绕过一个app的frida检测

Philia114514

遇到一个app，叫wakeup课程表，注入frida后，frida会停止但是app正常运行


如何定位校验代码？我选择hook dlopen ext来监控so的加载，当执行包含检测代码的so时，app就会让frida退出
多次执行hook代码，发现app总是在加载libmsaoaidsec.so后frida退出。


将目标so拖入idapro反编译，查找jnionload

1. jint JNI_OnLoad(JavaVM *vm, void *reserved)
   
2. {
   
3.   jint v4; // w19
   
4.   int v5; // w0
   
5.   __int64 v6; // x8
   
6.   int *v7; // x23
   
7.   const char *v8; // x0
   
8.   void (__fastcall *v10)(JavaVM *, void *); // [xsp+8h] [xbp-48h] BYREF
   
9.   __int64 v11[2]; // [xsp+10h] [xbp-40h] BYREF
   
10. 
    
11.   v11[1] = *(_QWORD *)(_ReadStatusReg(ARM64_SYSREG(3, 3, 13, 0, 2)) + 40);
    
12.   v11[0] = 0LL;
    
13.   v4 = 65540;
    
14.   if ( (*vm)->GetEnv(vm, (void **)v11, 65540LL) )
    
15.     return -1;
    
16.   _android_log_write(4, "NagaLinker", "v8.83");
    
17.   v5 = sub_12340(v11[0]);
    
18.   v6 = v11[0];
    
19.   v7 = off_47FB8;
    
20.   *off_47FB8 = v5;
    
21.   v8 = (const char *)sub_12600(v6);
    
22.   if ( strchr(v8, 77) )
    
23.   {
    
24.     *v7 = 23;
    
25.   }
    
26.   else if ( *v7 >= 24 )
    
27.   {
    
28.     *off_47ED8 = 1;
    
29.   }
    
30.   v10 = 0LL;
    
31.   if ( sub_8734(qword_49248, (__int64)"JNI_OnLoad", (__int64 *)&v10) )
    
32.     v10(vm, reserved);
    
33.   return v4;
    
34. }

复制代码

这里调用了sub_12340和sub_12600来进行环境检查，进入函数发现会对安卓api和安卓版本号检查，后面的if else对检查结果进行比较。

1. bool __fastcall sub_8734(__int64 a1, __int64 a2, __int64 *a3)
   
2. {
   
3.   __int64 v4; // x0
   
4. 
   
5.   _ReadStatusReg(ARM64_SYSREG(3, 3, 13, 0, 2));
   
6.   v4 = sub_ED8C(a1, a2);
   
7.   *a3 = v4;
   
8.   return v4 != 0;
   
9. }

复制代码

然后调用了sub8734进行动态查找，这个很可能和frida检测相关，找到之后，v10就不是变量了变成了目标地址，拿到地址后通过jni onload来执行。（大概就是这样吧可能有点乱）

1. LOAD:0000000000013B28 A0 00 00 34                   CBZ             W0, loc_13B3C
   
2. LOAD:0000000000013B28
   
3. LOAD:0000000000013B2C E8 07 40 F9                   LDR             X8, [SP,#0x50+var_48]
   
4. LOAD:0000000000013B30 E0 03 15 AA                   MOV             X0, X21
   
5. LOAD:0000000000013B34 E1 03 14 AA                   MOV             X1, X20
   
6. LOAD:0000000000013B38 00 01 3F D6                   BLR             X8
   
7. LOAD:0000000000013B38
   
8. LOAD:0000000000013B3C
   
9. LOAD:0000000000013B3C                               loc_13B3C                             

复制代码

回到汇编，blr x8就是v10(vm, reserved);我们要阻止这句执行，直接将CBZ W0, loc_13B3C改成无条件跳转，就绕过了这句话。
打开010 editer，跳转到代码地址13B28，光标会自动定位原机器码A0 00 00 34,修改为05 00 00 14，对应指令B loc_13B3C实现无条件跳转


修改后保存，替换原so，打包签名，注入frida验证，成功绕过

Asen

看看

r97025733

看看

zany25

看看

小念同学

zhao3261

看看隐藏

幸运儿8

看看隐藏

蓝宇

怎么绕过

绒殇

雪殇来看看

晨枫

看看点

困不能寐

感谢分享

xiaoyixue

看看隐藏内容

终结者无敌

看看隐藏

紫叶

看看

花落知多少

看看隐藏