|
|
|---|---|
|
|
我试过 但似乎是不行的 抽取的部分并没有写回soinfo链表中 全由壳so进行维护 |
|
|
请问自定义aosp脱壳是怎么弄的？ |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
太强了大佬,就是没太看懂下面这里的逻辑是什么....为什么要这么替换呢?看的不是很懂...
 难道是试出来的?function anti_frida_check(){ var module = Process.findModuleByName("libjiagu_64.so"); Interceptor.attach(module.base.add(0x1770C), { onEnter: function (args) { try{ var s = this.context.x6.readCString(); if (s.indexOf('frida')!==-1 || s.indexOf('gum-js-loop')!==-1 || s.indexOf('gmain')!==-1 || s.indexOf('linjector')!==-1 || s.indexOf('/proc/')!==-1){ console.log(s) // 申请新内存并写入替换字符串 var replaceStr = "0".repeat(s.length); var newPtr = Memory.allocUtf8String(replaceStr); // 将目标寄存器指向新内存地址（假设X0是参数寄存器）this.context.x0 = newPtr; this.context.x0 = newPtr; console.log("[+] Replaced pointer:", strPtr, "->", newPtr); } } catch (e){ } }, onLeave: function (ret) { } }); } |
|
|
可以请问一下对主ELF的sub_19B760的HOOK吗？我在对该函数进行HOOK时并没有办法hook到，在不断hook中发现问题所在是进入该if判断实际失败了 但是看您的文章所写应该应该是进入了if然后调用了两次sub_19B760， 所以我在hook时将寄存器的值修改使其必定进入该if，这时结果确实与您文章中一致。后记：十分感谢您的解答，事实确实是反调试的问题，我天真的以为对那个动态调用的函数进行HOOK巧妙地将所有的反调试过了，属实是我的疏忽。
最后于 2025-2-28 22:36
被螺丝兔编辑
，原因：
|
|
|
没错 应该就是试出来的 |
|
|
最后于 2025-3-1 14:49
被万里星河编辑
，原因：
|
|
|
|
|
|
问了下作者,作者大佬就是试出来的...灵机一动和抓得住关键点也是逆向中的关键啊 
|
|
|
|
|
|
大佬。样本没法下载了，有空更新一下哈
|
|
|
|
|
|
|
|
|
|
zxvv
