记录IDA动态调试进行APK脱壳流程

1.启动IDA文件夹dbgsrv中的android_server 命令

2.端口转发

新开一个cmd进行端口转发：adb forward tcp:23946 tcp:23946

如果不进行端口转发，IDA将无法正常连接到端口23946

3.以调试模式启动应用

调试模式启动应用：adb shell am start -D -n 包名/MainActivity路径名

4.打开IDA附件进程

设置Debugger Option选项

根据包名找到想要调试的进程

在modules窗口中找到libdvm.so

双击打开libdvm.so，查找...dvmDexFileOpenPartial...方法，方法名很长。app加载Dex 文件的过程需要用到此方法

接下来就是运行jdb调试。假设859就是要调试的APP进程，先将进程转发到任意指定端口，然后启动jdb

接下来回到IDA界面，在...dvmDexFileOpenPartial...方法开始处下断点，然后启动程序进行调试

程序运行到断点处，通过查看寄存器的地址，最终可在内存中dump出真实的dex文件（后续补充详细内容）。

以下内容摘自CSDN：

dvmDexOpenPartial 函数的定义：

[C++] 纯文本查看复制代码

 
          [/size] 
         
          [size=16px] 
          /*[/size] 
         
          [size=16px]* Create a DexFile structure for a "partial" DEX.  This is one that is in[/size] 
         
          [size=16px]* the process of being optimized.  The optimization header isn't finished[/size] 
         
          [size=16px]* and we won't have any of the auxillary data tables, so we have to do[/size] 
         
          [size=16px]* the initialization slightly differently.[/size] 
         
          [size=16px]*[/size] 
         
          [size=16px]* Returns nonzero on error.[/size] 
         
          [size=16px]*/ 
          [/size] 
         
          [size=16px] 
          int 
          dvmDexFileOpenPartial( 
          const 
          void 
          * addr,  
          int 
          len, DvmDex** ppDvmDex)[/size] 
         
          [size=16px]{[/size] 
         
          [size=16px]    DvmDex* pDvmDex;[/size] 
         
          [size=16px]    DexFile* pDexFile;[/size] 
         
          [size=16px]     
          int 
          parseFlags = kDexParseDefault;[/size] 
         
          [size=16px]     
          int 
          result = -1;[/size] 
         
          [size=16px]     
          /* -- file is incomplete, new checksum has not yet been calculated[/size] 
         
          [size=16px]    if (gDvm.verifyDexChecksum)[/size] 
         
          [size=16px]        parseFlags |= kDexParseVerifyChecksum;[/size] 
         
          [size=16px]    */ 
          [/size] 
         
          [size=16px]    pDexFile = dexFileParse((u1*)addr, len, parseFlags);[/size] 
         
          [size=16px]     
          if 
          (pDexFile == NULL) {[/size] 
         
          [size=16px]        ALOGE( 
          "DEX parse failed" 
          );[/size] 
         
          [size=16px]         
          goto 
          bail;[/size] 
         
          [size=16px]    }[/size] 
         
          [size=16px]    pDvmDex = allocateAuxStructures(pDexFile);[/size] 
         
          [size=16px]     
          if 
          (pDvmDex == NULL) {[/size] 
         
          [size=16px]        dexFileFree(pDexFile);[/size] 
         
          [size=16px]         
          goto 
          bail;[/size] 
         
          [size=16px]    }[/size] 
         
          [size=16px]    pDvmDex->isMappedReadOnly =  
          false 
          ;[/size] 
         
          [size=16px]    *ppDvmDex = pDvmDex;[/size] 
         
          [size=16px]    result = 0;[/size] 
         
          [size=16px]bail:[/size] 
         
          [size=16px]     
          return 
          result;[/size] 
         
          [size=16px]}[/size] 
         
          [size=16px

dvmDexFileOpenPartial 函数的原型如下所示：
int dvmDexFileOpenPartial(const void* addr, int len, DvmDex** ppDvmDex)
其中 addr表示Dex文件在内存中的起始地址，
len 表示Dex文件的大小，
ppDvmDex是一个指向DvmDex类型的二级指针，具体表示什么，我也不知道

脱壳只用到 addr 和 len 这两个参数，所以需要获取 R0 和 R1 寄存器的值（ARM的传递参数机制规定 R0 保存着函数从左至右的第一个参数，R1 保存着函数从左至右的第二个参数）

记录IDA动态调试进行APK脱壳流程

猜你喜欢