-
-
[原创] 关于牛头人(nativeTest)的Found Injection(4)的检测
-
发表于: 2025-4-23 01:20
-
原由
上一篇 关于NativeBridge注入的检测和隐藏 NativeBridge注入后， 牛头人还是会显示"Found Injection(4)"
这不得行， 先测试：
- 禁用
riru和LSPosed, 正常 - 随意
resetprop ro.dalvik.vm.native.bridge xx后am restart,Found Injection(4) resetprop为0后 正常
得出，检测逻辑应该和上一篇文章一样，只是内存中还有一个特征驻留了。
解决
从头阅读源码，果然找到一个点。AndroidRuntime::addOption
Vector<JavaVMOption> mOptions;
看一下属性的内存位置：
在AndroidRumtime的指针+8(point length)的位置
AndroidRuntime的指针可以通过AndroidRuntime::getRuntime获取
写个小jni测试一下：
logcat
可以看出， Vecrot的结构还在，但值的指针大部分都是野指针，牛头人应该是通过size判断，因为如果加了NativeBridge后会多一个参数。
指针知道了，那这次直接上CE， 上传好·ceserver·后， 执行su -c ceserver_arm64, 电脑连接上
不管了，清零：
启动后奔溃，应该是mOptions->array()不能为nullprt, 指向一个空白区域，正好下面有一块：
再次测试
难道不是？？
其实不然，牛头人应该是同时检测了webview_zygote
用同样方式改一下：
好了再改一上篇说的NativeBridgeError， found Injection(4)没了
结语
牛头人不愧是native的测试，都是内存检测, Futile Hide(8)是我用的一个调试模块导致，正式应该环境不会出现， 但Abnomal Environment应该解决一下，而且安装LSPlosed还是会出现Found Inject，等有空搞。睡......
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
我与牛头人不共戴天
 ， 点赞评论多的话， 我一个一个解决它(当然是解决我能解决的)，并写出过过程。
|
|
|
|
|
|
|
|
|
github有下载地址。621K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4x3U0V1$3y4o6R3^5x3K6t1H3i4K6u0r3d9s2g2F1N6r3g2J5g2i4m8V1j5i4c8W2 |
|
|
加了一个odex校验, 应该和`native detector`不一样的方式, 有空研究下
|
|
|
这个是两个文件的inode不一样，跟奇怪 。如果没hook理论上不可能存在这个问题的。 |
|
|
|
|
|
小哥哥，看好你哦 |
|
|
破案了，是我改odex引起的： https://bbs.kanxue.com/thread-286498.htm
最后于 2025-4-24 01:30
被无味编辑
，原因：
|
|
|
|
|
|
应该是和magisk(apatch/ksu之类的)有关, 刚刷上机就报. |
|
|
|
