IDA 動態調試Android SO .init .init_array JNI_Onload總結

原創

2018-09-03 17:34

在安卓脫殼過程中，經常需要用ida動態調試so,並且在解密代碼執行前下斷點，下面介紹用IDA在Android so文件的.init、.init_array上和JNI_OnLoad處下斷點方法。我們以自己編寫的一個小程序initTest.apk爲例,該apk實現了在.init、.init_array上和JNI_OnLoad 中的方法中打印日誌功能.
下載地址：http://download.csdn.net/detail/u012417380/9919842

一、上傳`android_server`,啓動`android_server`

上傳android_server到手機/data/local/tmp目錄

adb push  android_server   /data/local/tmp

賦予 android_server執行權限

$ chmod 777  android_server

以root身份執行android_server文件，android_server文件默認監聽23946端口，可以通過-p端口參數進行設置端口，注意p和端口之間無空格

 $ ./android_server -p23946

二、打開DDMS程序

打開DDMS程序,DDMS程序會將應用的調試端口映射到電腦上，使用jdb命令能夠對被掛起的程序恢復執行。

三、進行端口轉發

使用adb命令進行端口轉發

$  adb forward tcp:23946（PC_port）      tcp:23946(Phone_port)

四、以調試模式啓動app

我們以debug模式啓動程序。程序會出現waiting for debugger的調試界面

$ adb shell am start -D  -n   com.example.inittest/.MainActivity
Starting: Intent { cmp=com.example.inittest/.MainActivity }

程序會出現waiting for debugger的調試界面

這時DDMS顯示，調試端口在8700

五、用IDA 附加到啓動ida並attach這個app的進程。

六、當so加載的時候掛起

我們在debugger setup裏勾選 suspend on library load。然後點擊繼續（按F9鍵繼續）。

七、使用jdb命令恢復程序執行

使用jdb命令恢復程序執行

$ jdb -connect com.sun.jdi.SocketAttach:hostname=127.0.0.1,port=8700

設置未捕獲的java.lang.Throwable
設置延遲的未捕獲的java.lang.Throwable
正在初始化jdb...
>

這時DDMS中該應用的顏色變爲了綠色：

程序加載so,由於之前的設置，程序停在了liner
處

八確定模塊的加載地址，在`linker`和`libvm.so`中下斷點

在android4.4.4_r1源碼中，linker中 .init 和.init_array的斷點位置爲0000274C,JNI_OnLoad的斷點位置爲00050004
我們先查看內存中segment中linker加載的位置
按Ctrl+S組合鍵打開內存中的segmets,知道linker的內存加載地址4008B000,那麼斷點的位置是4008B000+0000274C=4008D74C。