android-pack

• 学习Android的加壳技术

AndroidPack1:

• Android的第一代壳
• 使用DexClassLoader加载dex文件
• 替换掉当前虚拟机的ClassLoader，因其保存了对应的DexFile
• 缺点：
  • 因DexClassLoader的构造函数中需指定dex文件的路径
  • 故对文件I/O进行监控，便能获取到目标dex文件
• 解决办法：
  • 寻找文件不落地的dex加载方式

AndroidPack2:

• Android的第二代壳
• 解决了一代壳中的文件落地问题
• 通过调用OpenMemory，将内存中的dex文件加载到虚拟机
• 缺点：
  • 内存中会保存完整的dex文件
  • 使用内存dump即可脱壳
• 解决办法：
  • 避免内存dump，破坏dex文件在内存中的完整性

AndroidPack3:

• Android的第三代壳
• 缓解了二代壳中的内存dump问题，即破坏dex文件在内存中的完整性
• 大致实现思路：
  • 抽取目标函数的codeItem，将其额外保存
  • 禁用art虚拟机的dex2oat优化流程，主要hookexecve方法实现
  • hook虚拟机的LoadMethod方法，在函数调用时将codeItem修复
• 缺点：
  • 仍然无法完全解决内存dump的问题
  • 因dex字节码最终还是要交给art虚拟机解析执行，修改系统源码即可还原dex字节码
• 解决办法：
  • 自实现art虚拟机，强迫逆向者逆向native层代码

DexVmp:

• DexVmp的简单demo
• 缺点：
  • 无法模拟实现jni的API
  • 因此对jni方法进行监控，即可了解方法的大致实现