首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. Android安全
    3. 发新帖
[讨论]有没有这样的hook方式？
发表于: 2014-4-18 19:51 6537

[讨论]有没有这样的hook方式？

netsniffer 活跃值
2014-4-18 19:51
6537
想查看某些动态运行的进程打开过哪些文件，有哪些办法？
这些进程不知道什么时候会执行起来，且有较强的反调试、及加密混淆处理，
运行完后自动退出，且都是可执行文件。ptrace、strace相关功能由于被反调试干掉了，无法对其动态跟踪。

想到在 libc.so 的 open 函数上加日志，对于Nexus 系列这种可以下载到代码的手机还可以，其他手机没bionic C库代码就没得玩了，即使用同版本的AOSP的代码编译一个so替换，发现会报错，稍有不慎就只能刷机了。
对于hook这种情况下的libc.so中的函数大家有没有什么高见？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (9)
蟑螂一号
雪    币： 259
活跃值： (3623)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
2 楼
   这需要内联hook
2014-4-18 20:01
0
IsBerry
雪    币： 17
活跃值： (2093)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
lsof
2014-4-18 20:16
0
netsniffer
雪    币： 53
活跃值： (321)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
4 楼
同意lsof，但得不停地轮询调用，万一轮询的间隙某个文件open完close可能就错过了，
另外还需在日志中翻找。

还有没有更好的方式 :)
2014-4-18 20:27
0
lovelyday
雪    币： 31
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
在内核拦截系统调用打日志
2014-4-21 10:37
0
netsniffer
雪    币： 53
活跃值： (321)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
6 楼
没有源代码的，包括kernel及android的都没有
2014-4-21 11:18
0
netsniffer
雪    币： 53
活跃值： (321)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
7 楼
都不知道进程什么时候起来，这个进程有反调试手段，动态释放模块，将其在子进程中执行，并校验及禁止ptrace附着，无论内联还是got表修改，总得能attach上去，它禁止ptrace附着了，这些就都废了。
2014-4-21 11:23
0
IsBerry
雪    币： 17
活跃值： (2093)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
程序拿来我给你分析，ptrace 很好对付，你都会注入了，你还怕ptrace，ptrace 是个纸老虎
2014-4-21 11:31
0
netsniffer
雪    币： 53
活跃值： (321)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
9 楼
主程序动态解密释放子程序，父子程序互相有检测，ptrace保护的代码在子程序里。
讲一下你的打破纸老虎的方法？
2014-4-21 12:15
0
yaojunhap
雪    币： 67
活跃值： (53)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
10 楼
请问你跟踪的是应用还是特定手机系统。如果是应用，应该可以安装到任何手机上的啊，那么直接改Nexus的ROM就好了，直接编译生成都可以。如果这个应用做了ROM防篡改处理，就难办些，但总能跟踪到检测篡改的函数，再相应处理好了。我可以提供Nexus S，Nexus5的手机系统使用。
2014-4-23 10:52
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回