可以使用 8677 端口

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700要改为

jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8677

用 jdb 将 app 恢复执行。

最后在命令行中输入：
    jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700
    这一步的作用是使程序恢复运行。（注意这时候如果ida里还没有点击运行，程序是不会真的继续运行的）
    这时候就可以正常地在IDA里下断调试了。

为了使用 jdb 恢复程序的运行，我们需要：

*  APK 的 AndroidManifest.xml 中 debuggable 为 true
 *  或是 **根目录下** 的 **ro.debuggable的值为1**，如下图所示：

参考：IDA调试 ：[https://www.pianshen.com/article/1916803437/][https_www.pianshen.com_article_1916803437]

C:\>adb devices
    List of devices attached
    040ACGD7SAE2    device
    
    C:\>adb shell
    shell@mx2:/ $ su
    root@mx2:/ # exit
    shell@mx2:/ $ exit
    
    C:\>adb shell su
    root@mx2:/ # cat default.prop | grep debug
    cat default.prop | grep debug
    ro.debuggable=0
    root@mx2:/ # getprop ro.debuggable
    getprop ro.debuggable
    0
    root@mx2:/ #

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 9][]

16. 好了可以开始调试了 F7进入函数，F8单步调试，F9跳到下一个断点，F2下断点，G调到函数地址

17. 以某数字加固为例 给 libc.so 的 fopen 函数起始位置下断点。

然后一路F9, 直到出现

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 10][]

然后开始F8,一直F8执行，知道出现如下提示框

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 11][]

才真正进入我们要调试的 so库

18. 动态调试的时候面对的都是 Arm 汇编，理解能力要跟的上调试速度，这有点难。怎么办？

那就是动静态结合调试。我们来看动态调试窗口

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 12][]

1 为这句代码的动态内存地址。 2 为该so文件的动态内存基地址。  3 为内存段的大小。

静态调试窗口显示的都是代码的相对偏移地址，所以我们用  1动态内存地址  - 2内存基地址 = 静态相对偏移地址

![20200927001806878.png][]

所以 F24B4 就是静态代码的偏移地址。所以我们打开静态调试窗口就可以看到

![20200927001847735.png][]

这样，动态和静态的代码就对上了，用静态的代码来记录动态调试的位置信息，就不怕调试过程中断带来的麻烦。而且使用F5来辅助理解代码也是棒棒哒

19. 动态调试过程往往反反复复，命令有时候懒得重新输入。快捷键 ctrl +c 结束当前命令程序，按上下键输入之前输过的命令。

20. 有时候，跳转到指定地址的时候全是 DCB 数据，这怎么办

![20200927001927845.png][]

这个时候可以按 C 键识别为代码，或者按 P 键识别为函数

21.我们动态调试经常就是为了看内存，那么怎么看内存。很简单，执行下图前三步，就能在4步的视图中查看内存

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 13][]

[https_www.pianshen.com_article_3409449384]: https://www.pianshen.com/article/3409449384/
[https_zhuanlan.zhihu.com_p_38983223]: https://zhuanlan.zhihu.com/p/38983223
[https_zhuanlan.zhihu.com_p_145383282]: https://zhuanlan.zhihu.com/p/145383282
[https_zhuanlan.zhihu.com_p_23321571]: https://zhuanlan.zhihu.com/p/23321571
[https_zhuanlan.zhihu.com_p_40174083]: https://zhuanlan.zhihu.com/p/40174083
[https_www.pianshen.com_article_6759779793]: https://www.pianshen.com/article/6759779793/
[https_www.pianshen.com_article_29271382106]: https://www.pianshen.com/article/29271382106/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70]: /images/20221123/885b8f150e0d42878b840f83d3f797d6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 1]: /images/20221123/cfff418eb6a24dcf8344fbbb25f3e168.png
[https_www.pianshen.com_article_12891271497]: https://www.pianshen.com/article/12891271497/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 2]: /images/20221123/456daad25eab4434bc4137dca93cd5e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 3]: /images/20221123/91bfc28ce69e4dfdb517ce9adc2c68b3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 4]: /images/20221123/f1e6a4aed3924ea48af9ee8455d0d70f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 5]: /images/20221123/27e2220e68a6470f82e12216d9dd097e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 6]: /images/20221123/e06a71e6f1bf4faf881903cbe1dc4dd2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 7]: /images/20221123/9a6744dc88a74532a6cb2e575b55a134.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 8]: /images/20221123/0e1d69f22d804604903d896a47b6fa62.png
[https_www.pianshen.com_article_1916803437]: https://www.pianshen.com/article/1916803437/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 9]: /images/20221123/d7d10f588efe455b9a03bb5cb3810e28.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 10]: /images/20221123/ff9b6b4d64324df787cf88bcc106ffb8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 11]: /images/20221123/ded197eeccf44940990d1a5f970237f3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 12]: /images/20221123/03a516008b5f4fd6a15d640c20abb9eb.png
[20200927001806878.png]: /images/20221123/2c992cf65926401b82d4985381200128.png
[20200927001847735.png]: /images/20221123/69ba6e4a922a4685b81f5a0932f94007.png
[20200927001927845.png]: /images/20221123/96db72a09df14c53bc9f22a019f7793c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZyZWVraW5nMTAx_size_16_color_FFFFFF_t_70 13]: /images/20221123/bb960b2401cc44679b40b83a69ab8326.png