使用unidbg破解孤挺花字符串混淆并修复so

本文为看雪论坛优秀文章

看雪论坛作者ID：Avacci

（题外话：首先恭喜一下高研班学员“一颗金柚子”拿到阿里offer！越努力越幸运 —— 【看雪高研班】一颗金柚子访谈录）

目标：字符串混淆技术是有效对抗静态分析的手段。对于在init_array节函数中进行混淆字符串的解密的保护技术，请分析课上使用AndroidNativeEmu解决的原理，并使用Unidbg进行实现

老师上课时详细地演示了用AndroidNativeEmu做相关处理的整个流程。先用AndroidNativeEmu模拟执行一遍.init_array节中所有的函数。在执行过程中记录所有对内存的写操作（地址，内容），对同一地址的写操作只要记录最后一次。最后根据的写操作记录patch so中对应偏移处的内容。

具体实现方式是对内存写操作添加hook回调：

在回调处理函数中把写入内存的地址和写入的内容存到一个map对象中： 模块加载完，.init_array中的函数肯定也早就执行完了，就可以根据前面记录的内存修改操作去patch原so。这里只处理地址位于so加载地址段内的写内存操作，而且patch的时候要把记录的内存地址转换为相对so加载基址的偏移。

Unidbg实现起来也依照之前的理念，先给模拟器加上内存写操作的hook回调：

然后由框架加载so库时调用init_array节中的函数列表：

So加载完后，根据写操作记录patch内存中对应地址的内容，再保存为新的so。

以上流程测试可行。

Obf.so处理完的部分成果：

Libcrypt.so处理完的部分成果：

Libcrack.so处理完的部分成果：

看雪ID：Avacci

https://bbs.pediy.com/user-home-879855.htm

  *本文由看雪论坛 Avacci 原创，转载请注明来自看雪社区

# 往期推荐

公众号ID：ikanxue

官方微博：看雪安全

商务合作：[e-mail]

球分享

球点赞

球在看

点击“阅读原文”，了解更多！