前言
网上已经有很多在Android4中IDA如何调试.init .init_array JNI_Onload等文章，比如下面给出的参考，写的也非常详细，所以今天我们不讨论Android4。我们以Android8为例子。
请读者先查看android loadLibrary源码分析
查找关键函数的偏移地址
想要调试.init .init_array必须找到，call_function函数中的function(g_argc, g_argv, g_envp);地址，和LoadNativeLibrary函数中int version = (*jni_on_load)(this, nullptr);地址，这两个地址分别去调用了.init .init_array函数和JNI_Onload函数
先将两个相关的so拷贝到电脑上使用ida打开(我们的应用是以32位模式强制运行)
adb pull /system/lib/libdvm.so
adb pull /system/bin/linker
我们先来看call_function函数中的调用代码
static void call_function(const char* function_name __unused,
linker_ctor_function_t function,
const char* realpath __unused) {
if (function == nullptr || reinterpret_cast<uintptr_t>(function) == static_cast<uintptr_t>(-1)) {
return;
}
TRACE("[ Calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);
function(g_argc, g_argv, g_envp);
TRACE("[ Done calling c-tor %s @ %p for '%s' ]", function_name, function, realpath);
}
可以看到这里有相关的字符串可以让我们在IDA中检索
[ Calling c-tor %s @ %p for '%s' ]
在IDA中检索如下
image.png
image.png
image.png
检索到字符串后，进入他的交叉引用处，可以看到相关代码，从字符串看得出这里就是我们对应的调用处，这段汇编还是比较简单的，图中高亮处即我们的调用处。它的偏移地址为0x00013598。
同样的再来看看JNI_Onload的调用代码
bool JavaVMExt::LoadNativeLibrary(JNIEnv* env,
const std::string& path,
jobject class_loader,
jstring library_path,
std::string* error_msg) {
...
VLOG(jni) << "[Added shared library \"" << path << "\" for ClassLoader " << class_loader << "]";
bool was_successful = false;
//得到JNI_OnLoad函数地址
void* sym = library->FindSymbol("JNI_OnLoad", nullptr);
if (sym == nullptr) {
VLOG(jni) << "[No JNI_OnLoad found in \"" << path << "\"]";
was_successful = true;
} else {
ScopedLocalRef<jobject> old_class_loader(env, env->NewLocalRef(self->GetClassLoaderOverride()));
self->SetClassLoaderOverride(class_loader);
VLOG(jni) << "[Calling JNI_OnLoad in \"" << path << "\"]";
//定义JNI_OnLoadFn
typedef int (*JNI_OnLoadFn)(JavaVM*, void*);
JNI_OnLoadFn jni_on_load = reinterpret_cast<JNI_OnLoadFn>(sym);
//调用JNI_OnLoad
int version = (*jni_on_load)(this, nullptr);
if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {
// Make sure that sigchain owns SIGSEGV.
EnsureFrontOfChain(SIGSEGV);
}
self->SetClassLoaderOverride(old_class_loader.get());
...
VLOG(jni) << "[Returned " << (was_successful ? "successfully" : "failure")
<< " from JNI_OnLoad in \"" << path << "\"]";
}
library->SetResult(was_successful);
return was_successful;
}
同样我们可以使用[Calling JNI_OnLoad in字符串去搜索
image.png
image.png
image.png
字符串下面的函数调用基本都是和日志相关的，所以我们不用理会直接去B loc_251E62，这个跳转指令中看看。
image.png
这里出现了两个的数0x15也就是21，并且为cmp判断
int version = (*jni_on_load)(this, nullptr);
if (runtime_->GetTargetSdkVersion() != 0 && runtime_->GetTargetSdkVersion() <= 21) {
// Make sure that sigchain owns SIGSEGV.
EnsureFrontOfChain(SIGSEGV);
}
这和上面的代码是对应的。
所以BLX R5基本就是int version = (*jni_on_load)(this, nullptr);的对应汇编，他的偏移是0x00251E66
IDA动态调试
init断点
调试的步骤基本和平时一样，这里由于libnative-lib.so的加载时机比较早，我采用了debug的方式启动app，这样就能在加载libnative-lib.so之前断下来了。
打开ddms
调试模式启动
adb shell am start -D -n com.shark.initapp/.MainActivity
image.png
在安卓中启动android_server
sailfish:/data/local/tmp # ./android_server
在IDA中选择调试该app
image.png
设置其在lib加载和线程启动的时候断下
image.png
F9运行
让app恢复正常执行
jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700
设置未捕获的java.lang.Throwable
设置延迟的未捕获的java.lang.Throwable
正在初始化jdb...
>
此时app断在linker处，现在我们就去刚才分析的两个地方打上断点
image.png
在模块选项卡中查询linker
image.png
可以看到它的基址为0xF1E9C000，使用它加上我们上面分析的偏移地址0xF1E9C000+0x00013598=0xF1EAF598
使用g跳转到该地址
image.png
按p后查看其汇编代码
image.png
可以看到这里和静态分析的代码完全一样，我们使用F2给它加上断点。
JNI_Onload断点
我们以同样的方式查找libart.so的基址加刚才计算的偏移
image.png
0xEE11D000+0x00251E66 = 0xEE36EE66
然而这里和刚才静态分析的代码出入太大，这明显不是我们要找的地方
image.png
由于不能使用偏移地址加基址的方式，我们可以这样去做，找到一个导出函数。使用
导出函数在内存中的地址 - 导出函数在so的偏移地址 + JNI_Onload调用在so的偏移地址 = JNI_Onload调用在内存中的地址
这里我选择了art::Dbg::IsCollected(ulong long,bool *)函数
他在so文件中的偏移为 0x00121EC0
image.png
IsCollected在内存中的地址为 0xEE232EC0
image.png
所以最后计算结果为：0xEE232EC0 - 0x00121EC0 + 0x00251E66 = 0xEE362E66
跳转到0xEE362E66处，可以看到代码和我们静态分析的是一样的，给它加上断点。
image.png
运行
F9运行
经过几次F9后他会来到我们的第一个断点处
image.png
F7进入，IDA会提示我们加载的是哪个so库，可以看到这正是我们想进入的so
image.png
点击 yes后
image.png
这就是我们该so的.init段的函数
后面读者就自己跑了，我这里直接f9到下一个断点处了
image.png
这里又回到第一个断点处了。
f7进入就是.init_array的函数了
image.png
后面还有一个init_array函数和全局对象初始化函数这里就不重复了。
我们一直f9直到断点落在libart.so
image.png
f7进入，可以看到我们的代码进入了用户层的libnative-lib.so中的JNI_Onload中。
image.png
至此Android8 中如何调试.init .init_array JNI_Onload就完成了
参考
在Android so文件的.init、.init_array上和JNI_OnLoad处下断点
IDA 动态调试Android SO .init .init_array JNI_Onload总结
网友评论