d0nuts

总结一下加固中遇到的反调试、模拟器检测、xposed 家族检测和 frida 检测，最后给出绕过frida检测的方法

最近用上了 lsposed ，发现使用它做开发不用重启手机就能应用新代码，相比 xposed 方便多了，lsposed 又是基于 zygisk 做注入，于是决定来了解一下它的注入原理。阅读下面这几篇文章了解了 magisk 的原理以及 zygisk 的注入原理，知识点又干又硬，根据个人的理解梳理一下，分析的 magisk 版本是 v25.2 云手机底层技术揭密 : Android系统启动与Magisk原理 Zygisk 源码分析 zygisk原理简单分析和以及zygisk插件开发(1) zygisk原理简单分析和以及zygisk插件开发(2) Magisk原理 先从 Magisk 出发，回忆一下 magisk root 的一种方式是在 magisk app 中选择 patch boot.img 文件，结束后拿到 boot.img 重新烧写就完成 root 了。在了解 magisk 对 boot.img 做了什么操作前先回顾 Android 系统的启动流程（截取图片来自Lsposed 技术原理探讨 && 基本安装使用）： 当系统正常加载时 bootloade ...

分析一个海外 app，目标是找到 app 发送获取用户头像请求接口并用 frida 实现主动调用

整理那些见过的非平坦化、非 bcf 混淆，以后见到新的再添加进来

抓大厂app，发现各种抓不到，最后找到个脚本 hook 它在 java 层的收发包函数，也算是一种抓包方式。

总结 Android 下的抓包对抗，方便下次做协议分析时翻出来看，算是个学习笔记，所以没什么新东西。

老早就想用改源码的方式绕过 tracepid 这类反调试检测，以前试过 patch boot.img 也没成功，凑巧最近编译 aosp 源码做脱壳机，就顺便把内核也改掉。主要参考这篇文章： native层安卓_来自高纬的对抗：定制安卓内核过反调试 编译环境 设备：Pixel系统：Android 8.1.0架构：arm64-v8a编译机：Ubuntu 18 编译内核源码 下载内核源码 12$ git clone https://aosp.tuna.tsinghua.edu.cn/android/kernel/msm.git$ cd msm 手机 adb shell 执行 cat /proc/version 查看内核版本 检出对应版本代码 1$ git checkout 520f6eb 准备编译环境变量，编译工具链在 aosp 源码中有，如果之前同步过 aosp ，那么这里直接用就行 123$ export PATH=$PATH:/home/<user>/Downloads/aosp/prebuilts/gcc/linux-x86/aarch64/aarch64-l ...

r0env 作为 android 逆向环境已经相当完美了，之所以还要折腾 Archlinux 搭建新环境只是觉得 kali 上自带的各种渗透工具都是我不需要的，而我这种洁癖无法忍受这一点，于是找到这个最干净（可能）的 linux 系统，从零开始搭建，同时整理出这篇备忘文章。 前期配置 首先从官网下载镜像，找到 China 那块随便找一个仓库下就行：iso下载地址创建虚拟机没什么好说的，操作系统版本选择”其他Linux”，硬盘大小给的 70G ，网络适配器选择 NAT（桥接也行，需要配置一下静态 ip ），然后创建完成后进入虚拟机设置->选项->高级->固件类型选择UEFI 系统安装 开始安装系统，进入到 shell 界面后发现无法复制粘贴指令，使用宿主机的 cmder 自带的 ssh 连进虚拟机，先敲 passwd root 修改 root 的密码，然后敲 ip addr 命令查看自动分配的 ip ，最后再在 cmder 敲 ssh root@<your-ip> 分区创建分区的过程参考：2021年vmware安装archlinux我自己创建了三个分 ...

接着上文的加固分析，接下来要去弄明白它的 VMP 指令如何执行的

阅读了看雪上一篇对 android VMP 壳的反混淆思路文章，对于壳的功能作者并没有进行详细的阐述，看后感觉意犹未尽，而且这家厂商的壳分析文章在网上挺多的，以前简单分析过它的免费版，这次正好拿来作为 VMP 壳入门。因为内容过多，需要分为上下两篇