开启辅助访问 切换到宽版

精易论坛

 找回密码
 注册

QQ登录

只需一步，快速开始

用微信号发送消息登录论坛

新人指南 邀请好友注册 - 我关注人的新帖 教你赚取精币 - 每日签到


求职/招聘- 论坛接单- 开发者大厅

论坛版规 总版规 - 建议/投诉 - 应聘版主 - 精华帖总集 积分说明 - 禁言标准 - 有奖举报

精易论坛»论坛 › 技术专区 › 教程分享区 › AliCTF2015第三题+Android逆向小助手使用详解 ...
返回列表 发新帖
查看: 1662|回复: 0
收起左侧

[图文资料] AliCTF2015第三题+Android逆向小助手使用详解

[复制链接]
Breathless
结帖率：100% (3/3)
发表于 2018-10-9 16:20:36 | 显示全部楼层 |阅读模式   浙江省杭州市
本帖最后由 Breathless 于 2018-10-9 16:25 编辑

先用jeb反编译
  1. package com.ali.mobisecenhance;

  3. import android.app.Application;
  4. import android.content.Context;

  6. public class StubApplication extends Application {
  7.     static {
  8.         try {
  9.             Class v2 = Class.forName("android.os.SystemProperties");
  10.             Object v1 = v2.getDeclaredMethod("get", String.class).invoke(v2, "ro.product.cpu.abi");
  11.         }
  12.         catch(Exception v3) {
  13.             v3.printStackTrace();
  14.         }

  16.         if(((String)v1).equalsIgnoreCase("x86")) {
  17.             System.loadLibrary("mobisecx");
  18.         }
  19.         else {
  20.             System.loadLibrary("mobisec");
  21.         }
  22.     }

  24.     public StubApplication() {
  25.         super();
  26.     }

  28.     protected native void attachBaseContext(Context arg1) {
  29.     }

  31.     public native void onCreate() {
  32.     }
  33. }
复制代码

加了壳子~~~~关键代码看不到，那就先用ida脱壳吧
先打开DDMS
1.png
获取入口点
2.png
一键挂起
3.png
用ida附加
4.png
在ibdvm的dvmDefineClass下了个断点,通过DvmDex的指针，把odex dump下来，下好断点,点jdb启动
5.png
查看r0地址
6.png
跟随上面的地址
7.png
用脚步dump下来
  1. static main(void)
  2. {
  3. auto fp, dex_addr, end_addr;
  4. fp = fopen("C:\\dump.dex", "wb");
  5. end_addr = 0x75512000 + 0x00010000;
  6. for ( dex_addr = 0x75512000; dex_addr < end_addr; dex_addr ++ )
  7. fputc(Byte(dex_addr), fp);
  8. }
复制代码

然后修复，最后用版主的Apktool工具,反编译dex，再回编译,就可以用jeb打开了
8.png

9.png
下面就是分析java代码了
主要是根据这个表对我们输入的字符串，进行置换
  1. static {
  2.         e.a = new HashMap();
  3.         e.a("a", ". _");
  4.         e.a("b", "_ . . .");
  5.         e.a("c", "_ . _ .");
  6.         e.a("d", "_ . .");
  7.         e.a("e", ".");
  8.         e.a("f", ". . _ .");
  9.         e.a("g", "_ _ .");
  10.         e.a("h", ". . . .");
  11.         e.a("i", ". .");
  12.         e.a("j", ". _ _ _");
  13.         e.a("k", "_ . _");
  14.         e.a("l", ". _ . .");
  15.         e.a("m", "_ _");
  16.         e.a("n", "_ .");
  17.         e.a("o", "_ _ _");
  18.         e.a("p", ". _ _ .");
  19.         e.a("q", "_ _ . _");
  20.         e.a("r", ". _ .");
  21.         e.a("s", ". . .");
  22.         e.a("t", "_");
  23.         e.a("u", ". . _");
  24.         e.a("v", ". . . _");
  25.         e.a("w", ". _ _");
  26.         e.a("x", "_ . . _");
  27.         e.a("y", "_ . _ _");
  28.         e.a("z", "_ _ . .");
  29.         e.a("2", ". _ _ _ _");
  30.         e.a("1", ". . _ _ _");
  31.         e.a("3", ". . . _ _");
  32.         e.a("4", ". . . . _");
  33.         e.a("0", ". . . . .");
  34.         e.a("6", "_ . . . .");
  35.         e.a("9", "_ _ . . .");
  36.         e.a("8", "_ _ _ . .");
  37.         e.a("7", "_ _ _ _ .");
  38.         e.a("5", "_ _ _ _ _");
  39.     }

  41.     public e() {
  42.         super();
  43.     }

  45.     public String a(String arg8) {
  46.         String v0;
  47.         dn.b(dn.a());
  48.         if(arg8.equals("...___...")) {
  49.             v0 = "sos";
  50.         }
  51.         else {
  52.             StringBuilder v2 = new StringBuilder();
  53.             String[] v3 = arg8.split("\\s+");  //根据空格进行分割
  54.             int v4 = v3.length;
  55.             int v1 = 0;
  56.             while(true) {
  57.                 if(v1 < v4) {
  58.                     Object v0_1 = e.a.get(v3[v1]); //替换
  59.                     if(v0_1 != null) {
  60.                         v2.append(((String)v0_1));//连接
  61.                         ++v1;
  62.                         continue;
  63.                     }
  64.                     else {
  65.                         break;
  66.                     }
  67.                 }
  68.                 else {
  69.                     goto label_26;
  70.                 }

  72.                 return v0;
  73.             }

  75.             throw new IllegalArgumentException();
  76.         label_26:
  77.             v0 = v2.toString();
  78.         }
  79.         return v0;
  80.     }
复制代码

下面这部分代码,根据压缩包里的strings.xml和public.xml可以分析run()返回值为0时,提示成功的字符
  1. public void handleMessage(Message arg5) {
  2.         dn.b(dn.a());
  3.         int v2 = -65536;
  4.         this.a.b.setEnabled(true);
  5.         switch(arg5.what) {
  6.             case 0: {
  7.                 goto label_10;
  8.             }
  9.             case 1: {
  10.                 goto label_27;
  11.             }
  12.             case 2: {
  13.                 goto label_51;
  14.             }
  15.             case 3: {
  16.                 goto label_66;
  17.             }
  18.         }
  19.         return;
  20.     label_66:
  21.         this.a.a.setTextColor(v2);
  22.         TextView v1 = this.a.a;
  23.         int v0 = Main.a(this.a).nextBoolean() ? 2130968582 : 2130968581;
  24.         v1.setText(v0);
  25.         return;
  26.         try {
  27.         label_51:
  28.             this.a.a.setTextColor(-65536);
  29.         }
  30.         catch(Exception v0_1) {
  31.             this.a.a.setTextColor(-7829368);
  32.         }

  34.         this.a.a.setText(2130968580);
  35.         return;
  36.     label_10:
  37.         this.a.a.setTextColor(-16776961);
  38.         try {
  39.             this.a.a.setText(103 / arg5.what);
  40.         }
  41.         catch(Exception v0_1) {
  42.             this.a.a.setText(2130968586);
  43.         }
  44.         return;
  45.     label_27:
  46.         this.a.a.setTextColor(v2);
  47.         switch(Main.a(this.a).nextInt(3)) {
  48.             case 0: {
  49.                 goto label_36;
  50.             }
  51.             case 1: {
  52.                 goto label_41;
  53.             }
  54.             case 2: {
  55.                 goto label_46;
  56.             }
  57.         }
  58.         return;
  59.     label_36:
  60.         this.a.a.setText(2130968583);
  61.         return;
  62.     label_41:
  63.         this.a.a.setText(2130968585);
  64.         return;
  65.     label_46:
  66.         this.a.a.setText(2130968584);
  67.     }
复制代码
下面的run()函数为关键点，只要返回0即可，分析逻辑和上面那个CTF很类似
  1. b(a arg1, Handler arg2, String arg3) {
  2.         this.d = arg1;
  3.         this.b = arg2;
  4.         this.input = arg3;
  5.         super();
  6.     }

  8.     public void run() {
  9.         int v0_6;
  10.         String v0_5;
  11.         String v1_5;
  12.         byte[] v2_3;
  13.         Cipher v1_1;
  14.         MessageDigest v0_3;
  15.         String str;
  16.         dn.b(dn.a());
  17.         MessageDigest v1 = null;
  18.         if(Build$VERSION.SDK_INT >= 10 && (Debug.isDebuggerConnected())) {
  19.             this.b.sendEmptyMessage(1);
  20.             return;
  21.         }

  23.         try {
  24.             str = new e().a(this.input);  //a函数的主要目的,在莫尔斯码表中置换
  25.         }
  26.         catch(Exception v0) {
  27.             this.b.sendEmptyMessage(3);
  28.             return;
  29.         }

  31.         try {
  32.             if(str.equals("sos")) {
  33.                 this.b.sendEmptyMessage(2);
  34.                 return;
  35.             }

  37.             CRC32 v0_1 = new CRC32();  //crc加密
  38.             v0_1.update(str.getBytes());
  39.             v0_1.getValue();
  40.             str.hashCode();
  41.             try {
  42.                 v0_3 = MessageDigest.getInstance("sha1"); //sha1加密
  43.             }
  44.             catch(NoSuchAlgorithmException v0_2) {
  45.                 v0_2.printStackTrace();
  46.                 v0_3 = v1;
  47.             }

  49.             try {
  50.                 v1_1 = Cipher.getInstance("AES");   
  51.             }
  52.             catch(NoSuchPaddingException v0_4) {
  53.                 v0_4.printStackTrace();
  54.                 return;
  55.             }
  56.             catch(NoSuchAlgorithmException v2) {
  57.                 v2.printStackTrace();
  58.             }

  60.             if(!b.a && v1_1 == null) {
  61.                 throw new AssertionError();
  62.             }
  63.         }
  64.         catch(Exception v0) {
  65.             goto label_26;
  66.         }

  68.         int v2_1 = 2;
  69.         try {
  70.             v1_1.init(v2_1, new SecretKeySpec(Base64.decode("GXiQHT1CZ2elMzwpvvAoPA==".getBytes(), 0), "AES")); //AES设置key
  71.             goto label_69;
  72.         }
  73.         catch(Exception v0) {
  74.         }
  75.         catch(InvalidKeyException v2_2) {
  76.         label_69:
  77.             try {
  78.                 new byte[0];
  79.                 try {
  80.                     v2_3 = v1_1.doFinal(Base64.decode("hjdsUjIT5je69WXIZP7Kzw==".getBytes("UTf-8"), 0));  //AES解密，值固定
  81.                     goto label_78;
  82.                 }
  83.                 catch(UnsupportedEncodingException v1_2) {
  84.                     try {
  85.                         v1_2.printStackTrace();
  86.                     label_78:
  87.                         String v6 = new String(v2_3);   //上面AES解密的
  88.                         v0_3.update(new byte[]{127});
  89.                         v0_3.update(str.getBytes());   
  90.                         v0_3.update(new byte[]{1});
  91.                     }
  92.                     catch(Exception v0) {
  93.                         goto label_26;
  94.                     }
  95.                 }
  96.                 catch(BadPaddingException v1_3) {
  97.                     goto label_78;
  98.                 }
  99.                 catch(IllegalBlockSizeException v1_4) {
  100.                     goto label_78;
  101.                 }
  102.             }
  103.             catch(Exception v0) {
  104.                 goto label_26;
  105.             }

  107.             try {
  108.                 v1_5 = new String(Base64.encode(v0_3.digest(), 0));  //
  109.                 goto label_99;
  110.             }
  111.             catch(Exception v0) {
  112.                 try {
  113.                     v0.printStackTrace();
  114.                     return;
  115.                 label_99:
  116.                     if(!str.equals(v6)) {
  117.                         goto label_190;
  118.                     }
  119.                     else if(Arrays.equals(v1_5.getBytes(), "2398lj2n".getBytes())) {
  120.                         this.b.sendEmptyMessage(0);
  121.                         return;
  122.                     }
  123.                     else {
  124.                         v0_5 = "234";
  125.                     }

  127.                     goto label_117;
  128.                 }
  129.                 catch(Exception v0) {
  130.                     goto label_26;
  131.                 }
  132.             }

  134.         label_190:
  135.             v0_5 = v1_5;
  136.             try {
  137.             label_117:
  138.                 if(v0_5.equals("lsdf==")) {
  139.                     this.b.sendEmptyMessage(0);
  140.                     return;
  141.                 }

  143.                 char[] v1_6 = str.toCharArray();
  144.                 v0_6 = str.substring(0, 2).hashCode();
  145.                 if(v0_6 > 3904) {
  146.                     this.b.sendEmptyMessage(4);
  147.                     return;
  148.                 }

  150.                 if(v0_6 == 3618) {
  151.                     if(v1_6[0] + v1_6[1] != 168) {
  152.                         goto label_178;
  153.                     }

  155.                     do {
  156.                     label_144:
  157.                         byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes();
  158.                         if(v1_6.length - 2 == v5_1.length) {
  159.                             v0_6 = 0;
  160.                             while(true) {
  161.                                 if(v0_6 >= v5_1.length) {
  162.                                     goto label_188;
  163.                                 }
  164.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
  165.                                     v0_6 = 0;
  166.                                 }
  167.                                 else {
  168.                                     ++v0_6;
  169.                                     continue;
  170.                                 }

  172.                                 goto label_170;
  173.                             }
  174.                         }

  176.                         goto label_177;
  177.                     }
  178.                     while(true);
  179.                 }

  181.                 goto label_178;
  182.             }
  183.             catch(Exception v0) {
  184.                 goto label_26;
  185.             }

  187.         label_188:
  188.             v0_6 = 1;
  189.             try {
  190.             label_170:
  191.                 if(v0_6 != 0) {
  192.                     this.b.sendEmptyMessage(0);
  193.                     return;
  194.                 }

  196.             label_177:
  197.                 if(v2_3 == null) {
  198.                     goto label_144;
  199.                 }

  201.             label_178:
  202.                 this.b.sendEmptyMessage(1);
  203.             }
  204.             catch(Exception v0) {
  205.             label_26:
  206.                 this.b.sendEmptyMessage(1);
  207.             }
  208.         }
  209.     }
复制代码

只有为这个的时候this.b.sendEmptyMessage(0);才会提示成功， label_188: ---label_117:---label_190:，跳转这三个点才能成功，
  1. label_190:
  2.             v0_5 = v1_5;
  3.             try {
  4.             label_117:
  5.                 if(v0_5.equals("lsdf==")) {
  6.                     this.b.sendEmptyMessage(0);
  7.                     return;
  8.                 }
复制代码
  1. v0_3.update(new byte[]{127});
  2. v0_3.update(str.getBytes());
  3. v0_3.update(new byte[]{1});
  4. v1_5 = new String(Base64.encode(v0_3.digest(), 0));
  5. v0_5 = v1_5;
复制代码
由于前面对v0_3的处理，导致不能相等，所以只剩下label_170:这个独苗，然后看可以谁跳转到label_170:
  1. char[] v1_6 = str.toCharArray();
  2.                 v0_6 = str.substring(0, 2).hashCode();
  3.                 if(v0_6 > 3904) {
  4.                     this.b.sendEmptyMessage(4);
  5.                     return;
  6.                 }

  8.                 if(v0_6 == 3618) {
  9.                     if(v1_6[0] + v1_6[1] != 168) {
  10.                         goto label_178;
  11.                     }

  13.                     do {
  14.                     label_144:
  15.                         byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes();
  16.                         if(v1_6.length - 2 == v5_1.length) {
  17.                             v0_6 = 0;
  18.                             while(true) {
  19.                                 if(v0_6 >= v5_1.length) {
  20.                                     goto label_188;
  21.                                 }
  22.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
  23.                                     v0_6 = 0;
  24.                                 }
  25.                                 else {
  26.                                     ++v0_6;
  27.                                     continue;
  28.                                 }

  30.                                 goto label_170;
  31.                             }
  32.                         }

  34.                         goto label_177;
  35.                     }
  36.                     while(true);
  37.                 }

  39.                 goto label_178;
  40.             }
复制代码

分析可知，v0_6 == 3618 和 v1_6[0] + v1_6[1] = 168必须同时成立，v0_6 = str.substring(0, 2).hashCode();，由于前面置换表只有小写字母和数字，所以可以直接遍历
  1. #include <stdio.h>
  2. #include <stdlib.h>
  3. int main()
  4. {
  5.         int arry[] = { 48, 49, 50, 51, 52, 53, 54, 55, 56, 57, 97, 98, 99, 100, 101, 102, 103, 104, 105, 106, 107, 108, 109, 110, 111, 112, 113, 114, 115, 116, 117, 118, 119, 120, 121, 122 };
  6.         int n = sizeof(arry) / sizeof(arry[0]);
  7.         for (int i = 0; i < n; i++)
  8.         {
  9.                 for (int j = 0; j < n; j++)
  10.                 {
  11.                         if ((arry[i] * 31 + arry[j]) == 3618)
  12.                         {
  13.                                 printf("%d----%d\n", arry[i],arry[j]);
  14.                         }
  15.                 }
  16.         }
  17.         system("pause");
  18.         return 0;
  19. }
复制代码

c语言很垃圾，只能写这个了.........结果有两个113----115和115----53，只有后面的符合要求，转换成acsll为s5，接着往下看
  1. byte[] v5_1 = e.class.getAnnotation(f.class).a() + a.class.getAnnotation(f.class).a().getBytes(); //获取后面四个字符
  2.                         if(v1_6.length - 2 == v5_1.length) {
  3.                             v0_6 = 0;
  4.                             while(true) {
  5.                                 if(v0_6 >= v5_1.length) {
  6.                                     goto label_188;
  7.                                 }
  8.                                 else if(v1_6[v0_6 + 2] != v5_1[v0_6]) {
  9.                                     v0_6 = 0;
  10.                                 }
  11.                                 else {
  12.                                     ++v0_6;
  13.                                     continue;
  14.                                 }

  16.                                 goto label_170;
  17.                             }
  18.                         }
复制代码

下面就可以看出来是比较了，要长度相等，字符相等，所以后面的为7e1p，加上前面的s5为s57e1p，然后再置换一下就行了，结果为... _____ ____. . ..___ .__.
贴下java的分析代码，很垃圾····························
  1. import java.io.UnsupportedEncodingException;
  2. import java.security.InvalidKeyException;
  3. import java.security.MessageDigest;
  4. import java.security.NoSuchAlgorithmException;
  5. import java.util.Base64;
  6. import java.util.Base64.Decoder;
  7. import java.util.Base64.Encoder;

  9. import javax.crypto.BadPaddingException;
  10. import javax.crypto.Cipher;
  11. import javax.crypto.IllegalBlockSizeException;
  12. import javax.crypto.NoSuchPaddingException;
  13. import javax.crypto.spec.SecretKeySpec;

  15. public class aestest {
  16.         
  17.         public static void main(String[] args) throws InvalidKeyException, IllegalBlockSizeException, BadPaddingException, UnsupportedEncodingException, NoSuchAlgorithmException, NoSuchPaddingException  {
  18.                 byte[] v2_3;
  19.                 Cipher v1_1;
  20.                 String v5 = "s57e1p";
  21.                 String v1_5;
  22.                 int v0_6;
  23.                 MessageDigest v0_3;
  24.                 char[] v1_6 = v5.toCharArray();
  25.                 v0_3 = MessageDigest.getInstance("sha1");
  26.                 v1_1 = Cipher.getInstance("AES");
  27.                 Decoder decoder = Base64.getDecoder();
  28.                 Encoder encode = Base64.getEncoder();
  29.                 v1_1.init(2, new SecretKeySpec(decoder.decode("GXiQHT1CZ2elMzwpvvAoPA==".getBytes()), "AES"));
  30.                 v2_3 = v1_1.doFinal(decoder.decode("hjdsUjIT5je69WXIZP7Kzw==".getBytes("UTf-8")));
  31.                 System.out.println(v2_3);
  32.                 v0_3.update(new byte[]{127});
  33.                 v0_3.update(v5.getBytes());
  34.                 v0_3.update(new byte[]{1});
  35.                 String v6 = new String(v2_3);
  36.                 v1_5 = new String(encode.encode(v0_3.digest()));
  37.                 System.out.println(v1_5);
  38.                 v0_6 = v5.substring(0, 2).hashCode();
  39.                 System.out.println(v0_6);
  40.           }        
  41. }
复制代码




回复

使用道具 举报

返回列表 发新帖
  高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则 致发广告者

发布主题 收藏帖子 返回列表

sitemap| 易语言源码| 易语言教程| 易语言论坛| 易语言模块| 手机版| 广告投放| 精易论坛
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论，本站内容均为会员发表，并不代表精易立场!
论坛帖子内容仅用于技术交流学习和研究的目的，严禁用于非法目的，否则造成一切后果自负！如帖子内容侵害到你的权益，请联系我们！
防范网络诈骗，远离网络犯罪 违法和不良信息举报电话0663-3422125，QQ： 793400750，邮箱：wp@125.la
网站简介：精易论坛成立于2009年，是一个程序设计学习交流技术论坛，隶属于揭阳市揭东区精易科技有限公司所有。
Powered by Discuz! X3.4 揭阳市揭东区精易科技有限公司 ( 粤ICP备12094385号-1) 粤公网安备 44522102000125　增值电信业务经营许可证 粤B2-20192173

快速回复 返回顶部 返回列表