文章目录
- 一、要修改的源码 /art/runtime/dex_file.cc#OpenCommon
- 二、修改 /art/runtime/dex_file.cc#OpenCommon 函数源码进行脱壳
一、要修改的源码 /art/runtime/dex_file.cc#OpenCommon
/art/runtime/dex_file.cc#OpenCommon 方法可以作为脱壳点 , 在该函数中可以获取 DEX 文件在内存中的 起始地址 和 文件大小 , 直接将该文件保存到本地 SD 卡即可 ;
脱壳的代码与 【Android 逆向】整体加固脱壳 ( 脱壳点简介 | 修改系统源码进行脱壳 ) 博客中的代码类似 ;
/art/runtime/dex_file.cc#OpenCommon 函数源码 :
代码语言：javascript复制std::unique_ptr<DexFile> DexFile::OpenCommon(const uint8_t* base,
size_t size,
const std::string& location,
uint32_t location_checksum,
const OatDexFile* oat_dex_file,
bool verify,
bool verify_checksum,
std::string* error_msg,
VerifyResult* verify_result) {
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifyNotAttempted;
}
std::unique_ptr<DexFile> dex_file(new DexFile(base,
size,
location,
location_checksum,
oat_dex_file));
if (dex_file == nullptr) {
*error_msg = StringPrintf("Failed to open dex file '%s' from memory: %s", location.c_str(),
error_msg->c_str());
return nullptr;
}
if (!dex_file->Init(error_msg)) {
dex_file.reset();
return nullptr;
}
if (verify && !DexFileVerifier::Verify(dex_file.get(),
dex_file->Begin(),
dex_file->Size(),
location.c_str(),
verify_checksum,
error_msg)) {
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifyFailed;
}
return nullptr;
}
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifySucceeded;
}
return dex_file;
}源码路径 : /art/runtime/dex_file.cc#OpenCommon
二、修改 /art/runtime/dex_file.cc#OpenCommon 函数源码进行脱壳
/art/runtime/dex_file.cc#OpenCommon 函数中 ,
const uint8_t* base 参数是 dex 文件在内存的首地址 ,
size_t size 参数是 dex 文件在内存中的大小 ;
修改源码后 , 重新编译系统 , 在新编译的系统中 , 运行要脱壳的应用 , 即可将应用脱壳后的 dex 文件 , 输出到 /sdcard/pid_dexCount_output.dex 路径中 ;
编译结束后 , 运行虚拟机 , 或者刷到 Pixel 手机中 , 即可运行该系统 ;
修改后的 /art/runtime/dex_file.cc#OpenCommon 函数源码 :
代码语言：javascript复制/* 记录当前 dex 文件索引 */
int dexCount = 0;
std::unique_ptr<DexFile> DexFile::OpenCommon(const uint8_t* base,
size_t size,
const std::string& location,
uint32_t location_checksum,
const OatDexFile* oat_dex_file,
bool verify,
bool verify_checksum,
std::string* error_msg,
VerifyResult* verify_result) {
// ---------- ★ 下面是脱壳内容 ----------
// 系统启动后 , 可能会生成很多 dex 文件 ,
// DEX 文件保存路径
char output[50]={0};
// 获取当前进程 ID , 这是为了区分准备的
int pid = getpid();
// 生成文件名称 , 由于单个 APK 可能有多个 DEX 文件
// 这里将每个 DEX 文件的 进程 ID 和 DEX 文件字节大小
// 放入 DEX 文件名中 , 加以识别
sprintf(output, "/sdcard/%d_%d_output.dex", pid, dexCount);
// dex 文件索引自增
dexCount ;
// 以写的方式 , 打开文件 , 如果没有就创建该文件
int fd = open(output, "wb ");
// 文件打开成功 , 则 dump 内存数据到 /sdcard/output.dex 文件中
if (fd > 0)
{
// 将 base 地址的内存数据拷贝到 fd 文件中 , 拷贝 size 字节
write(fd, base, size);
// 关闭文件
close(fd);
}
// ---------- ★ 上面是脱壳内容 ----------
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifyNotAttempted;
}
std::unique_ptr<DexFile> dex_file(new DexFile(base,
size,
location,
location_checksum,
oat_dex_file));
if (dex_file == nullptr) {
*error_msg = StringPrintf("Failed to open dex file '%s' from memory: %s", location.c_str(),
error_msg->c_str());
return nullptr;
}
if (!dex_file->Init(error_msg)) {
dex_file.reset();
return nullptr;
}
if (verify && !DexFileVerifier::Verify(dex_file.get(),
dex_file->Begin(),
dex_file->Size(),
location.c_str(),
verify_checksum,
error_msg)) {
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifyFailed;
}
return nullptr;
}
if (verify_result != nullptr) {
*verify_result = VerifyResult::kVerifySucceeded;
}
return dex_file;
}源码路径 : /art/runtime/dex_file.cc#OpenCommon
