Android アプリの解析問題に負けないために学んだ 5 つのテクニック

apktool d app-debug.apk

# 最小の SDK バージョンが 23
<uses-sdk
android:minSdkVersion="23"
android:targetSdkVersion="33" 
/>

# アプリがデバッグ可能な状態に構成されている
# Main Activity が com.example.hellojni.HelloJni である
<application
android:debuggable="true"

    <activity
        android:name="com.example.hellojni.HelloJni"
        android:exported="true">
    </activity>
/>

smali2java_windows_amd64.exe  -path_to_smali=./HelloJini.smali

// {{ 省略 }}

private native final Boolean checkValid ( java.lang.String p0 ) {
} // .end method

private native final java.lang.String getFIaggg ( ) {
} // .end method

private static final void onCreate$lambda$0 ( com.example.hellojni.HelloJni p0, com.example.hellojni.databinding.ActivityHelloJniBinding p1, android.view.View p2 ) {
/* .registers 5 */
/* .param p0, "this$0" # Lcom/example/hellojni/HelloJni; */
/* .param p1, "$binding" # Lcom/example/hellojni/databinding/ActivityHelloJniBinding; */
/* .param p2, "it" # Landroid/view/View; */
final String v0 = "this$0"; // const-string v0, "this$0"
kotlin.jvm.internal.Intrinsics .checkNotNullParameter ( p0,v0 );
final String v0 = "$binding"; // const-string v0, "$binding"
kotlin.jvm.internal.Intrinsics .checkNotNullParameter ( p1,v0 );
/* .line 30 */
v0 = this.flag;
(( android.widget.EditText ) v0 ).getText ( ); // invoke-virtual {v0}, Landroid/widget/EditText;->getText()Landroid/text/Editable;
(( java.lang.Object ) v0 ).toString ( ); // invoke-virtual {v0}, Ljava/lang/Object;->toString()Ljava/lang/String;
v0 = /* invoke-direct {p0, v0}, Lcom/example/hellojni/HelloJni;->checkValid(Ljava/lang/String;)Z */
if ( v0 != null) { // if-eqz v0, :cond_24
	 /* .line 31 */
	 v0 = this.valid;
	 final String v1 = "Correct!"; // const-string v1, "Correct!"
	 /* check-cast v1, Ljava/lang/CharSequence; */
	 (( android.widget.TextView ) v0 ).setText ( v1 ); // invoke-virtual {v0, v1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
	 /* .line 33 */
} // :cond_24
v0 = this.valid;
v1 = this.flag;
(( android.widget.EditText ) v1 ).getText ( ); // invoke-virtual {v1}, Landroid/widget/EditText;->getText()Landroid/text/Editable;
(( java.lang.Object ) v1 ).toString ( ); // invoke-virtual {v1}, Ljava/lang/Object;->toString()Ljava/lang/String;
/* check-cast v1, Ljava/lang/CharSequence; */
(( android.widget.TextView ) v0 ).setText ( v1 ); // invoke-virtual {v0, v1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
/* .line 35 */
} // :goto_35
return;
} // .end method

/* # virtual methods */
protected void onCreate ( android.os.Bundle p0 ) {
/* .registers 5 */
/* .param p1, "savedInstanceState" # Landroid/os/Bundle; */
/* .line 25 */
/* invoke-super {p0, p1}, Landroidx/appcompat/app/AppCompatActivity;->onCreate(Landroid/os/Bundle;)V */
/* .line 27 */
(( com.example.hellojni.HelloJni ) p0 ).getLayoutInflater ( ); // invoke-virtual {p0}, Lcom/example/hellojni/HelloJni;->getLayoutInflater()Landroid/view/LayoutInflater;
com.example.hellojni.databinding.ActivityHelloJniBinding .inflate ( v0 );
final String v1 = "inflate(layoutInflater)"; // const-string v1, "inflate(layoutInflater)"
kotlin.jvm.internal.Intrinsics .checkNotNullExpressionValue ( v0,v1 );
/* .line 28 */
/* .local v0, "binding":Lcom/example/hellojni/databinding/ActivityHelloJniBinding; */
(( com.example.hellojni.databinding.ActivityHelloJniBinding ) v0 ).getRoot ( ); // invoke-virtual {v0}, Lcom/example/hellojni/databinding/ActivityHelloJniBinding;->getRoot()Landroidx/constraintlayout/widget/ConstraintLayout;
/* check-cast v1, Landroid/view/View; */
(( com.example.hellojni.HelloJni ) p0 ).setContentView ( v1 ); // invoke-virtual {p0, v1}, Lcom/example/hellojni/HelloJni;->setContentView(Landroid/view/View;)V
/* .line 29 */
v1 = this.getflag;
/* new-instance v2, Lcom/example/hellojni/HelloJni$$ExternalSyntheticLambda0; */
/* invoke-direct {v2, p0, v0}, Lcom/example/hellojni/HelloJni$$ExternalSyntheticLambda0;-><init>(Lcom/example/hellojni/HelloJni;Lcom/example/hellojni/databinding/ActivityHelloJniBinding;)V */
(( android.widget.Button ) v1 ).setOnClickListener ( v2 ); // invoke-virtual {v1, v2}, Landroid/widget/Button;->setOnClickListener(Landroid/view/View$OnClickListener;)V
/* .line 36 */
return;
} // .end method

/* .line 30 */
v0 = this.flag;
(( android.widget.EditText ) v0 ).getText ( ); // invoke-virtual {v0}, Landroid/widget/EditText;->getText()Landroid/text/Editable;
(( java.lang.Object ) v0 ).toString ( ); // invoke-virtual {v0}, Ljava/lang/Object;->toString()Ljava/lang/String;
v0 = /* invoke-direct {p0, v0}, Lcom/example/hellojni/HelloJni;->checkValid(Ljava/lang/String;)Z */
if ( v0 != null) { // if-eqz v0, :cond_24
	 /* .line 31 */
	 v0 = this.valid;
	 final String v1 = "Correct!"; // const-string v1, "Correct!"
	 /* check-cast v1, Ljava/lang/CharSequence; */
	 (( android.widget.TextView ) v0 ).setText ( v1 ); // invoke-virtual {v0, v1}, Landroid/widget/TextView;->setText(Ljava/lang/CharSequence;)V
	 /* .line 33 */
} // :cond_24

private native final Boolean checkValid ( java.lang.String p0 ) {} // .end method

apktool d app-debug.apk

lVar3 = FUN_0011f5ac(auStack_38);
if (lVar3 == 0x26) {
  _ZNSt6__ndk16vectorIiNS_9allocatorIiEEEC2Em(auStack_50,0x1f);
  for (j = 0; j < 0x1f; j = j + 1) {
    dVar6 = (double)FUN_0011f654(2,j % 0x10);
    piVar4 = (int *)FUN_0011f698(auStack_50,(long)j);
    *piVar4 = ((int)dVar6 % 0x25) % 0x1f;
  }
  _ZNSt6__ndk112basic_stringIcNS_11char_traitsIcEENS_9allocatorIcEEEC2IDnEEPKc
            (auStack_68,&UNK_001141ef);
  for (i = 6; i < 0x25; i = i + 1) {
    pcVar5 = (char *)FUN_0011f6bc(auStack_38,(long)i);
    cVar1 = *pcVar5;
    piVar4 = (int *)FUN_0011f698(auStack_50,(long)((i * 7) % 0x1f));
    pcVar5 = (char *)FUN_0011f6bc(auStack_68,(long)*piVar4);
    if (cVar1 != *pcVar5) {
      uStack_6c = 0;
      goto LAB_0011f508;
    }
  }
  uStack_6c = 1;
LAB_0011f508:
  _ZNSt6__ndk112basic_stringIcNS_11char_traitsIcEENS_9allocatorIcEEED2Ev(auStack_68);
  FUN_0011f6ec(auStack_50);
}

image list

# ブレークポイントを設定する
b *0xd4b2720c

# cmd.txt に以下を記載
p/c $ecx
register write eax `$ecx`
continue

# ソースファイルの実行
command source C:\Users\Tadpole01\Downloads\cmd.txt

adb install app-debug.apk

# APK ファイルをエミュレータにインストールする
adb install app-debug.apk

# lldb-server をエミュレータにプッシュ
adb push lldb-server /data/local/tmp

# lldb-server に実行権限を付与
adb shell chmod +x /data/local/tmp/lldb-server

# 解析対象のパッケージのパスに lldb-server をコピー
adb shell run-as com.example.hellojni cp /data/local/tmp/lldb-server /data/data/com.example.hellojni/

# パッケージ情報のダンプ
adb shell pm dump com.example.hellojni

>
DUMP OF SERVICE package:
Activity Resolver Table:
  Non-Data Actions:
      android.intent.action.MAIN:
        6525ec5 com.example.hellojni/.HelloJni filter 3d4e3e9
          Action: "android.intent.action.MAIN"
          Category: "android.intent.category.LAUNCHER"
{{ 中略 }}

# lldb-server を停止しておく(初回は不要)
adb shell run-as com.example.hellojni killall -9 lldb-server

# adb shell am start -a <Main Activity> -D -n "com.package.name/com.package.name.ActivityName" でアプリを起動
adb shell am start -a android.intent.action.MAIN -n "com.example.hellojni/.HelloJni"

# アプリが起動したら、lldb-server の待ち受けを開始
adb shell run-as com.example.hellojni sh -c '/data/data/com.example.hellojni/lldb-server platform --server --listen unix-abstract:///data/data/com.example.hellojni/debug.socket'

# 別のターミナルを開き、アプリの PID を確認
adb shell run-as com.example.hellojni ps

# lldb を起動
lldb.exe

# (lldb) のプロンプト上で順に実行
platform select remote-android
platform connect unix-abstract-connect:///data/data/com.example.hellojni/debug.socket

# 先ほど確認したアプリの PID にアタッチ
attach 17728

# libhello-jni.so のベースアドレスを特定
image list
>
[202] 2720F64E-E4CD-4F44-2073-43B9B03816BB-CE41285A 0xd86b5000 libhello-jni.so

# 0xd86b5000+0x1a20c のアドレスにブレークポイントを設定してアプリの実行を再開
b *0xd86cf20c
continue

# LLDB 埋め込みの Python インタプリタを起動
script

# 設定したブレークポイントの ID を特定する
br list
>
1: address = libhello-jni.so[0x0001a20c], locations = 1, resolved = 1, hit count = 0

# 特定したブレークポイント ID を使用して、ブレークポイント到達時の処理を定義
script counter=0
breakpoint command add --script-type python 1

# 以下を入力
import time

eax = frame.FindRegister("eax")
ecx = frame.FindRegister("ecx").value
eax.SetValueFromCString(ecx)
print(chr(int(ecx,16)),end="")

time.sleep(1)
thread = frame.GetThread()
process = thread.GetProcess()
process.Continue()
DONE

# solver.out をエミュレータにプッシュ
adb push libhello-jni.so /data/local/tmp

# ファイルコマンドでバージョンを特定
adb shell file /data/local/tmp/libhello-jni.so

#include <stdio.h>
#include <stdlib.h>
#include <dlfcn.h>

int main()
{
    void *handle;
    char *error;

    handle = dlopen("./libhello-jni.so", RTLD_LAZY);
    if (!handle)
    {
        fprintf(stderr, "%s\n", dlerror());
        exit(EXIT_FAILURE);
    }

    dlerror();
    int (*checkValid)(wchar_t *) = dlsym(handle, "Java_com_example_hellojni_HelloJni_checkValid");
    error = dlerror();
    if (error != NULL)
    {
        fprintf(stderr, "%s\n", error);
        exit(EXIT_FAILURE);
    }
    printf("pid : %d\n", getpid());
    puts("dlopen success");
    printf("handle addr : %p\n", handle);

    wchar_t text = L"AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA";
    int i = checkValid(text);
    printf("Result : %d\n", i);
    dlclose(handle);
    return 0;
}

# x86 バイナリとしてビルド
gcc solver.c -m32 -o solver.out

# カレントディレクトリをライブラリパスに追加
export LD_LIBRARY_PATH=.:$LD_LIBRARY_PATH

# gdb でプログラムを実行
gdb ./solver.out

# Windows マシンに frida-tools をインストール
python3.exe -m pip install frida-tools

# Frida の存在確認
frida.exe --version
>
16.0.19

# adb の root 化
adb root

# APK をエミュレータにインストールする
adb install app-debug.apk

# 解凍したファイルをリネーム
# x86_64 プラットフォームの場合は frida-server-16.0.19-android-x86_64 を使用
ren frida-server-16.0.19-android-x86 frida-server

# frida-server をエミュレータにプッシュして実行権限を割り当て
adb push frida-server /data/local/tmp
adb shell chmod +x /data/local/tmp/frida-server

# frida-server を起動
adb shell /data/local/tmp/frida-server

import frida
import sys

def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)

# エミュレータに接続
DEVICE_NAME = "emulator-5554"
APK_PROCESS_NAME = "HelloJni"
process = frida.get_device_manager().get_device(DEVICE_NAME).attach(APK_PROCESS_NAME)

var module_name = "libhello-jni.so";
// var sym_name = "Java_com_example_hellojni_HelloJni_checkValid";

var base_addr = Module.findBaseAddress(module_name);
var target_offset = 0x1a20c
var target_address = base_addr.add(target_offset);

var flag = "";

Interceptor.attach(target_address, {
  onEnter: function(args) {
    // console.log("eax: " + this.context.eax);
    // console.log("ecx: " + this.context.ecx);

    // Flag 文字の取得
    flag = flag + String.fromCharCode(this.context.ecx);
    console.log(flag);

    // レジスタの値の書き換え
    this.context.eax = this.context.ecx;
  },
  onLeave: function(retval) {
    // Do nothing
  }
});

import frida
import sys

def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)

# エミュレータに接続
DEVICE_NAME = "emulator-5554"
APK_PROCESS_NAME = "HelloJni"
process = frida.get_device_manager().get_device(DEVICE_NAME).attach(APK_PROCESS_NAME)

jscode = """
var module_name = "libhello-jni.so";
var sym_name = "Java_com_example_hellojni_HelloJni_checkValid";

var base_addr = Module.findBaseAddress(module_name);
var target_offset = 0x1a20c
var target_address = base_addr.add(target_offset);

var flag = "";

// console.log(base_addr);
// console.log(target_address);

Interceptor.attach(target_address, {
  onEnter: function(args) {
    // console.log("eax: " + this.context.eax);
    // console.log("ecx: " + this.context.ecx);

    // Flag 文字の取得
    flag = flag + String.fromCharCode(this.context.ecx);
    console.log(flag);

    // レジスタの値の書き換え
    this.context.eax = this.context.ecx;
  },
  onLeave: function(retval) {
    // Do nothing
  }
});
"""

script = process.create_script(jscode)
script.on("message", on_message)
print("[*] Running APK")

script.load()
sys.stdin.read()