APP脱壳，适用于360、TX等各大主流加密平台

2464381006

本文章介绍如何使用xposed框架编写插件来脱app加固的壳。

本文章仅供安卓逆向爱好者学习，切勿用于商业用途。

无意间了解一篇文章介绍了dumpdex，GitHub地址:https://github.com/a813630449/dumpDex

当时心情十分的激动，总算找到一个对我非常有用的项目了。

然后参考了下代码，思路大概是这样的：

一、过滤掉其他应用，只处理360加固、腾讯乐加固这些等。

二、hook Classloader的loadClass(String,boolean) (注意：loadclass(String)函数里最终也还是调用loadClass(String,boolean))

三、获取到hook loadcalss函数返回的Class对象

四、反射调用java.lang.Class的getDex方法，获取到对象

五、反射调用Dex对象的getBytes方法，取到字节集。

六、将字节集流写出到存储卡中。

看完思路后，迫不及待的去试了。

然而并没有想象中的那样，需要脱壳的应用卡爆了，直接报ANR(应用程序无响应)异常。

然后我回过头来，看着代码，不断地调试发现：

Classloader的loadClass(String,boolean)方法被调用了几千次！！！

其中我又调试输出这些class的名称

结果又发现，非常多与之无关的class！！！！

所以过滤下就行了，而且只执行一次就可以。

完整的代码贴下：

1. package com.wrbug.dumpdex;
   
2. 
   
3. import android.os.Environment;
   
4. 
   
5. import com.example.admin.myapplication.BuildConfig;
   
6. import com.example.admin.myapplication.MainActivity;
   
7. 
   
8. import java.io.File;
   
9. import java.lang.reflect.Field;
   
10. import java.lang.reflect.Method;
    
11. 
    
12. import de.robv.android.xposed.IXposedHookLoadPackage;
    
13. import de.robv.android.xposed.XC_MethodHook;
    
14. import de.robv.android.xposed.XposedBridge;
    
15. import de.robv.android.xposed.XposedHelpers;
    
16. import de.robv.android.xposed.callbacks.XC_LoadPackage;
    
17. 
    
18. /**
    
19. * XposedInit
    
20. *
    
21. * @author wrbug
    
22. * @since 2018/3/20
    
23. */
    
24. public class XposedInit implements IXposedHookLoadPackage {
    
25. 
    
26. private Method getBytesMethod;
    
27. private Method getDexMethod;
    
28. 
    
29. 
    
30. /**
    
31. * 加固应用包含的包名，如果无法脱壳，请将application的包名，加到此数组
    
32. * com.stub.StubApp 360加固
    
33. * s.h.e.l.l.S 爱加密
    
34. * com.secneo.apkwrapper.ApplicationWrapper 梆梆加固
    
35. * com.tencent.StubShell.TxAppEntry 腾讯加固
    
36. */
    
37. private String[] packages = {"com.stub.StubApp", "s.h.e.l.l.S",
    
38. "com.secneo.apkwrapper.ApplicationWrapper", "com.tencent.StubShell.TxAppEntry"};
    
39. 
    
40. public static void log(String txt) {
    
41. if (!BuildConfig.DEBUG) {
    
42. return;
    
43. }
    
44. XposedBridge.log("dumpdex-> " + txt);
    
45. }
    
46. 
    
47. public static void log(Throwable t) {
    
48. if (!BuildConfig.DEBUG) {
    
49. return;
    
50. }
    
51. XposedBridge.log(t);
    
52. }
    
53. 
    
54. @Override
    
55. public void handleLoadPackage(final XC_LoadPackage.LoadPackageParam lpparam) {
    
56. Class<?> clazz = null;
    
57. for (String aPackage : packages) {
    
58. clazz = XposedHelpers.findClassIfExists(aPackage, lpparam.classLoader);
    
59. if (clazz != null) {
    
60. log("find class:" + aPackage);
    
61. FileUtils.writeByteToFile("2".getBytes(), Environment.getExternalStorageDirectory().getPath()+"/1.dex");
    
62. break;
    
63. }
    
64. }
    
65. if (clazz == null) {
    
66. return;
    
67. }
    
68. final String packageName = lpparam.packageName;
    
69. XposedBridge.log(packageName);
    
70. try {
    
71. initDexMethod();
    
72. } catch (Throwable t) {
    
73. //Android版本不支持该插件
    
74. log(t);
    
75. return;
    
76. }
    
77. XposedHelpers.findAndHookMethod("java.lang.ClassLoader", lpparam.classLoader, "loadClass", String.class, boolean.class, new XC_MethodHook() {
    
78. @Override
    
79. protected void afterHookedMethod(MethodHookParam param) throws Throwable {
    
80. Class c = (Class) param.getResult();
    
81. 
    
82. if (c == null) {
    
83. return;
    
84. }
    
85. Object object = getDexMethod.invoke(c);
    
86. byte[] array = (byte[]) getBytesMethod.invoke(object);
    
87. if (array == null) {
    
88. return;
    
89. }
    
90. if (param.args[0].toString().startsWith("com.newapp")){
    
91. saveData(packageName, array);
    
92. log("dump dex :" + param.args[0]);
    
93. }
    
94. }
    
95. });
    
96. }
    
97. public boolean isone=false;
    
98. private void saveData(String packageName, byte[] array) {
    
99. if (isone){
    
100. return;
     
101. }
     
102. String path = Environment.getExternalStorageDirectory().getPath();
     
103. File parent = new File(path);
     
104. if (!parent.exists() || !parent.isDirectory()) {
     
105. parent.mkdirs();
     
106. }
     
107. File file = new File(path, "source-" + array.length + ".dex");
     
108. if (!file.exists()) {
     
109. FileUtils.writeByteToFile(array, file.getAbsolutePath());
     
110. //XposedHelpers.callStaticMethod(MainActivity.class,"setArray",byte[].class,array);
     
111. 
     
112. log("dump dex :" + file.getAbsolutePath());
     
113. isone=true;
     
114. }
     
115. }
     
116. 
     
117. public void initDexMethod() throws ClassNotFoundException, NoSuchMethodException {
     
118. Class dex = Class.forName("com.android.dex.Dex");
     
119. this.getBytesMethod = dex.getDeclaredMethod("getBytes");
     
120. this.getDexMethod = Class.forName("java.lang.Class").getDeclaredMethod("getDex");
     
121. }
     
122. }

复制代码

注意几点：

1、开发请先搭建xposed环境

2、如果无法脱壳，请将该应用的加密壳的application添加到packages数组中

3、过滤那将com.newapp替换成你需要脱壳的app package

北极狐

788888888888888888888888888888888

iamww

lifeqiuzhi5201

老哥，最新的软件无法使用了吧

Android玄机

wrbug的作品 可以

dp128

学到了666666666

xiaoxiao2

脱壳时 APP直接停止运行 这个怎么样处理？

德友

看一下好不用好

tangai17

感谢分享，很给力

严鑫步

学习了，谢谢分享