一到四代壳解决方案

不念不忘少年蓝@ 2023-10-02 09:16 5阅读 0赞

### **第一代加固 DEX加密** ###

proguard等混淆、其他弱加密

DEX字符串加密

静态DEX文件整体加密解密

资源加密(xml与arsc文件加密及十六进制加密)

对抗反编译(添加垃圾类)

反调试

自定义DexClassLoader

落地加载 (dex可以在apk目录下看到)

### 第二代加固 DEX抽取与SO加固 ###

DEX动态加载（分为利用jni和自定义jni即自定义底层函数）

DEX代码抽取到外部（类抽取加密按需解密和动态方法修改替换）

SO加密

不落地加载 (apk目录下不能看到原始dex)  
把加密的dex文件加载到内存中 然后解密 从始至终不会以文件形式存在

### 第三代加固 DEX动态解密与SO混淆 ###

Dex代码动态解密

SO代码膨胀混淆

指令抽取然后一次性还原 还原到原始dex文件  
指令只有被需要时才还原  
还原到原始dex文件 在被抽取的函数中架一座桥 跳转到其他地方运行  
  
分析加固逻辑 先dump dex文件  
dump出解密后的item  
dex重建  
脱壳工具：dexHunter youpk fart fpk3  
基于jni反调 主动调用

### 第四代加固 arm vmp ###

jni反射抽取方法成本地原生代码即半vmp（分为jni反射解密DEX方 法和完全翻译为C代码）

初级vm即dex opcode vm指令虚拟使用jni指令还原（分为自定义后 端编译器和jni反射置换表）

高级vm即解释框架dex opcode不存在还原使用解释引擎的vm文件

vmp 跟java vm虚拟机有关联 一部分指令实现需要靠这个虚拟机  
java2c  
  
pc andorid -> 自定义解释器(c) 指令虚拟化  
opcode 和 指令 一一对应  
把opcode 映射关系改了  
  
vmp  
  
java层  
java中的函数被关键词 native修饰 -> 静态注册 动态注册  
public native void onCreate(Bundle bundle); 此函数两种都不是  
StubApp.interface11(1347); 统一接口 1347 class\_id public static native void interface11(int i);  
  
so层  
so层执行 interface11(int i);  
interface11统一处理的函数 分发器  
registernative函数来注册函数地址 统一注册到一个地址  
不会交由javavm虚拟机来执行 -> 自己实现了switch分发器 (指令解析器)  
  
java2c dex2c  
  
把java代码转成c代码  
  
顶象加固 两者相结合

### 脱第一代壳： ###

**内存Dump法**

内存中寻找dex.035或者dey.036

/proc/xxx/maps中查找后，手动Dump

**文件监视法**

Dex优化生成odex

监视文件变化(inotifywait-for-Android)

监视DexOpt输出(notifywait-for-Android)

**Hook法**

Hook dvmDexFileOpenPartial

**定制系统FART**

修改安卓源码并刷机

### 脱第二代壳： ###

内存重组法

**Dex ZjDroid**

对付一切内存中完整的dex，包括壳与动态加载的jar

**SO elfrebuild**

构造soinfo，然后对其进行重建

**Hook法**

针对无代码抽取且Hook dvmDexFileOpenPartial失败

Hook dexFileParse

针对无代码抽取且Hook dexFileParse失败

Hook memcmp

**定制系统**

修改安卓源码并刷机－针对无抽取代码

**DexHunter**

绕过三进程反调试－修改系统源码

断点mmap调试，针对Hook dexFileParse无效

dexopt优化时,dvmContinueOptimization()->mmap()

**静态脱壳机**

分析SO壳逻辑并还原加密算法

自定义linker脱SO壳

### 脱第三代壳： ###

**dex2oat**

ART模式下，dex2oat生成oat时，内存中的DEX是完整的

Hook Dalvik\_dalvik\_system\_DexFile\_defineClassNative

枚举所有DexClassDef，对所有的class，调用dvmDefineClass进行 强制加载

三代壳 指令抽取壳且指令是直接还原，指令还原后没有再抽取

### 脱第四代壳 ###

so + vmp

libjiagu.so -> 释放了解释器so(通过自定义linker加载so) -> 解释器so进行指令解析执行

重要方法被native化 把java层的函数放到so层执行  
vmp：java层函数在so层执行 so层建立一个指令解析器 进行指令分发执行  
java2c: java层函数变成native函数执行 动态注册(桩函数)

阶段发展（换个角度，要从解密后dex文件的状态来看）

静态：dex文件解密后以静态文件存储（如某一个文件夹下的odex文件）

动态：dex文件解密后也在内存中

整体加密：真实、完整的dex出现在内存中

抽取加密：真实、完整的dex从不出现在内存中

对于整体加密和抽取加密，从实现来看，整体加密就是把dex整体隐藏在so中，而抽取加密就是先从so里解密出一个待修复的dex文件，真正的dex从这个文件里抽取部分。

三代脱壳机实现与关键函数：

规律：无论加固还是脱壳，都往底层发展。

1.dex优化与验证过程(实例：在dexFileParse函数HOOK）

2.虚拟机动态加载打开dex过程

3.dex类加载的过程

### 脱壳时机总结（DEX文件从打开到方法指令执行前）： ###

1.打开dex文件时

存在dex优化验证时的打开和虚拟机本地native打开两种，分别对应着一代和二代脱壳。

2.加载类时：defineclassnative函数

虽然类加载过程的函数很多，但我们一般脱壳只在defineclassnative函数。

这里列举出类的整个加载过程的函数

defineclassnative函数分析与类加载概念

defineclass函数分析

findnoinit函数分析（包括了dvmLookupClass）

loadClassFromDEX函数分析

loadClassFromDEX0函数分析与解析概念

dvmLinkClass函数分析

loadMethodFromDEX函数分析

3.类的初始化时：dvmIsClassInitialized和dvmInitClass这两个函数

4.查找类FindClass

5.获得方法ID并调用方法 GetStaticMethodID,CallStaticVoidMethod

（其实在GetStaticMethodID执行了类的初始化，可以尝试从这里）

发表评论取消回复

表情：

评论列表（有 0 条评论，5人围观）

还没有评论，来说两句吧...

相关阅读

相关 Java集合框架迭代问题及解决方案

在Java集合框架中，迭代操作是常见且重要的。可能会遇到的问题包括： 1. 未初始化：直接对迭代器进行操作会导致异常。需要先调用`iterator()`方法。 2. 迭代结

偏执的太偏执、/ 2024年09月26日 16:30/ 0 赞/ 107 阅读

相关分布式事务（1）四种解决方案

简述分布式事务指事务的操作位于不同的节点上，需要保证事务的 AICD 特性。例如在下单场景下，库存和订单如果不在同一个节点上，就涉及分布式事务。解决方案 ...

￡神魔★判官ぃ/ 2024年04月17日 14:18/ 0 赞/ 105 阅读

相关分布式Session的四种解决方案

一、cookie和[session][]的区别和联系 cookie是本地客户端用来存储少量数据信息的，保存在客户端，用户能够很容易的获取，安全性不高，存储的数据量小

蔚落/ 2023年10月15日 16:11/ 0 赞/ 17 阅读

相关分布式事务的四种解决方案

简述分布式事务指事务的操作位于不同的节点上，需要保证事务的 AICD 特性。例如在下单场景下，库存和订单如果不在同一个节点上，就涉及分布式事务。解决方案

爱被打了一巴掌/ 2023年10月05日 20:29/ 0 赞/ 73 阅读

相关一到四代壳解决方案

第一代加固 DEX加密 proguard等混淆、其他弱加密 DEX字符串加密静态DEX文件整体加密解密资源加密(xml与arsc文件加密及十六进制加密) 对抗

不念不忘少年蓝@/ 2023年10月02日 09:16/ 0 赞/ 6 阅读

相关第四代编程语言_几代编程语言

第四代编程语言几代编程语言 (Generations of programming language) [Programming languages][] have

我会带着你远行/ 2023年03月05日 13:27/ 0 赞/ 12 阅读

相关缓存四大问题及解决方案

问题一：缓存穿透，指缓存中没有数据，数据库中也没有数据。在进行数据的访问时，通过数据的key读取数据，但是该key对应数据在数据库中没有，在缓存中也没有，造成每次通过该key读

秒速五厘米/ 2022年12月25日 07:58/ 0 赞/ 177 阅读

相关病毒加壳技术与脱壳技术

由于大量的杀毒软件的出现，以及杀毒软件病毒库的不断壮大，病毒被查杀的几率也越来越大。所以有些病毒就开始通过加壳的方法来伪装自己，企图骗过杀毒软件，蒙混过关。为了做好病毒防御，我

Love The Way You Lie/ 2022年09月17日 11:26/ 0 赞/ 346 阅读

相关木马加壳

输入参数 ![1][] 输出参数 ![2][] 检测选项 ![3][] 保护特性 ![1][1 1] 保护 ![1][1 2] [1]:

阳光穿透心脏的1/2处/ 2022年05月26日 04:05/ 0 赞/ 243 阅读

相关分布式事务的四种解决方案

简述分布式事务指事务的操作位于不同的节点上，需要保证事务的 AICD 特性。例如在下单场景下，库存和订单如果不在同一个节点上，就涉及分布式事务。解决方案

我会带着你远行/ 2022年01月22日 07:35/ 0 赞/ 346 阅读