AliCTF2015第三题+Android逆向小助手使用详解

Breathless

先用jeb反编译

1. package com.ali.mobisecenhance;
   
2. 
   
3. import android.app.Application;
   
4. import android.content.Context;
   
5. 
   
6. public class StubApplication extends Application {
   
7.     static {
   
8.         try {
   
9.             Class v2 = Class.forName("android.os.SystemProperties");
   
10.             Object v1 = v2.getDeclaredMethod("get", String.class).invoke(v2, "ro.product.cpu.abi");
    
11.         }
    
12.         catch(Exception v3) {
    
13.             v3.printStackTrace();
    
14.         }
    
15. 
    
16.         if(((String)v1).equalsIgnoreCase("x86")) {
    
17.             System.loadLibrary("mobisecx");
    
18.         }
    
19.         else {
    
20.             System.loadLibrary("mobisec");
    
21.         }
    
22.     }
    
23. 
    
24.     public StubApplication() {
    
25.         super();
    
26.     }
    
27. 
    
28.     protected native void attachBaseContext(Context arg1) {
    
29.     }
    
30. 
    
31.     public native void onCreate() {
    
32.     }
    
33. }

复制代码

加了壳子~~~~关键代码看不到，那就先用ida脱壳吧
先打开DDMS

获取入口点

一键挂起

用ida附加

在ibdvm的dvmDefineClass下了个断点,通过DvmDex的指针，把odex dump下来，下好断点,点jdb启动

查看r0地址

跟随上面的地址

用脚步dump下来

1. static main(void)
   
2. {
   
3. auto fp, dex_addr, end_addr;
   
4. fp = fopen("C:\\dump.dex", "wb");
   
5. end_addr = 0x75512000 + 0x00010000;
   
6. for ( dex_addr = 0x75512000; dex_addr < end_addr; dex_addr ++ )
   
7. fputc(Byte(dex_addr), fp);
   
8. }

复制代码

然后修复，最后用版主的Apktool工具,反编译dex，再回编译,就可以用jeb打开了



下面就是分析java代码了
主要是根据这个表对我们输入的字符串，进行置换

1. static {
   
2.         e.a = new HashMap();
   
3.         e.a("a", ". _");
   
4.         e.a("b", "_ . . .");
   
5.         e.a("c", "_ . _ .");
   
6.         e.a("d", "_ . .");
   
7.         e.a("e", ".");
   
8.         e.a("f", ". . _ .");
   
9.         e.a("g", "_ _ .");
   
10.         e.a("h", ". . . .");
    
11.         e.a("i", ". .");
    
12.         e.a("j", ". _ _ _");
    
13.         e.a("k", "_ . _");
    
14.         e.a("l", ". _ . .");
    
15.         e.a("m", "_ _");
    
16.         e.a("n", "_ .");
    
17.         e.a("o", "_ _ _");
    
18.         e.a("p", ". _ _ .");
    
19.         e.a("q", "_ _ . _");
    
20.         e.a("r", ". _ .");
    
21.         e.a("s", ". . .");
    
22.         e.a("t", "_");
    
23.         e.a("u", ". . _");
    
24.         e.a("v", ". . . _");
    
25.         e.a("w", ". _ _");
    
26.         e.a("x", "_ . . _");
    
27.         e.a("y", "_ . _ _");
    
28.         e.a("z", "_ _ . .");
    
29.         e.a("2", ". _ _ _ _");
    
30.         e.a("1", ". . _ _ _");
    
31.         e.a("3", ". . . _ _");
    
32.         e.a("4", ". . . . _");
    
33.         e.a("0", ". . . . .");
    
34.         e.a("6", "_ . . . .");
    
35.         e.a("9", "_ _ . . .");
    
36.         e.a("8", "_ _ _ . .");
    
37.         e.a("7", "_ _ _ _ .");
    
38.         e.a("5", "_ _ _ _ _");
    
39.     }
    
40. 
    
41.     public e() {
    
42.         super();
    
43.     }
    
44. 
    
45.     public String a(String arg8) {
    
46.         String v0;
    
47.         dn.b(dn.a());
    
48.         if(arg8.equals("...___...")) {
    
49.             v0 = "sos";
    
50.         }
    
51.         else {
    
52.             StringBuilder v2 = new StringBuilder();
    
53.             String[] v3 = arg8.split("\\s+");  //根据空格进行分割
    
54.             int v4 = v3.length;
    
55.             int v1 = 0;
    
56.             while(true) {
    
57.                 if(v1 < v4) {
    
58.                     Object v0_1 = e.a.get(v3[v1]); //替换
    
59.                     if(v0_1 != null) {
    
60.                         v2.append(((String)v0_1));//连接
    
61.                         ++v1;
    
62.                         continue;
    
63.                     }
    
64.                     else {
    
65.                         break;
    
66.                     }
    
67.                 }
    
68.                 else {
    
69.                     goto label_26;
    
70.                 }
    
71. 
    
72.                 return v0;
    
73.             }
    
74. 
    
75.             throw new IllegalArgumentException();
    
76.         label_26:
    
77.             v0 = v2.toString();
    
78.         }
    
79.         return v0;
    
80.     }

复制代码

下面这部分代码,根据压缩包里的strings.xml和public.xml可以分析run()返回值为0时,提示成功的字符

1. public void handleMessage(Message arg5) {
   
2.         dn.b(dn.a());
   
3.         int v2 = -65536;
   
4.         this.a.b.setEnabled(true);
   
5.         switch(arg5.what) {
   
6.             case 0: {
   
7.                 goto label_10;
   
8.             }
   
9.             case 1: {
   
10.                 goto label_27;
    
11.             }
    
12.             case 2: {
    
13.                 goto label_51;
    
14.             }
    
15.             case 3: {
    
16.                 goto label_66;
    
17.             }
    
18.         }
    
19.         return;
    
20.     label_66:
    
21.         this.a.a.setTextColor(v2);
    
22.         TextView v1 = this.a.a;
    
23.         int v0 = Main.a(this.a).nextBoolean() ? 2130968582 : 2130968581;
    
24.         v1.setText(v0);
    
25.         return;
    
26.         try {
    
27.         label_51:
    
28.             this.a.a.setTextColor(-65536);
    
29.         }
    
30.         catch(Exception v0_1) {
    
31.             this.a.a.setTextColor(-7829368);
    
32.         }
    
33. 
    
34.         this.a.a.setText(2130968580);
    
35.         return;
    
36.     label_10:
    
37.         this.a.a.setTextColor(-16776961);
    
38.         try {
    
39.             this.a.a.setText(103 / arg5.what);
    
40.         }
    
41.         catch(Exception v0_1) {
    
42.             this.a.a.setText(2130968586);
    
43.         }
    
44.         return;
    
45.     label_27:
    
46.         this.a.a.setTextColor(v2);
    
47.         switch(Main.a(this.a).nextInt(3)) {
    
48.             case 0: {
    
49.                 goto label_36;
    
50.             }
    
51.             case 1: {
    
52.                 goto label_41;
    
53.             }
    
54.             case 2: {
    
55.                 goto label_46;
    
56.             }
    
57.         }
    
58.         return;
    
59.     label_36:
    
60.         this.a.a.setText(2130968583);
    
61.         return;
    
62.     label_41:
    
63.         this.a.a.setText(2130968585);
    
64.         return;
    
65.     label_46:
    
66.         this.a.a.setText(2130968584);
    
67.     }
    

复制代码

下面的run()函数为关键点，只要返回0即可，分析逻辑和上面那个CTF很类似

1. b(a arg1, Handler arg2, String arg3) {
   
2.         this.d = arg1;
   
3.         this.b = arg2;
   
4.         this.input = arg3;
   
5.         super();
   
6.     }
   
7. 
   
8.     public void run() {
   
9.         int v0_6;
   
10.         String v0_5;
    
11.         String v1_5;
    
12.         byte[] v2_3;
    
13.         Cipher v1_1;
    
14.         MessageDigest v0_3;
    
15.         String str;
    
16.         dn.b(dn.a());
    
17.         MessageDigest v1 = null;
    
18.         if(Build$VERSION.SDK_INT >= 10 && (Debug.isDebuggerConnected())) {
    
19.             this.b.sendEmptyMessage(1);
    
20.             return;
    
21.         }
    
22. 
    
23.         try {
    
24.             str = new e().a(this.input);  //a函数的主要目的,在莫尔斯码表中置换
    
25.         }
    
26.         catch(Exception v0) {
    
27.             this.b.sendEmptyMessage(3);
    
28.             return;
    
29.         }
    
30. 
    
31.         try {
    
32.             if(str.equals("sos")) {
    
33.                 this.b.sendEmptyMessage(2);
    
34.                 return;
    
35.             }
    
36. 
    
37.             CRC32 v0_1 = new CRC32();  //crc加密
    
38.             v0_1.update(str.getBytes());
    
39.             v0_1.getValue();
    
40.             str.hashCode();
    
41.             try {
    
42.                 v0_3 = MessageDigest.getInstance("sha1"); //sha1加密
    
43.             }
    
44.             catch(NoSuchAlgorithmException v0_2) {
    
45.                 v0_2.printStackTrace();
    
46.                 v0_3 = v1;
    
47.             }
    
48. 
    
49.             try {
    
50.                 v1_1 = Cipher.getInstance("AES");   
    
51.             }
    
52.             catch(NoSuchPaddingException v0_4) {
    
53.                 v0_4.printStackTrace();
    
54.                 return;
    
55.             }
    
56.             catch(NoSuchAlgorithmException v2) {
    
57.                 v2.printStackTrace();
    
58.             }
    
59. 
    
60.             if(!b.a && v1_1 == null) {
    
61.                 throw new AssertionError();
    
62.             }
    
63.         }
    
64.         catch(Exception v0) {
    
65.             goto label_26;
    
66.         }
    
67. 
    
68.         int v2_1 = 2;
    
69.         try {
    
70.             v1_1.init(v2_1, new SecretKeySpec(Base64.decode("GXiQHT1CZ2elMzwpvvAoPA==".getBytes(), 0), "AES")); //AES设置key
    
71.             goto label_69;
    
72.         }
    
73.         catch(Exception v0) {
    
74.         }
    
75.         catch(InvalidKeyException v2_2) {
    
76.         label_69:
    
77.             try {
    
78.                 new byte[0];
    
79.                 try {
    
80.                     v2_3 = v1_1.doFinal(Base64.decode("hjdsUjIT5je69WXIZP7Kzw==".getBytes("UTf-8"), 0));  //AES解密，值固定
    
81.                     goto label_78;
    
82.                 }
    
83.                 catch(UnsupportedEncodingException v1_2) {
    
84.                     try {
    
85.                         v1_2.printStackTrace();
    
86.                     label_78:
    
87.                         String v6 = new String(v2_3);   //上面AES解密的
    
88.                         v0_3.update(new byte[]{127});
    
89.                         v0_3.update(str.getBytes());   
    
90.                         v0_3.update(new byte[]{1});
    
91.                     }
    
92.                     catch(Exception v0) {
    
93.                         goto label_26;
    
94.                     }
    
95.                 }
    
96.                 catch(BadPaddingException v1_3) {
    
97.                     goto label_78;
    
98.                 }
    
99.                 catch(IllegalBlockSizeException v1_4) {
    
100.                     goto label_78;
     
101.                 }
     
102.             }
     
103.             catch(Exception v0) {
     
104.                 goto label_26;
     
105.             }
     
106. 
     
107.             try {
     
108.                 v1_5 = new String(Base64.encode(v0_3.digest(), 0));  //
     
109.                 goto label_99;
     
110.             }
     
111.             catch(Exception v0) {
     
112.                 try {
     
113.                     v0.printStackTrace();
     
114.                     return;
     
115.                 label_99:
     
116.                     if(!str.equals(v6)) {
     
117.                         goto label_190;
     
118.                     }
     
119.                     else if(Arrays.equals(v1_5.getBytes(), "2398lj2n".getBytes())) {
     
120.                         this.b.sendEmptyMessage(0);
     
121.                         return;
     
122.                     }
     
123.                     else {
     
124.                         v0_5 = "234";
     
125.                     }
     
126. 
     
127.                     goto label_117;
     
128.                 }
     
129.                 catch(Exception v0) {
     
130.                     goto label_26;
     
131.                 }
     
132.             }
     
133. 
     
134.         label_190:
     
135.             v0_5 = v1_5;
     
136.             try {
     
137.             label_117:
     
138.                 if(v0_5.equals("lsdf==")) {
     
139.                     this.b.sendEmptyMessage(0);
     
140.                     return;
     
141.                 }
     
142. 
     
143.                 char[] v1_6 = str.toCharArray();
     
144.                 v0_6 = str.substring(0, 2).hashCode();
     
145.                 if(v0_6 > 3904) {
     
146.                     this.b.sendEmptyMessage(4);
     
147.                     return;
     
148.                 }
     
149. 
     
150.                 if(v0_6 == 3618) {
     
151.                     if(v1_6[0] + v1_6[1] != 168) {
     
152.                         goto label_178;
     
153.                     }
     
154. 
     
155.                     do {
     
156.                     label_144:
     
157.                         byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes();
     
158.                         if(v1_6.length - 2 == v5_1.length) {
     
159.                             v0_6 = 0;
     
160.                             while(true) {
     
161.                                 if(v0_6 >= v5_1.length) {
     
162.                                     goto label_188;
     
163.                                 }
     
164.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
     
165.                                     v0_6 = 0;
     
166.                                 }
     
167.                                 else {
     
168.                                     ++v0_6;
     
169.                                     continue;
     
170.                                 }
     
171. 
     
172.                                 goto label_170;
     
173.                             }
     
174.                         }
     
175. 
     
176.                         goto label_177;
     
177.                     }
     
178.                     while(true);
     
179.                 }
     
180. 
     
181.                 goto label_178;
     
182.             }
     
183.             catch(Exception v0) {
     
184.                 goto label_26;
     
185.             }
     
186. 
     
187.         label_188:
     
188.             v0_6 = 1;
     
189.             try {
     
190.             label_170:
     
191.                 if(v0_6 != 0) {
     
192.                     this.b.sendEmptyMessage(0);
     
193.                     return;
     
194.                 }
     
195. 
     
196.             label_177:
     
197.                 if(v2_3 == null) {
     
198.                     goto label_144;
     
199.                 }
     
200. 
     
201.             label_178:
     
202.                 this.b.sendEmptyMessage(1);
     
203.             }
     
204.             catch(Exception v0) {
     
205.             label_26:
     
206.                 this.b.sendEmptyMessage(1);
     
207.             }
     
208.         }
     
209.     }

复制代码

只有为这个的时候this.b.sendEmptyMessage(0);才会提示成功， label_188: ---label_117:---label_190:，跳转这三个点才能成功，

1. label_190:
   
2.             v0_5 = v1_5;
   
3.             try {
   
4.             label_117:
   
5.                 if(v0_5.equals("lsdf==")) {
   
6.                     this.b.sendEmptyMessage(0);
   
7.                     return;
   
8.                 }

复制代码

1. v0_3.update(new byte[]{127});
   
2. v0_3.update(str.getBytes());
   
3. v0_3.update(new byte[]{1});
   
4. v1_5 = new String(Base64.encode(v0_3.digest(), 0));
   
5. v0_5 = v1_5;

复制代码

由于前面对v0_3的处理，导致不能相等，所以只剩下label_170:这个独苗，然后看可以谁跳转到label_170:

1. char[] v1_6 = str.toCharArray();
   
2.                 v0_6 = str.substring(0, 2).hashCode();
   
3.                 if(v0_6 > 3904) {
   
4.                     this.b.sendEmptyMessage(4);
   
5.                     return;
   
6.                 }
   
7. 
   
8.                 if(v0_6 == 3618) {
   
9.                     if(v1_6[0] + v1_6[1] != 168) {
   
10.                         goto label_178;
    
11.                     }
    
12. 
    
13.                     do {
    
14.                     label_144:
    
15.                         byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes();
    
16.                         if(v1_6.length - 2 == v5_1.length) {
    
17.                             v0_6 = 0;
    
18.                             while(true) {
    
19.                                 if(v0_6 >= v5_1.length) {
    
20.                                     goto label_188;
    
21.                                 }
    
22.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
    
23.                                     v0_6 = 0;
    
24.                                 }
    
25.                                 else {
    
26.                                     ++v0_6;
    
27.                                     continue;
    
28.                                 }
    
29. 
    
30.                                 goto label_170;
    
31.                             }
    
32.                         }
    
33. 
    
34.                         goto label_177;
    
35.                     }
    
36.                     while(true);
    
37.                 }
    
38. 
    
39.                 goto label_178;
    
40.             }

复制代码

分析可知，v0_6 == 3618 和 v1_6[0] + v1_6[1] = 168必须同时成立，v0_6 = str.substring(0, 2).hashCode();，由于前面置换表只有小写字母和数字，所以可以直接遍历

1. #include <stdio.h>
   
2. #include <stdlib.h>
   
3. int main()
   
4. {
   
5.         int arry[] = { 48, 49, 50, 51, 52, 53, 54, 55, 56, 57, 97, 98, 99, 100, 101, 102, 103, 104, 105, 106, 107, 108, 109, 110, 111, 112, 113, 114, 115, 116, 117, 118, 119, 120, 121, 122 };
   
6.         int n = sizeof(arry) / sizeof(arry[0]);
   
7.         for (int i = 0; i < n; i++)
   
8.         {
   
9.                 for (int j = 0; j < n; j++)
   
10.                 {
    
11.                         if ((arry[i] * 31 + arry[j]) == 3618)
    
12.                         {
    
13.                                 printf("%d----%d\n", arry[i],arry[j]);
    
14.                         }
    
15.                 }
    
16.         }
    
17.         system("pause");
    
18.         return 0;
    
19. }

复制代码

c语言很垃圾，只能写这个了.........结果有两个113----115和115----53，只有后面的符合要求，转换成acsll为s5，接着往下看

1. byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes(); //获取后面四个字符
   
2.                         if(v1_6.length - 2 == v5_1.length) {
   
3.                             v0_6 = 0;
   
4.                             while(true) {
   
5.                                 if(v0_6 >= v5_1.length) {
   
6.                                     goto label_188;
   
7.                                 }
   
8.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
   
9.                                     v0_6 = 0;
   
10.                                 }
    
11.                                 else {
    
12.                                     ++v0_6;
    
13.                                     continue;
    
14.                                 }
    
15. 
    
16.                                 goto label_170;
    
17.                             }
    
18.                         }

复制代码

下面就可以看出来是比较了，要长度相等，字符相等，所以后面的为7e1p，加上前面的s5为s57e1p，然后再置换一下就行了，结果为... _____ ____. . ..___ .__.
贴下java的分析代码，很垃圾····························

1. import java.io.UnsupportedEncodingException;
   
2. import java.security.InvalidKeyException;
   
3. import java.security.MessageDigest;
   
4. import java.security.NoSuchAlgorithmException;
   
5. import java.util.Base64;
   
6. import java.util.Base64.Decoder;
   
7. import java.util.Base64.Encoder;
   
8. 
   
9. import javax.crypto.BadPaddingException;
   
10. import javax.crypto.Cipher;
    
11. import javax.crypto.IllegalBlockSizeException;
    
12. import javax.crypto.NoSuchPaddingException;
    
13. import javax.crypto.spec.SecretKeySpec;
    
14. 
    
15. public class aestest {
    
16.         
    
17.         public static void main(String[] args) throws InvalidKeyException, IllegalBlockSizeException, BadPaddingException, UnsupportedEncodingException, NoSuchAlgorithmException, NoSuchPaddingException  {
    
18.                 byte[] v2_3;
    
19.                 Cipher v1_1;
    
20.                 String v5 = "s57e1p";
    
21.                 String v1_5;
    
22.                 int v0_6;
    
23.                 MessageDigest v0_3;
    
24.                 char[] v1_6 = v5.toCharArray();
    
25.                 v0_3 = MessageDigest.getInstance("sha1");
    
26.                 v1_1 = Cipher.getInstance("AES");
    
27.                 Decoder decoder = Base64.getDecoder();
    
28.                 Encoder encode = Base64.getEncoder();
    
29.                 v1_1.init(2, new SecretKeySpec(decoder.decode("GXiQHT1CZ2elMzwpvvAoPA==".getBytes()), "AES"));
    
30.                 v2_3 = v1_1.doFinal(decoder.decode("hjdsUjIT5je69WXIZP7Kzw==".getBytes("UTf-8")));
    
31.                 System.out.println(v2_3);
    
32.                 v0_3.update(new byte[]{127});
    
33.                 v0_3.update(v5.getBytes());
    
34.                 v0_3.update(new byte[]{1});
    
35.                 String v6 = new String(v2_3);
    
36.                 v1_5 = new String(encode.encode(v0_3.digest()));
    
37.                 System.out.println(v1_5);
    
38.                 v0_6 = v5.substring(0, 2).hashCode();
    
39.                 System.out.println(v0_6);
    
40.           }        
    
41. }

复制代码