n1ctf ezapk wp

0x01 写在前面

又是一个周五晚上，就在刚才搜集到这道题的关键“证据”，到这里这道题算是完全”破解“成功（开心）。所以就写一篇文章，总结下我的心路历程吧，包括但不限于：

1. ezapk的解体思路
2. 环境问题搭建tips
3. 完整的脚本（避免缺头少尾，让新手看了懵逼）

总之，完全是新手向的文章，遇到的坑，一步步怎么做，我都会说清楚，即使你是新手也没关系。

然后，这也是我第一次真真切切深入安卓逆向，之前只是静态反编译解决，这次学习了frida，CE（cheat engine），安卓模拟器等工具使用，写篇文章，也算是自己的一个阶段性总结。

看完这篇文章你讲学到：

• 安卓逆向基本思路
  • dex反编译
  • frida hook
  • CE 找出是谁在暗中修改函数
• 深入JNI机制
• frida 环境搭建以及基本使用
• CE 使用 以及 CE server 构建

0x02 题目背景

题目非常简单，输入n1ctf{flag}, 点击check检查，很正规的安卓题

0x03 开门见山-dex反编译

放入jadx-gui查看一下主逻辑：

可以看到主要逻辑在enc中，enc 属于native 函数，通过JNI调用，enc位于通过System.loadLibrary()的两个so中

0x03 迷雾重重-JNI逆向

ida 打开libnative.so反编译会发现有大量的类似指针数组的调用，其实这是JNI调用

关于JNI调用可以看：[https://docs.oracle.com/javase/7/docs/technotes/guides/jni/spec/jniTOC.html](https://docs.oracle.com/javase/7/docs/technotes/guides/jni/spec/jniTOC.html)

native code 想要访问java VM的特性就需要调用JNI函数，调用JNI函数需要JNI interface pointer

并且JNI interface pointer是native函数的第一个参数，如下：

这里 double 会经过名称混淆变为Java_pkg_Cls_f_ILjava_lang_String_2

JNI interface pointer是一个pointer to pointer，具体来说就是一个指针数组，这个数组保存着JNI函数的地址，包括：

但是ida中并没有JNIEnv等等结构体，一个个倒入自动识别太麻烦，手动计算又太蠢

该怎么办呢？

0x04 拨云见日-frida hook

定位enc

其实真正常用的JNI 函数就那几个，可以看到enc中传入了字符串，所以native函数想要获取这个字符串，会调用关于String的JNI调用 一般为GetStringUTFChars

关于环境：我的pc是mac m1,手头也没有安卓设备，最后选择mu mu pro模拟器（啥都好，就是要花钱）

在mu mu pro模拟器中安装好 frida server后，运行frida server后就可以hook了

Java.perform(() => {
    const MainActivity = Java.use("com.n1ctf2024.ezapk.MainActivity"); 
    
    MainActivity.enc.implementation = function(input) {
        console.log("enc called with input:", input);
        const result = this.enc(input);
        startHook();
        // startHooklib();
        console.log("enc returned:", result);

        return result;
    };
});

function startHook(){
    const lib_art = Process.findModuleByName('libart.so');
    const symbols = lib_art.enumerateSymbols();
    for (let symbol of symbols) {
        var name = symbol.name;
        if (name.indexOf("art") >= 0) {
            if ((name.indexOf("CheckJNI") == -1) && (name.indexOf("JNI") >= 0)) {
                if (name.indexOf("GetStringUTFChars") >= 0) {
                    console.log('start hook', symbol.name);
                    Interceptor.attach(symbol.address, {
                        onEnter: function (arg) {
                            console.log('GetStringUTFChars called from:\n' + Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n') + '\n');
                        },
                        onLeave: function (retval) {
                            console.log('onLeave GetStringUTFChars:', ptr(retval).readCString())
                        }
                    })
                }
            }
        }
    }
}

运行结果

// frida -U -f com.n1ctf2024.ezapk -l hook.js
GetStringUTFChars called from:
0x6d55c7117c libnative1.so!0x1b17c
//没有 多点几次 hook和输出在一起 所有你需要hook了 再点几次

这里就知道sub_1b148是enc了

stacktrace

接下来，定位enc调用了哪些函数，还是hook

ava.perform(() => {
    const MainActivity = Java.use("com.n1ctf2024.ezapk.MainActivity"); 
    
    MainActivity.enc.implementation = function(input) {
        console.log("enc called with input:", input);
        const result = this.enc(input);
        //startHook();
        startHooklib();
        console.log("enc returned:", result);

        return result;
    };
});

function startHooklib(){

    var functions_lib1 = Module.enumerateExports("libnative1.so");
    functions_lib1 = []
    var functions_lib2 = Module.enumerateExports("libnative2.so");
   
    functions_lib1 = functions_lib1.map(item => {
        return { ...item, module: "libnative1.so" };    
    })

    functions_lib2 = functions_lib2.map(item => {
        return { ...item, module: "libnative2.so" };    
    })

    var functions = [...functions_lib1,...functions_lib2];

    // {
    //     "address": "0x6d56602ca8",
    //     "name": "aE7KMLpKuUbB",
    //     "type": "function"
    // }
    
    
    functions.forEach(function(func) {
        var moduleBase_lib1 = Module.findBaseAddress(func.module);
        var moduleBase_lib2 = Module.findBaseAddress(func.module);
        if ( moduleBase_lib1 && moduleBase_lib2) {
            var address = func.address
            // console.log("Attaching to function at " + func.module + "!" + func.addr);
            Interceptor.attach(address, {
                onEnter: function(args) {
                    console.log(func.module + " function called at "  + func.address + " " + func.name);
                },
                onLeave: function(retval) {
                    console.log(func.module + " function returned at "+ func.address + " " + func.name);
                }
            });
        } else {
            console.log("Module " + func.module + " not found!");
        }
    });
}

运行结果

libnative2.so function called at 0x6d55c0306c iusp9aVAyoMI
libnative2.so function returned at 0x6d55c0306c iusp9aVAyoMI
libnative2.so function called at 0x6d55c032c0 SZ3pMtlDTA7Q
libnative2.so function returned at 0x6d55c032c0 SZ3pMtlDTA7Q
libnative2.so function called at 0x6d55c03ab0 UqhYy0F049n5
libnative2.so function returned at 0x6d55c03ab0 UqhYy0F049n5

这就获取了调用顺序，在ida里看一下，一眼丁真，分别是EOR，rc4，base64

0x05 九九八十难-谁改了我的rand()

可以看到EOR和rc4的密钥都是rand()获取的，libnative2.so中的.init.array中有个init函数，初始化了随机种子

真正解密会发现解密失败，实际上这里rand被修改了，如法炮制，在libnative1.so的.init.array中有三个函数

这里可以很明显的是一个rand的替换操作，rand替换为了sub_1B140，这个函数恒定返回233，就是真正的密钥了。

0x06 on more thing-我的思考

如果这个修改rand got表的操作不在.init.got表中，如何找到他呢？

方案一 CE + CE server + frida hook（小坑+小坑+大坑）

tips：

• 官网只给了mac版本的7.5.2 CE 但是给的CE server是7.5，所以连接的时候会报错，最后只能自己编译，编译的时候ndk版本别太高，不然一堆报错（血的教训）
• 如果主机和模拟器不能ping通 那连接ce server时 使用127.0.0.1的话 记得 adb forwar tcp:52736 tcp:52736

要看so 在哪被修改了，CE 扫描的时机很重要，要在native2加载的时候扫描一次，然后native1加载后或者再往后的一个时机扫描改变的字节

所以要hook System.loadLibrary()

这里真是大坑了，查看github issues 才知道System.loadLibrary()是不可以hook的函数之一，因为你在Java.perfrom()里使用，但它会修改classloadrer，导致报错

所以最根本的方法就是hook dlopen 或者 android_dlopen_ext

这里我选择 hook android_dlopen_ext，在 native1加载的时候暂停一会，方便CE 扫描

方案二 frida hook （推荐）

hook mprotect的调用，关注地址在so地址范围的地址

运行结果

计算偏移 正好是0x43f8 也就是 rand_ptr的位置

CE 查看修改后的内容

正好是 native1 中 sub_1B140

0x07 总结

整体 难度不大 但是很有趣 这个过程中探索了各种工具的使用 各种环境的搭建 还是学到了很多，感谢你看到了这里 祝你玩的开心。