在 Android逆向之ARM64静态分析 对ARM64汇编进行了介绍，网传ARMV9要出来了，难道又要重新学习ARMV9? 在Frida高级篇-免ROOT使用Frida(不修改源代码) 中对elf文件进行了介绍，本文使用unidbg模拟执行so来分析native方法。首先来介绍Unicorn。

Unicorn

Unicorn is a lightweight multi-platform, multi-architecture CPU emulator framework.

本文使用无名侠大神使用的Unicorn入门教程来看看Unicorn是怎么模拟CPU的。

1. from unicorn import *

2. from unicorn.arm_const import *

3. from capstone import *

4. 
   

5. ARM_CODE = b"\x37\x00\xa0\xe3\x03\x10\x42\xe0"

6. 
   

7. # Disassemble ARM32 binary

8. md = Cs(CS_ARCH_ARM, CS_MODE_ARM)

9. for i in md.disasm(ARM_CODE, 0x1000):

10. print("0x%x:\t%s\t%s" %(i.address, i.mnemonic, i.op_str))

11. 
    

12. 
    

13. # mov r0, #0x37;

14. # sub r1, r2, r3

15. # Test ARM

16. 
    

17. # callback for tracing instructions

18. def hook_code(uc, address, size, user_data):

19. print(">>> Tracing instruction at 0x%x, instruction size = 0x%x" % (address, size))

20. 
    

21. def test_arm():

22. print("Emulate ARM code")

23. try:

24. # Initialize emulator in ARM mode

25.        mu = Uc(UC_ARCH_ARM, UC_MODE_THUMB)

26. 
    

27. # map 2MB memory for this emulation

28.        ADDRESS = 0x10000

29.        mu.mem_map(ADDRESS, 2 * 0x10000)

30.        mu.mem_write(ADDRESS, ARM_CODE)

31. 
    

32.        mu.reg_write(UC_ARM_REG_R0, 0x1234)

33.        mu.reg_write(UC_ARM_REG_R2, 0x6789)

34.        mu.reg_write(UC_ARM_REG_R3, 0x3333)

35. 
    

36.        mu.hook_add(UC_HOOK_CODE, hook_code, begin=ADDRESS, end=ADDRESS+8)

37. # emulate machine code in infinite time

38.        mu.emu_start(ADDRESS, ADDRESS + len(ARM_CODE))

39.        r0 = mu.reg_read(UC_ARM_REG_R0)

40.        r1 = mu.reg_read(UC_ARM_REG_R1)

41. print(">>> R0 = 0x%x" % r0)

42. print(">>> R1 = 0x%x" % r1)

43. except UcError as e:

44. print("ERROR: %s" % e)

45. 
    

46. 
    

47. test_arm()

运行结果:

添加指令级的Hook

这个有点像单步调试的感觉。

1. mu.hook_add(UC_HOOK_CODE, hook_code, begin=ADDRESS, end=ADDRESS)

在begin...end范围内的每一条指令被执行前都会调用callback。

让我们来看看hook_code 的实现吧

1. # callback for tracing instructions

2. def hook_code(uc, address, size, user_data):

3. print(">>> Tracing instruction at 0x%x, instruction size = 0x%x" %(address, size))

这段代码仅打印指令执行的地址和长度信息。 实际应用中可配合capstone反汇编引擎玩一些更骚的操作。

UCHOOKCODE的callback中可以修改PC或EIP等寄存器来改变程序运行流程。实际上，Unicorn调试器的单步调试就是以这个为基础实现的。

Unidbg

Allows you to emulate an Android native library, and an experimental iOS emulation.

下载代码: https://github.com/zhkl0228/unidbg/releases/tag/v0.9.3，使用IntelliJ IDEA打开工程即可。

运行代码: com/bytedance/frameworks/core/encrypt/TTEncrypt.java, 出现下面的信息说明运行成功。

代码分析

入口点:

1. public static void main(String[] args) throws Exception {

2. TTEncrypt test = new TTEncrypt(true);

3. 
   

4. byte[] data = test.ttEncrypt();

5. Inspector.inspect(data, "ttEncrypt");

6. 
   

7.     test.destroy();

8. }

第一步： 补环境 跟踪TTEncrypt函数,注释写的很清楚了，不做过多分析。基本套路都是这个样子。

1. TTEncrypt(boolean logging) {

2. this.logging = logging;

3. 
   

4.        emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.qidian.dldl.official").build(); // 创建模拟器实例，要模拟32位或者64位，在这里区分

5. final Memory memory = emulator.getMemory(); // 模拟器的内存操作接口

6.        memory.setLibraryResolver(new AndroidResolver(23)); // 设置系统类库解析

7. 
   

8.        vm = emulator.createDalvikVM(null); // 创建Android虚拟机

9.        vm.setVerbose(logging); // 设置是否打印Jni调用细节

10. DalvikModule dm = vm.loadLibrary(new File("unidbg-android/src/test/resources/example_binaries/libttEncrypt.so"), false); // 加载libttEncrypt.so到unicorn虚拟内存，加载成功以后会默认调用init_array等函数

11.        dm.callJNI_OnLoad(emulator); // 手动执行JNI_OnLoad函数

12.        module = dm.getModule(); // 加载好的libttEncrypt.so对应为一个模块

13. 
    

14. TTEncryptUtils = vm.resolveClass("com/bytedance/frameworks/core/encrypt/TTEncryptUtils");

15. }

第二步： HOOK相关的函数 跟踪ttEncrypt，可知代码hook了ssencrypt和ssencrypted_size两个函数。

1. byte[] ttEncrypt() {

2. if (logging) {

3. Symbol sbox0 = module.findSymbolByName("sbox0"); // 在libttEncrypt.so模块中查找sbox0导出符号

4. Symbol sbox1 = module.findSymbolByName("sbox1");

5. Inspector.inspect(sbox0.createPointer(emulator).getByteArray(0, 256), "sbox0"); // 打印sbox0导出符号在unicorn中的内存数据

6. Inspector.inspect(sbox1.createPointer(emulator).getByteArray(0, 256), "sbox1");

7. 
   

8. IHookZz hookZz = HookZz.getInstance(emulator); // 加载HookZz，支持inline hook，文档看https://github.com/jmpews/HookZz

9.            hookZz.enable_arm_arm64_b_branch(); // 测试enable_arm_arm64_b_branch，可有可无

10.            hookZz.wrap(module.findSymbolByName("ss_encrypt"), new WrapCallback<RegisterContext>() { // inline wrap导出函数

11. @Override

12. public void preCall(Emulator<?> emulator, RegisterContext ctx, HookEntryInfo info) {

13. Pointer pointer = ctx.getPointerArg(2);

14. int length = ctx.getIntArg(3);

15. byte[] key = pointer.getByteArray(0, length);

16. Inspector.inspect(key, "ss_encrypt key");

17. }

18. @Override

19. public void postCall(Emulator<?> emulator, RegisterContext ctx, HookEntryInfo info) {

20. System.out.println("ss_encrypt.postCall R0=" + ctx.getLongArg(0));

21. }

22. });

23.            hookZz.disable_arm_arm64_b_branch();

24.            hookZz.instrument(module.base + 0x00000F5C + 1, new InstrumentCallback<Arm32RegisterContext>() {

25. @Override

26. public void dbiCall(Emulator<?> emulator, Arm32RegisterContext ctx, HookEntryInfo info) { // 通过base+offset inline wrap内部函数，在IDA看到为sub_xxx那些

27. System.out.println("R3=" + ctx.getLongArg(3) + ", R10=0x" + Long.toHexString(ctx.getR10Long()));

28. }

29. });

30. 
    

31. Dobby dobby = Dobby.getInstance(emulator);

32.            dobby.replace(module.findSymbolByName("ss_encrypted_size"), new ReplaceCallback() { // 使用Dobby inline hook导出函数

33. @Override

34. public HookStatus onCall(Emulator<?> emulator, HookContext context, long originFunction) {

35. System.out.println("ss_encrypted_size.onCall arg0=" + context.getIntArg(0) + ", originFunction=0x" + Long.toHexString(originFunction));

36. return HookStatus.RET(emulator, originFunction);

37. }

38. @Override

39. public void postCall(Emulator<?> emulator, HookContext context) {

40. System.out.println("ss_encrypted_size.postCall ret=" + context.getIntArg(0));

41. }

42. }, true);

43. 
    

44. IxHook xHook = XHookImpl.getInstance(emulator); // 加载xHook，支持Import hook，文档看https://github.com/iqiyi/xHook

45.            xHook.register("libttEncrypt.so", "strlen", new ReplaceCallback() { // hook libttEncrypt.so的导入函数strlen

46. @Override

47. public HookStatus onCall(Emulator<?> emulator, HookContext context, long originFunction) {

48. Pointer pointer = context.getPointerArg(0);

49. String str = pointer.getString(0);

50. System.out.println("strlen=" + str);

51.                    context.push(str);

52. return HookStatus.RET(emulator, originFunction);

53. }

54. @Override

55. public void postCall(Emulator<?> emulator, HookContext context) {

56. System.out.println("strlen=" + context.pop() + ", ret=" + context.getIntArg(0));

57. }

58. }, true);

59.            xHook.register("libttEncrypt.so", "memmove", new ReplaceCallback() {

60. @Override

61. public HookStatus onCall(Emulator<?> emulator, long originFunction) {

62. RegisterContext context = emulator.getContext();

63. Pointer dest = context.getPointerArg(0);

64. Pointer src = context.getPointerArg(1);

65. int length = context.getIntArg(2);

66. Inspector.inspect(src.getByteArray(0, length), "memmove dest=" + dest);

67. return HookStatus.RET(emulator, originFunction);

68. }

69. });

70.            xHook.register("libttEncrypt.so", "memcpy", new ReplaceCallback() {

71. @Override

72. public HookStatus onCall(Emulator<?> emulator, long originFunction) {

73. RegisterContext context = emulator.getContext();

74. Pointer dest = context.getPointerArg(0);

75. Pointer src = context.getPointerArg(1);

76. int length = context.getIntArg(2);

77. Inspector.inspect(src.getByteArray(0, length), "memcpy dest=" + dest);

78. return HookStatus.RET(emulator, originFunction);

79. }

80. });

81.            xHook.refresh(); // 使Import hook生效

82. }

第三步： 添加调试及主动调用

1. if (logging) {

2. Debugger debugger = emulator.attach(DebuggerType.ANDROID_SERVER_V7); // 附加IDA android_server，可输入c命令取消附加继续运行

3. }

4. byte[] data = new byte[16];

5. ByteArray array = TTEncryptUtils.callStaticJniMethodObject(emulator, "ttEncrypt([BI)[B", new ByteArray(vm, data), data.length); // 执行Jni方法

6. return array.getValue();

7. }

第四步： 销毁环境

跟踪destroy

1. void destroy() throws IOException {

2.      emulator.close();

3. if (logging) {

4. System.out.println("destroy");

5. }

6. }

运行结果

这个时候按c，继续，可以看到hook的结果以及JNI调用细节。

单步调试

ida_server的Debug方式相对简单，对于unidbg的强大之一在于它的单步调试-- Console Debugger

写在最后

作者的例子是以抖音作为例子的，还是很不错的。注释都写的比较清楚了。unidbg单步调试做的很棒，这个弥补了frida调试能力比较弱的缺点。

公众号

更多内容，欢迎关注我的微信公众号: 无情剑客。