Android逆向- 调试器注入

之前的笔记搬运

调试器注入

调试器功能api:
	long ptrace(int request, pid_t pid, void *addr, void *data);
request: 动作, 比如下断, 单步, 运行....
pid: 调试目标的Pid
addr: 地址
data: 数据
开发帮助文档里没有, 使用时需要包含头文件sys\prace.h
该文件位置位于:
android-ndk-xxx\platforms\android-xx\arch-arm\usr\include\sys\prace.h


等待调试事件:
	id_t waitpid( ppid_t pid, int * stat_loc, int options );
pid: 目标id
stat_loc: 旧stat, 一般填0
options: 等待的事件类型


远程调用目标进程函数:
	1. 需要root, 因为附加其他进程需要root权限
	2. 利用ptrace附加目标进程断下后, 获取并保存寄存器环境
	3. 构造参数环境, 把lr值置0, 并把pc改为目标函数地址
	4. 继续执行程序, 函数执行完返回值在R0,  并且因为lr为0会抛出异常并断下;
	5. 接收异常并还原寄存器环境, 继续执行;


注入原理:
	1. 远程调用mmap申请内存空间
	2. 写入目标so文件路径
	3. 远程调用dlopen载入so


需要注意的问题:
	1. ptrace写入数据一次只能拷4字节, 需要循环拷贝;
	2. 调用函数之前需要注意判断指令集, 根据相应指令集来修改cpsr寄存器的t位
	3. 修改的目标函数地址, 应该是对方进程, 因为模块首地址不同, 所以需要动态获取对方的模块首地址 + 偏移算出对方进程的函数地址;
	4. 注意需要取消附加;

dlopen函数在linker,  linker是个可执行文件, 负责程序所有so的加载;

linux里, 当线程被挂起之后, 第一次下断点时, waitpid会直接返回, 当第二次下断点时, waitpid就会进入等待, 等待线程恢复时候才会返回;

ptrace设置了syscall动作, 当API进入和返回的时候会断下;

所以注入zygote进程时附加后需要设置两次syscall断点, 因为zygote是阻塞状态, 线程是挂起的, 否则waitpid会直接返回执行下面注入的代码, 而zygote还是阻塞状态就会引起进程崩溃;

其实singlestep动作也可以, 不过因为syscall断下的时候一般都是在系统api返回时, 这时候注入时机是最好的;

反调试与反反调试

防御: 使用ptrace调试自己而不下断, 因为自身处于调试状态, 那么其他调试器就无法附加自己;
攻击: 直接调试运行程序,  ptrace附加失败;

防御: 如果调试器直接启动自己的话, 可以用ptrace的返回值判断自己是否在调试状态, 可以使用全局变量初始化来执行检测函数, 这样检测函数就在main前执行;
攻击: 在init_arry节里存放的全局初始化代码, 在这里下断就可以在检测之前断下, 那么可以对检测代码修改;

攻击: 在导入表里查找ptrace函数, 查看参考引用;
防御: dlopen和dlsym来获取地址调试;

防御: 进程虚拟文件status里有记录tracepid状态, 来判断是否被调试;
攻击: 修改系统源代码编译新的虚拟机

防御: 查看23496端口是否被占用
攻击: 修改IDA的默认调试端口

赏

感谢大佬

微信