DVM 类加载原理:

DEX 文件加载到内存中 DvmDex 结构后,还没有完成类的解析工作,我们将 DEX 中的类填充到 ClassObject 结构的过程称为类加载。

ClassObject 用来描述一个完整的类,其中 Method 结构用于描述类的方法:


struct ClassObject : Object {
-- snip --
/* static, private, and <init> methods */
int directMethodCount;
Method* directMethods;
/* virtual methods defined in this class; invoked through vtable */
int virtualMethodCount;
Method* virtualMethods;
-- snip --
};

其包含了指令位置指针:

struct Method {
-- snip --
/* the actual code */
const u2* insns; /* instructions, in memory-mapped .dex */
-- snip --
};

Android DVM 提供了三种类加载方法:

(1)使用 Class.forName 显式加载
(2)使用 ClassLoader.loadClass 显式加载
(3)隐式加载,比如 new 操作符,当相应类未被访问过时,则发生隐式加载

其中,

Class.forName 调用 DVM 的 Dalvik_java_lang_Class_classForName 函数;
ClassLoader.loadClass 调用 Dalvik_dalvik_system_DexFile_defineClassNative 函数;
隐式加载调用 dvmResolveClass 函数;

调用关系如下:

DEX dump 时机:

观察 Dalvik_dalvik_system_DexFile_defineClassNative 函数实现:

static void Dalvik_dalvik_system_DexFile_defineClassNative(const u4* args,
JValue* pResult)
{
-- snip --
if (pDexOrJar->isDex)
pDvmDex = dvmGetRawDexFileDex(pDexOrJar->pRawDexFile);
else
pDvmDex = dvmGetJarFileDex(pDexOrJar->pJarFile); clazz = dvmDefineClass(pDvmDex, descriptor, loader);
-- snip --
}

选取这个函数插入脱壳代码的原因有以下:

  1. 函数位于关键路径
    无论何种类加载方式,必然会执行到 Dalvik_dalvik_system_DexFile_defineClassNative 函数

  2. 包含内存中 DEX 结构,且可以通过 pDexOrJar->fileName 匹配 APK
    通过 pDvmDex = dvmGetJarFileDex(pDexOrJar->pJarFile) 处代码,可以取到内存中 DEX 文件结构信息,这些信息包括:

/*
* Internal struct for managing DexFile.
*/
struct DexOrJar {
char* fileName; // Unique String,可用来命中待脱壳 APP
bool isDex;
bool okayToFree;
RawDexFile* pRawDexFile;
JarFile* pJarFile; // 内存中 zip(APK) 文件结构
u1* pDexMemory; // malloc()ed memory, if any
};

pDvmDex 表示一个打开的 ODEX 文件,DvmDex 结构体有一个 memMap 成员,用来表示 ODEX 文件对应的内存信息:

/*
* Some additional VM data structures that are associated with the DEX file.
*/
struct DvmDex {
-- snip --
/* shared memory region with file contents */
bool isMappedReadOnly;
MemMapping memMap;
-- snip --
};

其中 addr 代表这块内存起始地址,length 代表这块内存大小:

/*
* Use this to keep track of mapped segments.
*/
struct MemMapping {
void* addr; /* start of data */
size_t length; /* length of data */ void* baseAddr; /* page-aligned base address */
size_t baseLength; /* length of mapping */
};

想要 dump 目标 DEX,只需匹配 pDexOrJar->fileName 到相应的 fileName 时,通过 memMap->addr 和 memMap->length 定位到 ODEX 的内存位置, dump 出来即可。

ODEX 文件是为了提高 DVM 运行效率而设计的,它通过将引用到的 framework APIs 替换成预加载 vtable 的索引,提高方法查找和运行效率,因此 ODEX 是与具体设备强相关的,更具体来说是与 /system/framework 目录下的 odex 文件强相关的。

通过 backsmali 与 /system/framework 下 odex,便可以将 ODEX 恢复为 DEX 文件,网上有很多这方面材料,不再赘述。

解决几个问题:

目前,仍然有一个值得关注的问题:一个类加载完,其初始化(如<clinit>)可能仍未执行。

由于 <clinit> 先于其他任何类方法执行,因此加固程序可以在 <clinit> 中做些手脚,实现对方法指令的动态修改,即初始化前我们 dump 出的 DEX 可能完全是错的。

解决办法是,使用 dvmDefineClass 遍历 DEX 的所有类,通过 dvmIsClassInitialized 判断类是否已经初始化过,并调用 dvmInitClass 主动初始化所有类。这样内存中的类,都是初始化过的,这时便可以 dump 出相对正确的 ODEX 文件。

另外还有一个问题:

图中标志的 code_off 表示一个 direct_method 方法的指令字节码相对于 ODEX 头的偏移,而它的取值范围完全可以在 ODEX 内存区域之外,因此如果单纯根据 memMap 的 addr 和 length 进行 dump, 可能缺失关键的指令数据。解决办法是将不在 ODEX 内存区域的指令单独存储为一个 extra 文件中附在 dump 出的 ODEX 之后,并修复 code_off 等偏移。

Dexhunter 的弱点:

DexHunter 通过在类加载过程中插入代码,主动遍历并初始化所有类,然后进行内存 dump。但在类初始化完成后,DVM 并不保证方法指令正确。

因此对抗 DexHunter 的一个办法是,将指令还原选在 Dalvik_dalvik_system_DexFile_defineClassNative 函数执行完,方法指令执行前的某个位置,比如 Hook dvmDefineClass 函数。

另外一个方法是自己实现 Dalvik_dalvik_system_DexFile_defineClassNative 函数,通过 pDexOrJar->fileName 可以发现,360可能用了类似办法。

Dalvik源码阅读笔记(二)的更多相关文章

  1. werkzeug源码阅读笔记(二) 下

    wsgi.py----第二部分 pop_path_info()函数 先测试一下这个函数的作用: >>> from werkzeug.wsgi import pop_path_info ...

  2. werkzeug源码阅读笔记(二) 上

    因为第一部分是关于初始化的部分的,我就没有发布出来~ wsgi.py----第一部分 在分析这个模块之前, 需要了解一下WSGI, 大致了解了之后再继续~ get_current_url()函数 很明 ...

  3. Detectron2源码阅读笔记-(二)Registry&build_*方法

    ​ Trainer解析 我们继续Detectron2代码阅读笔记-(一)中的内容. 上图画出了detectron2文件夹中的三个子文件夹(tools,config,engine)之间的关系.那么剩下的 ...

  4. Dalvik源码阅读笔记(一)

    dalvik 虚拟机启动入口在 JNI_CreateJavaVM(), 在进行完 JNIEnv 等环境设置后,调用 dvmStartup() 函数进行真正的 DVM 初始化. jint JNI_Cre ...

  5. Android源码阅读笔记二 消息处理机制

    消息处理机制: .MessageQueue: 用来描述消息队列2.Looper:用来创建消息队列3.Handler:用来发送消息队列 初始化: .通过Looper.prepare()创建一个Loope ...

  6. Apollo源码阅读笔记(二)

    Apollo源码阅读笔记(二) 前面 分析了apollo配置设置到Spring的environment的过程,此文继续PropertySourcesProcessor.postProcessBeanF ...

  7. 【原】FMDB源码阅读(二)

    [原]FMDB源码阅读(二) 本文转载请注明出处 -- polobymulberry-博客园 1. 前言 上一篇只是简单地过了一下FMDB一个简单例子的基本流程,并没有涉及到FMDB的所有方方面面,比 ...

  8. Three.js源码阅读笔记-5

    Core::Ray 该类用来表示空间中的“射线”,主要用来进行碰撞检测. THREE.Ray = function ( origin, direction ) { this.origin = ( or ...

  9. jdk源码阅读笔记-LinkedHashMap

    Map是Java collection framework 中重要的组成部分,特别是HashMap是在我们在日常的开发的过程中使用的最多的一个集合.但是遗憾的是,存放在HashMap中元素都是无序的, ...

随机推荐

  1. img 标签

    设计网页时经常使用的图片有三种,它们的相同点是都经过了压缩,压缩比越高,图像品质越差. GIF(Graphics Interchange Format):最多支持256色,支持透明,支持多帧动画显示效 ...

  2. Jackson 工具类使用及配置指南

    目录 前言 Jackson使用工具类 Jackson配置属性 Jackson解析JSON数据 Jackson序列化Java对象 前言 Json数据格式这两年发展的很快,其声称相对XML格式有很对好处: ...

  3. ElasticSearch的matchQuery与termQuery区别

    matchQuery:会将搜索词分词,再与目标查询字段进行匹配,若分词中的任意一个词与目标字段匹配上,则可查询到. termQuery:不会对搜索词进行分词处理,而是作为一个整体与目标字段进行匹配,若 ...

  4. LY.JAVA面向对象编程思想概述

    面向对象 2018年7月5日  逆袭之旅DAY09 2018年7月5日  逆袭之旅DAY09 2018-07-07

  5. sql取大的一个值

    select b.*,             a.recid,             a.keyno  from product b,             (select pcode,     ...

  6. C++标准库头文件名字和C语言头文件名字的区别

    1.C++版本的C标准库头文件,一般是cname,而C语言头文件一般是name.h 2.命名为cname的头文件中定义的名字都是从std中来的,而如果是name.h则不是这样的. 3.与是用name. ...

  7. CentOS7安装cratedb

    crate: 下载: https://crate.io/download/thank-you/?download=tar crash: 下载: https://crate.io/docs/client ...

  8. 第三节 java 数组(循环遍历、获取数组的最值(最大值和最小值)、选择排序、冒泡排序、练习控制台输出大写的A)

    获取数组的最值(最大值和最小值) 思路: 1.获取最值需要进行比较,每一次比较都会有一个较大的值,因为该 值不确定,需要一个变量进行临储. 2.让数组中的每一个元素都和这个变量中的值进行比较,如果大于 ...

  9. 日志框架elk 搭建

    CENTOS7 安装 NGINX ELK之LOGSTASH ELK之ELASTICSEARCH安装 ELK之KIBANA

  10. SharePoint REST API - 文件夹和文件

    博客地址:http://blog.csdn.net/FoxDave 本篇讲述如何通过REST操作文件夹和文件. 使用REST操作文件夹 在你知道某个文档库中的文件夹的URL时,可以使用如下的代码获 ...