-
-
[讨论]比较少见的加固(某易)的代码抽取
-
发表于: 2019-2-13 18:44
-
不太确定是不是vmp,发上来求各位大佬鉴定一下
jadx打开样本,可以看到很多类被这样抽取掉代码（如下图）
然后跟进 Utils.d，可以看到加载了dexfix.so
猜测是调用d()进行dex的动态修复
这个很像ali之前加固的手法（参考了大佬的https://bbs.pediy.com/thread-217235.htm）
进去dexfix.so中,发现很奇怪，并没有像样的导出函数,然后查看JNI_Onload,也没有进行动态注册
怀疑so被处理过,然后尝试从内存中dump so，修复后拖入ida中查看，还是无果
到这里就断了思路，请各位大佬们给点思路？感觉不太像是vmp
样本下载 881K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3R3#2i4K6u0W2k6%4S2S2M7s2m8Q4x3X3g2A6P5h3c8K6K9W2)9J5k6h3y4G2L8g2)9J5c8X3#2G2j5X3W2D9k6i4m8C8k6#2)9J5c8U0u0Q4x3X3f1K6i4K6u0W2x3q4)9J5k6h3q4H3K9H3`.`.
|
|
|---|---|
|
|
 没有大佬指点一下吗？
|
|
|
|
|
|
|
