用户
搜索

该用户从未签到

SRC部落

Rank: 7Rank: 7Rank: 7

11

主题

28

帖子

3042

魔法币
收听
0
粉丝
1
注册时间
2016-9-8

i春秋认证SRC部落

发表于 2017-8-1 15:00:17 21190
一、为什么要调试init_array
init_array的用途
1. 一些全局变量的初始化 (我这里试过, 一些全局变量的初始化,会统一用一个init_array表项来完成初始化)
2. 通过__attribute__ ((constructor)) 声明的函数 (可以定义n个)
通过so加载流程来看,init_array是我们程序代码可以控制的最早的时机了, 其次才加载Jni_onload
所以有些样本会在init_array做一些反调试和相关环境检测的活, 所以我们需要在init_array中和对方兵戎相见


当然网上已有很多教我们如何在init_array下断的函数, 但是却都只教了方法, 没有细说原理, 最后我们可能只学会了几个快捷键, 空有招式却无内功, 知其然却不知其所以然, 下面我们就姿势和知识这2方面来进行讨论


二、断init_array的姿势

1. 定位调试进程中linker的dlopen函数地址
把调试机器中的linker拷贝出来, 路径为/system/bin/linker, 然后开一个IDA分析
在Shift+F12在字符串窗口中查找dlopen, 跟踪引用到一个函数, 如下图
8b47e4bf94a45f95276b4e16661357f1.jpg 得到其文件偏移为0xF30

bcbc6bd69cd668adfca7b35df674c04b.jpg
附加上调试器后, 我们得到linker加载到内存的起始地址为400BD000
所以我们在代码窗口Go过去看看400BD000 + F30 = 400BDF30

发现全部是DCB形式的代码(代码没有解析出来), 这个时候我们需要对linker进行分析, 操作如下: 右键-Analyze Module
91f1b7913ceca4fb329fb2a0547de7ef.jpg
go过去我们发现和静态分析中的一样,  在函数头部下一个断点
fd6669a55db1d22a9f98c2e4cf1b466c.jpg
2. 定位到calling相关代码
同样在拷贝出来的ida搜索字符串calling
aedb528ec2540876760d0eb0d26c9d42.jpg
同样定位到代码,得到文件偏移 2720

b476063abc562022c82a045b40794ee4.jpg
那么我们内存中的地址就是 400BD000 + 2720 = 400BF720

同样在调试的ida中下好断点, 第2个断点就是调用.init_array数组的代码
42166b4901ea4f2538437405de8d5fc9.jpg
然后按F9,注意观察寄存器窗口, 当有显示调试的是你想要断的so的时候开始注意

当断点断在BLX R4的时候,下一步就是调用init_array数组了, 所以F7跟进去
ac792c3e4e1d7a6ebdf85255bb4830a9.jpg
在直接把我们想要分析的so拖到ida分析进行验证, 代码一样, 说明我们成功的断点在了init_array数组
f10f9baffbb8a58f1a920f914771b699.jpg

三、断init_array的知识

通过上面的操作我们学会了招式, 内功心法却不见修习, 下面我们通过Android的系统源码来一探究竟
环境介绍
源码环境: Android 6.0.1
没有下载源码的同学可以去androidxref在线看源码也很方便
http://androidxref.com/

1. 回到源头看问题
我们都知道我们要在apk中要加载一个so我们可以通过
System.loadLibrary(libname);  
System.load(lib_path);                  


这2者区别如下:
(1). System.load参数必须为库文件的绝对路径,可以是任意路径;
(2). System.loadLibrary参数为库文件名,不包含库文件的扩展名,必须是在JVM属性Java.library.path所指向的路径中,路径可以通过System.getProperty(java.library.path)

2. java层到native层的过程
我们把android_source\libcore\luni部分的源码作为单独的部分丢进Source Insight进行分析
定位到android_source\libcore\luni\src\main\java\java\lang\System.java, 搜索loadLibrary, 就可以开始分析了

java层代码主要是一些路径, 和标记值的初始化
最后比较关键的函数是JavaVMExt.LoadNativeLibrary, 该函数主要完成如下事情
1. 调用linker的dlopen完成加载
2. 调用dlsym获取目标so的JniOnload地址并调用
3. 初始化SharedLibrary对象并添加到表中, 下次加载相同的so则不在重复加载

linker之前的函数调用流程图如下:
1719fcf0d76e7a862b97144915574ee4.jpg


3. linker的dlopen简易分析
android系统通过调用linker的dlopen来完成so的转载

把aosp\bionic目录添加到source insight中进行分析
配合AndroidXref站点我们找到, dlopen定义在dlfcn.cpp中

dlopen函数定义如下, 只是简单的调用了dlopen_ext
4006357eed9cd676b2fc7046f93e240d.jpg
跟进dlopen_ext函数, 该函数返回一个soinfo的结构体指针
而且这个指针最后作为函数返回值返回了
cf2272f9c90583d6292a13ddf6a765f6.jpg
do_dlopen简单的判断了一下参数, 然后调用find_library进行转载链接so文件
加载成功后,返回soinfo对象指针,同时调用soinfo的成员函数call_constructors来调用so中的init_array
7d954b1e05feb15da481c74776622417.jpg
call_constructors先完成其他模块的加载,然后调用call_array()来调用init_array数组的调用
2a7446e1eda3ec942dc034817030d0db.jpg
call_array循环调用call_funtion来进行加载
282af93e03e7f5f02afccea3bd827f10.jpg
最后call_function只是简单的调用传进来的函数指针, 可以看到我们上面的下断点的字符串就来自于下面
a13f57e99c35619a0f64bf31c27ae61f.jpg

由于篇幅问题,大致介绍下linker的调用流程, 函数调用流程如下:
1602f88532cbc69cbd88021fdffb9dc9.jpg
1. 在do_dlopen中通过find_library进行加载so
   在加载完so后通过call_constructors完成init_array的加载
2. find_library最后调用load_libray完成so的转载
3. 最后通过load_library的elf_reader.load完成so的装载


四、总结
由于android是开源的操作系统, android中的很多问题我们都可以通过分析源码来了解细节, 解决问题, 并知其所以然
同时我们还可以通过编译源码来定制我们想要的功能, 达到我们想要的目的 9a08ff5f8a0a7b0ff072be930fde8f54.jpg




666 学习了
使用道具 举报 回复
学习一下
使用道具 举报 回复
发新帖
您需要登录后才可以回帖 登录 | 立即注册