[原创]某加固签名校验研究-Android安全-看雪-安全社区|安全招聘|kanxue.com

[原创]某加固签名校验研究

发表于: 1天前 1073

[原创]某加固签名校验研究

逆天而行

1天前

1073

之前我们讨论了去除签名校验的方法，无法去除最新的某60加固，始终是我心中的大山。我心有不甘，想看看这加固的签名校验的强度，去体会移动安全开发工程师在代码里书写的智慧与浪漫。于是就有了这篇文章。

基础知识的文章请看之前的文章--→https://bbs.kanxue.com/thread-285647.htm

我认为良好的环境是分析提高效率的关键

在频繁的使用ida 对app进行分析调试，经常会打开，可以编写一份脚本快速打开ida的server

这里面的 ida9.1 是你的ida server。还有frida 快速启动脚本

将“hluda-server-16.2.1-android-arm64” 修改为你自己的的server就好了

这里我分析的环境是 piexl 5,Android 12 的版本。

样本是 6月最新的加固。

准备好你的ida ， frida 基本环境，与我一起分析吧！

现在最新的加固样本的so文件是加密状态，我们要先进行初步的dump获取基本的符号信息，现在的符号信息空空如也。

这里使用frida dump 再修复

再使用SoFixer64 进行修复

774K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6r3z5p5I4q4c8W2c8Q4x3V1k6e0L8@1k6A6P5r3g2J5i4K6u0r3M7X3g2D9k6h3q4K6k6i4x3`.

这样就具备了基本的so 信息符号了

在最新的加固样本里面外壳的so 似乎都用的c++代码编译了，对抗了之前所有的文章的地方

按照之前的文章和方法几乎无法将内部so 进行dump 。

这里我再想实现linker的步骤里面是无法脱离 dlopen这个函数的，我尝试搜索相关的引用，发现并不是linker 的预连接逻辑

而这个方法里面调用了线程相关的函数

pthread_rwlock_rdlock

那么我就要大胆的猜测，它是不是通过线程来进行通信，来实现linker的！

我引用信号相关的函数 kill

发现了之前预连接的方法里面了？是不是很巧妙？（其实是千疮百孔的调试分析得到的！）

那就使用我之前文章里面的脱壳脚本，进行脱壳

然后按照我之前的文章内容修复就可以了

https://bbs.kanxue.com/thread-285539.htm

加固样本里面普遍使用自己实现的svc 指令来进行系统函数的调用。

比如： openat 调用

它的实现方式很有趣: 先mmap 一块可运行的内存，在把加密的svc代码解密放进去，再调用函数

这样做的好处是直接断绝了——通过内存扫描的形式，对svc指令的hook!

在java 层

对包路径进行两次不同的方法进行获取

调用了常规的签名信息，进行 hashcode

java层的强度似乎不太高，我建议构造binder 通讯ams

native的强度还是可以的！

svc openat打开包

readklinkat 读取包路径

fstat 读取包的权限

都是以svc的方式实现的

这里反调试是我最大的困惑，也是最精彩的地方。

它是怎样实现反调试的呢？

经典 status 文件里面的 trace pid 的值和 state 进程状态

在status 里面还检测了 NoNewPrivs ，这个值很有意思！你可以百度或者ai问一下！

通过fork 子进程来进行测试ptrace ，wait 来校验进程信号是否被调试

fork 的子进程与父进程通过管道通讯，子进程调用 excel 函数 cat /proc/self/status ,观察进程名是否正确？

这里还对 /proc 的文件进行 mmap 查看它的error 值，如果我们替换了就会成功！ error 的值为0

我使用的lspant 的hook 来对java 进行 hook ，hook点在我上一篇文章有提到。

这里我有两种方案一种是

优点： hook 比较简单就能实现，也是大多数多开app 使用方案

缺点：稳定性差，遇到基于信号的检测就完了！还有就是对于低版本的内核有很多功能实现不了！

优点： ptrace hook 的稳定性对比上一个好，而且有很好的项目可以学习 proot , 有兴趣可以看我之前的proot 分析

缺点：必须处理反调试检测

我的选择是 ptrace的方案，这里有很多资料可以学习。

这里的方案来自 proot 和abyss

17dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0G2N6q4)9J5k6r3#2W2i4K6u0r3M7s2u0G2L8%4b7`.

ca5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8$3k6G2L8h3!0Q4x3V1k6S2j5Y4W2K6M7H3`.`.

包路径这里的替换，这里可以参考插件化开发技术！

替换loadapk里面application 的sourice 的值就可以了

使用io重定向修改读取的apk 为原来没有签名打包的apk.

readlink ，fstat 也是修改替换返回值.达到欺骗的效果。

也是对 status stat 这几个目录进行io重定向主要就是修改一些文件的值

然后将ptrace的值返回为0 ，

就基本完成了对抗！呼出一口气。

最后，我要感谢

空壳的作者 Tiony.bo 也是我的前辈，感谢你对我插件化开发的指点，以及abyss的开源！

感谢珍惜Any，王麻子本人等等大佬关于 ptrace的文章让我有所启蒙！

参考的链接：

https://bbs.kanxue.com/thread-285339.htm

https://bbs.kanxue.com/thread-273160.htm

https://bbs.kanxue.com/thread-275511.htm

19bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6A6L8$3k6G2L8h3!0Q4x3V1k6S2j5Y4W2K6M7H3`.`.

98bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6H3M7X3!0G2N6q4)9J5k6r3#2W2i4K6u0r3M7s2u0G2L8%4b7`.

#!/bin/bash
# 设置端口转发
if ! adb forward tcp:4567 tcp:4567; then
    echo "[错误] 端口转发失败"
    exit 2
fi
 
echo "IDA服务已在端口4567启动"
# 启动IDA服务
if ! adb shell "su -c 'cd /data/local/tmp && ./ida9.1 -p4567 &'"; then
    echo "[错误] 无法启动IDA服务"
    exit 1
fi
 
# 等待服务初始化
echo "ok..."

#!/bin/bash

# 设置端口转发

if ! adb forward tcp:4567 tcp:4567; then

echo "[错误] 端口转发失败"

exit 2

fi

echo "IDA服务已在端口4567启动"

# 启动IDA服务

if ! adb shell "su -c 'cd /data/local/tmp && ./ida9.1 -p4567 &'"; then

echo "[错误] 无法启动IDA服务"

exit 1

fi

# 等待服务初始化

echo "ok..."

#!/bin/bash

adb shell "su -c 'cd /data/local/tmp && ./hluda-server-16.2.1-android-arm64'"

#!/bin/bash

adb shell "su -c 'cd /data/local/tmp && ./hluda-server-16.2.1-android-arm64'"

function dump_so(so_name) {
    var libso = Process.getModuleByName(so_name);
    console.log("[name]:", libso.name);
    console.log("[base]:", libso.base);
    console.log("[size]:", ptr(libso.size));
    console.log("[path]:", libso.path);
    var file_path = "/data/data/"+get_self_process_name()+"/" + libso.name + "_" + libso.base + "_" + ptr(libso.size) + ".so";
    var file_handle = new File(file_path, "wb");
    if (file_handle && file_handle != null) {
        Memory.protect(ptr(libso.base), libso.size, 'rwx');
        var libso_buffer = ptr(libso.base).readByteArray(libso.size);
        file_handle.write(libso_buffer);
        file_handle.flush();
        file_handle.close();
        console.log("[dump]:", file_path);
    }
}
  
function get_self_process_name() {
    var openPtr = Module.getExportByName('libc.so', 'open');
    var open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);
 
    var readPtr = Module.getExportByName("libc.so", "read");
    var read = new NativeFunction(readPtr, "int", ["int", "pointer", "int"]);
 
    var closePtr = Module.getExportByName('libc.so', 'close');
    var close = new NativeFunction(closePtr, 'int', ['int']);
 
    var path = Memory.allocUtf8String("/proc/self/cmdline");
    var fd = open(path, 0);
    if (fd != -1) {
        var buffer = Memory.alloc(0x1000);
 
        var result = read(fd, buffer, 0x1000);
        close(fd);
        result = ptr(buffer).readCString();
        return result;
    }
 
    return "-1";
}
 
 
 
//8.0以下所有的so加载都通过dlopen
function hook_dlopen() {
    var dlopen = Module.findExportByName(null, "dlopen");
    Interceptor.attach(dlopen, {
        onEnter: function (args) {
            this.call_hook = false;
            var so_name = ptr(args[0]).readCString();
            if (so_name.indexOf("libshell-super.2019.so") >= 0) {
                console.log("dlopen:", ptr(args[0]).readCString());
                this.call_hook = true;//dlopen函数找到了
            }
 
        }, onLeave: function (retval) {
            if (this.call_hook) {//dlopen函数找到了就hook so
                inline_hook();
            }
        }
    });
    // 高版本Android系统使用android_dlopen_ext
    var android_dlopen_ext = Module.findExportByName(null, "android_dlopen_ext");
    Interceptor.attach(android_dlopen_ext, {
        onEnter: function (args) {
            this.call_hook = false;
            var so_name = ptr(args[0]).readCString();
            if (so_name.indexOf("libshell-super.2019.so") >= 0) {
                console.log("android_dlopen_ext:", ptr(args[0]).readCString());
                this.call_hook = true;
            }
 
        }, onLeave: function (retval) {
            if (this.call_hook) {
                inline_hook();
            }
        }
    });
}
function main (){
    Java.perform(
        function(){
        var tart_Name = "libjiagu_64.so"
        dump_so(tart_Name)
        }
    );
}
setImmediate(main)

function dump_so(so_name) {

var libso = Process.getModuleByName(so_name);

console.log("[name]:", libso.name);

console.log("[base]:", libso.base);

console.log("[size]:", ptr(libso.size));

console.log("[path]:", libso.path);

var file_path = "/data/data/"+get_self_process_name()+"/" + libso.name + "_" + libso.base + "_" + ptr(libso.size) + ".so";

var file_handle = new File(file_path, "wb");

if (file_handle && file_handle != null) {

Memory.protect(ptr(libso.base), libso.size, 'rwx');

var libso_buffer = ptr(libso.base).readByteArray(libso.size);

file_handle.write(libso_buffer);

file_handle.flush();

file_handle.close();

console.log("[dump]:", file_path);

}

function get_self_process_name() {

var openPtr = Module.getExportByName('libc.so', 'open');

var open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);

var readPtr = Module.getExportByName("libc.so", "read");

var read = new NativeFunction(readPtr, "int", ["int", "pointer", "int"]);

var closePtr = Module.getExportByName('libc.so', 'close');

var close = new NativeFunction(closePtr, 'int', ['int']);

var path = Memory.allocUtf8String("/proc/self/cmdline");

var fd = open(path, 0);

if (fd != -1) {

var buffer = Memory.alloc(0x1000);

var result = read(fd, buffer, 0x1000);

close(fd);

result = ptr(buffer).readCString();

return result;

}

return "-1";

}

//8.0以下所有的so加载都通过dlopen

function hook_dlopen() {

var dlopen = Module.findExportByName(null, "dlopen");

Interceptor.attach(dlopen, {

onEnter: function (args) {

this.call_hook = false;

var so_name = ptr(args[0]).readCString();

if (so_name.indexOf("libshell-super.2019.so") >= 0) {

console.log("dlopen:", ptr(args[0]).readCString());

this.call_hook = true;//dlopen函数找到了

}

}, onLeave: function (retval) {

if (this.call_hook) {//dlopen函数找到了就hook so

inline_hook();

}

});

// 高版本Android系统使用android_dlopen_ext

var android_dlopen_ext = Module.findExportByName(null, "android_dlopen_ext");

Interceptor.attach(android_dlopen_ext, {

onEnter: function (args) {

this.call_hook = false;

var so_name = ptr(args[0]).readCString();

if (so_name.indexOf("libshell-super.2019.so") >= 0) {

console.log("android_dlopen_ext:", ptr(args[0]).readCString());

this.call_hook = true;

}

}, onLeave: function (retval) {

if (this.call_hook) {

inline_hook();

}

});

}

function main (){

Java.perform(

function(){

var tart_Name = "libjiagu_64.so"

dump_so(tart_Name)

}

);

}

setImmediate(main)

function my_hook_dlopen(soName = '') {
 
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
                    if (path.indexOf(soName) >= 0) {
                        this.is_can_hook = true;
                    }
                }
            },
            onLeave: function (retval) {
                if (this.is_can_hook) {
                    hook();
                }
            }
        }
    );
}
function addr_in_so(addr){
    var process_Obj_Module_Arr = Process.enumerateModules();
    for(var i = 0; i < process_Obj_Module_Arr.length; i++) {
        if(addr>process_Obj_Module_Arr[i].base && addr<process_Obj_Module_Arr[i].base.add(process_Obj_Module_Arr[i].size)){
            console.log(addr.toString(16),"is in",process_Obj_Module_Arr[i].name,"offset: 0x"+(addr-process_Obj_Module_Arr[i].base).toString(16));
        }
    }
}
 
//console.log('RegisterNatives called from:\\n' + Thread.backtrace(this.context, Backtracer.FUZZY).map(DebugSymbol.fromAddress).join('\\n') + '\\n');
function hook_addr(){
    var module = Process.findModuleByName("libjiagu_64.so");
    Interceptor.attach(module.base.add(0x5E6C), {
        // fd, buff, len
        onEnter: function (args) {
            console.log(hexdump(args[0], {
              offset: 0,// 相对偏移
              length: 0x38*0x6+0x20,//dump 的大小
              header: true,
              ansi: true
            }));
            console.log(args[1])
            console.log(args[2])
            console.log(`base = ${module.base}`)
        },
        onLeave: function (ret) {
        }
    });
}
 
 
function hook() {
    console.log("hook fun dump so body");
    // 获取libjiagu_64.so模块的基地址
    var libjiagu = Process.getModuleByName("libjiagu_64.so");
    if (!libjiagu) {
        console.error("未能找到libjiagu_64.so模块");
        return;
    }
 
    var soinfo;
 
    var module = Process.findModuleByName("libjiagu_64.so");
    Interceptor.attach(module.base.add(0xB6D8), {
        // fd, buff, len
 
        onEnter: function (args) {
            console.log("hook B6D8 method ! ");
            soinfo = args[0];
            console.log("soinfo:",soinfo);
 
 
            var base = ptr(soinfo.add(0x190)).readPointer();
            var ph = ptr(soinfo.add(0xE8)).readPointer();
            var phnum = ptr(soinfo.add(0xF8)).readLong();
            var rela = ptr(soinfo.add(0x130)).readPointer();
            //var relasz = 0x1823;
            var plt_rela = ptr(soinfo.add(0x120)).readPointer();
            //var plt_relasz =0x101;
            var size = (base).add(0x28).readLong();
 
 
            var dymagic =  ptr(soinfo.add(0x100)).readPointer();
            var dy_size =0x290;
 
            console.log("base:",base);
 
            console.log("so size:",size);
            console.log("ph:",ph);
            console.log("phnum:",phnum);
            console.log("rela:",rela);
            console.log("plt_rela:",plt_rela);
            console.log(hexdump((ptr(dymagic)), {
                offset: 0,// 相对偏移
                length: dy_size,//dump 的大小
                header: true,
                ansi: true
              }));
 
 
            console.log("elf in ori offset: ",ptr(Number(base) -Number(module.base)))
 
 
 
            dump_so_body(base,size,"so.so_0x12b000");
            dump_so_body(ph,phnum*0x38,"ph.so");
            dump_so_body(rela,0x25080,"rela_0x25080.so");  // 0x8
            dump_so_body(plt_rela,0x1818,"plt_rela_0x1818.so");  // 0x2
            dump_so_body(dymagic,dy_size,"dymagic.so");
            
 
            // dump_so_body(ptr(base).readPointer(),size,"so.so");
            // dump_so_body(ptr(ph).readPointer(),ptr(phnum).readLong()*0x20,"ph.so");
            // dump_so_body
            
        },
        onLeave: function (ret) {
            var relasz = ptr(soinfo.add(0x138)).readPointer();
            console.log("relasz:",relasz);
 
            var plt_relasz = ptr(soinfo.add(0x128)).readPointer();
            console.log("plt_relasz:",plt_relasz);
        }
    });
 
 
    
 
    
}
 
 
setImmediate(my_hook_dlopen,"libjiagu");
 
function dump_so_body(addr, size, body_name) {
   
    var file_path = "/data/data/"+get_self_process_name()+"/" +body_name + "_" + addr + "_" + size + ".body";
    var file_handle = new File(file_path, "wb");
    if (file_handle && file_handle != null) {
        Memory.protect(addr,size, 'rwx');
        var libso_buffer = ptr(addr).readByteArray(size);
        file_handle.write(libso_buffer);
        file_handle.flush();
        file_handle.close();
        console.log("[dump]:", file_path);
    }
}
 
function get_self_process_name() {
    var openPtr = Module.getExportByName('libc.so', 'open');
    var open = new NativeFunction(openPtr, 'int', ['pointer', 'int']);
 
    var readPtr = Module.getExportByName("libc.so", "read");
    var read = new NativeFunction(readPtr, "int", ["int", "pointer", "int"]);
 
    var closePtr = Module.getExportByName('libc.so', 'close');
    var close = new NativeFunction(closePtr, 'int', ['int']);
 
    var path = Memory.allocUtf8String("/proc/self/cmdline");
    var fd = open(path, 0);
    if (fd != -1) {
        var buffer = Memory.alloc(0x1000);
 
        var result = read(fd, buffer, 0x1000);
        close(fd);
        result = ptr(buffer).readCString();
        return result;
    }
 
    return "-1";
}

function my_hook_dlopen(soName = '') {

Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"),

{

onEnter: function (args) {

var pathptr = args[0];

if (pathptr !== undefined && pathptr != null) {

var path = ptr(pathptr).readCString();

if (path.indexOf(soName) >= 0) {

this.is_can_hook = true;

}

},

onLeave: function (retval) {

if (this.is_can_hook) {

hook();

}

);

}

function addr_in_so(addr){

var process_Obj_Module_Arr = Process.enumerateModules();

for(var i = 0; i < process_Obj_Module_Arr.length; i++) {

if(addr>process_Obj_Module_Arr[i].base && addr<process_Obj_Module_Arr[i].base.add(process_Obj_Module_Arr[i].size)){

console.log(addr.toString(16),"is in",process_Obj_Module_Arr[i].name,"offset: 0x"+(addr-process_Obj_Module_Arr[i].base).toString(16));

}

//console.log('RegisterNatives called from:\\n' + Thread.backtrace(this.context, Backtracer.FUZZY).map(DebugSymbol.fromAddress).join('\\n') + '\\n');

function hook_addr(){

var module = Process.findModuleByName("libjiagu_64.so");

Interceptor.attach(module.base.add(0x5E6C), {

// fd, buff, len

onEnter: function (args) {

console.log(hexdump(args[0], {

offset: 0,// 相对偏移

length: 0x38*0x6+0x20,//dump 的大小

header: true,

ansi: true

}));

console.log(args[1])

console.log(args[2])

console.log(`base = ${module.base}`)

},

onLeave: function (ret) {

}

});

回复或点赞可查看完整内容

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

最后于 1天前被逆天而行编辑，原因：

#基础理论 #脱壳反混淆 #HOOK注入

上传的附件：

360加固.apk （8.05MB，44次下载）
360去签名.apk （8.15MB，57次下载）

收藏・70

免费・63

支持

赞赏记录

参与人

雪币

留言

时间

老小白

非常支持你的观点！

28分钟前

vVv一

期待更多优质内容的分享，论坛有你更精彩！

1小时前

git_21210wzzzh2025

这个讨论对我很有帮助，谢谢！

7小时前

mb_wpitiize

感谢你分享这么好的资源！

9小时前

wx_突突兔

期待更多优质内容的分享，论坛有你更精彩！

10小时前

j01y

谢谢你的细致分析，受益匪浅！

12小时前

wx_嗨

你的帖子非常有用，感谢分享！

14小时前

孤独的街

感谢你的贡献，论坛因你而更加精彩！

14小时前

七星舞月

谢谢你的细致分析，受益匪浅！

14小时前

新气象

谢谢你的细致分析，受益匪浅！

14小时前

醉染

这个讨论对我很有帮助，谢谢！

15小时前

Max_hhg

为你点赞！

16小时前

深沉

你的分享对大家帮助很大，非常感谢！

22小时前

mb_qrlsimls

非常支持你的观点！

22小时前

git_47499test-look

期待更多优质内容的分享，论坛有你更精彩！

23小时前

熊趴趴来

你的帖子非常有用，感谢分享！

1天前

橘子皮儿

这个讨论对我很有帮助，谢谢！

1天前

哆啦噩梦

你的分享对大家帮助很大，非常感谢！

1天前

像风一样呢

谢谢你的细致分析，受益匪浅！

1天前

冲冲冲

感谢你的积极参与，期待更多精彩内容！

1天前

混

为你点赞！

1天前

mb_abigdakc

谢谢你的细致分析，受益匪浅！

1天前

mb_mcqjabqv

感谢你分享这么好的资源！

1天前

yhock

为你点赞！

1天前

cool_kk

感谢你的积极参与，期待更多精彩内容！

1天前

mb_nymhrhcn

为你点赞！

1天前

saykao

感谢你的积极参与，期待更多精彩内容！

1天前

我是小三

你的分享对大家帮助很大，非常感谢！

1天前

ONewTach

谢谢你的细致分析，受益匪浅！

1天前

bluegatar

你的分享对大家帮助很大，非常感谢！

1天前

mb_bppcorlj

为你点赞！

1天前

mb_zhynsmev

为你点赞！

1天前

岁月。

期待更多优质内容的分享，论坛有你更精彩！

1天前

软件君子

这个讨论对我很有帮助，谢谢！

1天前

令狐双

为你点赞！

1天前

灬哈密瓜

你的分享对大家帮助很大，非常感谢！

1天前

Python成长路

谢谢你的细致分析，受益匪浅！

1天前

doduhuang

感谢你的积极参与，期待更多精彩内容！

1天前

你瞒我瞒

为你点赞！

1天前

mb_wdhsjycl

你的分享对大家帮助很大，非常感谢！

1天前

伟叔叔

谢谢你的细致分析，受益匪浅！

1天前

东方玻璃

感谢你分享这么好的资源！

1天前

泠潋

感谢你分享这么好的资源！

1天前

sudami

这个讨论对我很有帮助，谢谢！

1天前

Shangwendada

+10

感谢你的贡献，论坛因你而更加精彩！

1天前

wx_骑虎打狗

感谢你分享这么好的资源！

1天前

便胜晴天

感谢你的积极参与，期待更多精彩内容！

1天前

cppasm

你的帖子非常有用，感谢分享！

1天前

noobbb

你的帖子非常有用，感谢分享！

1天前

D-t

为你点赞！

1天前

qqizai

感谢你的积极参与，期待更多精彩内容！

1天前

ngiokweng

非常支持你的观点！

1天前

mb_asiwnxyv

感谢你的积极参与，期待更多精彩内容！

1天前

LXIN_520

期待更多优质内容的分享，论坛有你更精彩！

1天前

mb_mmiqbqma

感谢你分享这么好的资源！

1天前

.KK

非常支持你的观点！

1天前

逆向狗都不学

谢谢你的细致分析，受益匪浅！

1天前

王麻子本人

感谢你的积极参与，期待更多精彩内容！

1天前

mb_vrexoteh

谢谢你的细致分析，受益匪浅！

1天前

顽劣

感谢你分享这么好的资源！

1天前

mb_ooliergk

感谢你分享这么好的资源！

1天前

mb_rwavajxh

这个讨论对我很有帮助，谢谢！

1天前

huangyalei

感谢你的贡献，论坛因你而更加精彩！

1天前

最新回复 (44) 1 2 ▶
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 2 楼提供的为样本一个原版一个去签名了的样本支持安卓9 到14 最后于 1天前被逆天而行编辑，原因： 1天前 0
SomeMx 雪币： 2320 活跃值： (2779) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 39 粉丝 1 关注私信	SomeMx 3 楼学习学习 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 4 楼 360加固去签我会 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 5 楼测试还是不行，会闪退 1天前 0
迷途小猪雪币： 39 活跃值： (395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 11 粉丝 0 关注私信	迷途小猪 6 楼看看学习 1天前 0
mb_mmodulik 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 1 关注私信	mb_mmodulik 7 楼感谢分享 1天前 0
mb_ldbucrik 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 351 粉丝 3 关注私信	mb_ldbucrik 8 楼感谢分享 1天前 0
猫子雪币： 439 活跃值： (1943) 能力值： ( LV3，RANK：30 ) 在线值：发帖 5 回帖 358 粉丝 2 关注私信	猫子 9 楼感谢分享 1天前 0
linix 雪币： 526 活跃值： (575) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 28 粉丝 0 关注私信	linix 10 楼感谢分享，学习了 1天前 0
onlythis 雪币： 13 活跃值： (280) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 42 粉丝 0 关注私信	onlythis 11 楼感谢分享 1天前 0
Ankeys 雪币： 688 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 22 粉丝 1 关注私信	Ankeys 12 楼 6 1天前 0
4Chan 雪币： 375 活跃值： (2736) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 62 粉丝 12 关注私信	4Chan 13 楼 666 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 14 楼图片没了可以补一下吗佬 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 15 楼软件君子图片没了可以补一下吗佬好 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 16 楼 mb_kgsesxqm 测试还是不行，会闪退可能不太兼容高版本手机吧 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 17 楼过签名思路和我一样我用的是基于 bpf + sigation 的方式但是在替换包路径的时候总是闪退 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 18 楼软件君子过签名思路和我一样我用的是基于 bpf + sigation 的方式但是在替换包路径的时候总是闪退这种方式 hook 稳定性比较差，还有存在有些过不了的情况，例如在java 里面通过 fd 读取zip ，你替换了也会有失败的情况 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 19 楼 io重定向 /data/app/~~CBhL9khBHYFlgO9LJEDUOA==/com.lerist.fakelocation-XchxK8PlNrmJH2XU1PMmjQ==/base.apk 然后当 readlink的时候传入真正的fd 但是只要替换这个路径就会闪退不是其他调用没过掉 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 20 楼 fakelocation 这个app 有自己的校验 1天前 0
mb_cfjwplfo 雪币： 27 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 27 粉丝 3 关注私信	mb_cfjwplfo 21 楼 1 1天前 0
WMBa0 雪币： 1545 活跃值： (2708) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 114 粉丝 28 关注私信	WMBa0 22 楼 6666 1天前 0
深山老琳雪币： 155 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 1 关注私信	深山老琳 23 楼我测试了3个手机android14-15 鸿蒙全部闪退最后于 1天前被深山老琳编辑，原因： 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 24 楼深山老琳我测试了3个手机android14-15 鸿蒙全部闪退我魔改的lspatch 老板本是不支持的 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 25 楼楼主自己有测试过吗，是啥系统正常运行的，我这边都闪退 1天前 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

逆天而行

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (44) 1 2 ▶
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 2 楼提供的为样本一个原版一个去签名了的样本支持安卓9 到14 最后于 1天前被逆天而行编辑，原因： 1天前 0
SomeMx 雪币： 2320 活跃值： (2779) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 39 粉丝 1 关注私信	SomeMx 3 楼学习学习 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 4 楼 360加固去签我会 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 5 楼测试还是不行，会闪退 1天前 0
迷途小猪雪币： 39 活跃值： (395) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 11 粉丝 0 关注私信	迷途小猪 6 楼看看学习 1天前 0
mb_mmodulik 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 1 关注私信	mb_mmodulik 7 楼感谢分享 1天前 0
mb_ldbucrik 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 351 粉丝 3 关注私信	mb_ldbucrik 8 楼感谢分享 1天前 0
猫子雪币： 439 活跃值： (1943) 能力值： ( LV3，RANK：30 ) 在线值：发帖 5 回帖 358 粉丝 2 关注私信	猫子 9 楼感谢分享 1天前 0
linix 雪币： 526 活跃值： (575) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 28 粉丝 0 关注私信	linix 10 楼感谢分享，学习了 1天前 0
onlythis 雪币： 13 活跃值： (280) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 42 粉丝 0 关注私信	onlythis 11 楼感谢分享 1天前 0
Ankeys 雪币： 688 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 22 粉丝 1 关注私信	Ankeys 12 楼 6 1天前 0
4Chan 雪币： 375 活跃值： (2736) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 62 粉丝 12 关注私信	4Chan 13 楼 666 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 14 楼图片没了可以补一下吗佬 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 15 楼软件君子图片没了可以补一下吗佬好 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 16 楼 mb_kgsesxqm 测试还是不行，会闪退可能不太兼容高版本手机吧 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 17 楼过签名思路和我一样我用的是基于 bpf + sigation 的方式但是在替换包路径的时候总是闪退 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 18 楼软件君子过签名思路和我一样我用的是基于 bpf + sigation 的方式但是在替换包路径的时候总是闪退这种方式 hook 稳定性比较差，还有存在有些过不了的情况，例如在java 里面通过 fd 读取zip ，你替换了也会有失败的情况 1天前 0
软件君子雪币： 480 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 3 关注私信	软件君子 19 楼 io重定向 /data/app/~~CBhL9khBHYFlgO9LJEDUOA==/com.lerist.fakelocation-XchxK8PlNrmJH2XU1PMmjQ==/base.apk 然后当 readlink的时候传入真正的fd 但是只要替换这个路径就会闪退不是其他调用没过掉 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 20 楼 fakelocation 这个app 有自己的校验 1天前 0
mb_cfjwplfo 雪币： 27 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 27 粉丝 3 关注私信	mb_cfjwplfo 21 楼 1 1天前 0
WMBa0 雪币： 1545 活跃值： (2708) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 114 粉丝 28 关注私信	WMBa0 22 楼 6666 1天前 0
深山老琳雪币： 155 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 1 关注私信	深山老琳 23 楼我测试了3个手机android14-15 鸿蒙全部闪退最后于 1天前被深山老琳编辑，原因： 1天前 0
逆天而行雪币： 3245 活跃值： (4058) 能力值： ( LV4，RANK：40 ) 在线值：发帖 8 回帖 76 粉丝 76 关注私信	逆天而行 24 楼深山老琳我测试了3个手机android14-15 鸿蒙全部闪退我魔改的lspatch 老板本是不支持的 1天前 0
mb_kgsesxqm 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	mb_kgsesxqm 25 楼楼主自己有测试过吗，是啥系统正常运行的，我这边都闪退 1天前 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复