去年做看雪2021 KCTF春季赛第五题 华山论剑（原题见下面的链接）时，碰到了很多奇怪的问题。
https://ctf.pediy.com/game-season_fight-174.htm
在nexus 5手机上，输入任何内容直接显示“很抱歉，“HelloJni”已停止运行”，怀疑有可能是手机上装有Xposed、frida等工具，从而不能正常运行。
在pixel手机下可正常运行，以32位安装apk，然后让IDA以32位模式调试.so，可设置断点，输入内容后，点击按钮没反应，屏幕呆滞无响应。IDA输入窗口显示“Debugger: thread 4435 has exited (code 0)”，应该做了反调试。
开始尝试在linker处就开始跟踪代码，看哪里做了反调试。用pixel调试，在sub_5008处停下来，在里面转悠很久出不来，不清楚做了什么？彻底没辙了。
看到有位大佬提到了unidbg，当时对于它完全陌生，无异于看天书，就此放过。斗转星移，现在对unidbg有所熟悉，又拿它试手。
这个题目妥妥地最适合用unidbg解决，下面贴出unidbg运行代码。
package com.example.hellojni;
import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Module;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.*;
import com.github.unidbg.memory.Memory;
import java.io.File;
public class HelloJniextends AbstractJni {
private final AndroidEmulatoremulator;
private final Modulemodule;
private final VMvm;
private final DvmClassNativeClass;
HelloJni() {
emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.example").build(); // 创建模拟器实例，要模拟32位或者64位，在这里区分
final Memory memory =emulator.getMemory(); // 模拟器的内存操作接口
memory.setLibraryResolver(new AndroidResolver(23)); // 设置系统类库解析
vm =emulator.createDalvikVM(new File("unidbg-android\\\\src\\\\test\\\\resources\\\\hellojni\\\\KCTF-2.sign.apk"));
DalvikModule dm =vm.loadLibrary(new File("unidbg-android\\\\src\\\\test\\\\resources\\\\hellojni\\\\libhello-jni.so"),true);
module = dm.getModule();
vm.setVerbose(true); // 设置是否打印Jni调用细节
// String traceFile = "unidbg-android\\src\\test\\java\\com\\example\\hellojni\\trace_log_false_name_kctf.txt";
// PrintStream traceStream = null;
// try {
// traceStream = new PrintStream(new FileOutputStream(traceFile), true);
// } catch (FileNotFoundException e) {
// e.printStackTrace();
// }
// emulator.traceCode(module.base, module.base+module.size).setRedirect(traceStream);
vm.setJni(this);
dm.callJNI_OnLoad(emulator);
NativeClass =vm.resolveClass("com/example/hellojni/HelloJni");
// emulator.attach().addBreakPoint(module.base + 0x766c);
}
public static void main(String[] args) {
HelloJni helloJni =new HelloJni();
String ret = helloJni.stringFromJNI();
System.out.println("stringFromJNI函数返回:"+ret);
}
public StringstringFromJNI(){
String str1 ="ed8b9244350d3644";
// String str1 = "KCTF";
String str2 ="7C9815255BFE832D3F93140B";
//String str2 = "17726331DA0FE737149C8202";
StringObject stringObject =NativeClass.newObject(null).callJniMethodObject(emulator, "stringFromJNI(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;", str1, str2);
return stringObject.getValue();
}
}
输入正确的name、serial可返回“恭喜成功”。
至于怎么调试就不赘述了，可以写入类似的语句
emulator.attach().addBreakPoint(module.base + 0x766c);
设置断点，在unidbg控制台一步步跟踪。
也可以trace代码，根据日志了解正确/错误输入之间的程序差异。
String traceFile = "unidbg-android\\src\\test\\java\\com\\example\\hellojni\\trace_log_false_name_kctf.txt";
PrintStream traceStream = null;
try {
traceStream = new PrintStream(new FileOutputStream(traceFile), true);
} catch (FileNotFoundException e) {
e.printStackTrace();
}
emulator.traceCode(module.base, module.base+module.size).setRedirect(traceStream);
网友评论