動態加載 dex

本文章由Jack_Jia編寫,轉載請註明出處。  
文章連接:
http://blog.csdn.net/jiazhijun/article/details/9674251java

做者:Jack_Jia    郵箱: 309zhijun@163.comandroid

 

英文原版下載地址:http://2013.hackitoergosum.org/presentations/Day1-05.Nifty%20stuff%20that%20you%20can%20still%20do%20with%20Android%20by%20Xavier%20Martin.pdf安全

 

1、Android DEX 動態加載技術cookie

      在Android開發過程當中,開發者可使用DexClassLoader動態加載另外一個DEX文件。網絡

      API接口:app

         DexClassLoader(String dexPath, String optimizedDirectory, String libraryPath,ClassLoader parent)
      缺點:須要DEX以文件形式明文存放在存儲設備上。函數

 

     Android4.0版本增長了對內存中DEX數據的動態加載,這樣就克服了使用DexClassLoader時DEX以文件形式明文存放在存儲設備上的缺點,內存中DEX數據能夠來源於解密後的文件或者網絡。這樣就增長了DEX數據的安全性。可是DexClassLoader並無暴露該種加載方式。開發者須要在JAVA層實現本身的Dex ClassLoader。spa

   

    Android相關源代碼位置:.net

   JAVA層源代碼:libcore\dalvik\src\main\java\dalvik\system\DexFile.java指針

   /*
     * Open a DEX file based on a {@code byte[]}. The value returned
     * is a magic VM cookie. On failure, a RuntimeException is thrown.
     */
    nativeprivatestaticint openDexFile(byte[] fileContents);


   開發者能夠經過反射調用DexFile實現本身的Dex ClassLoader,可是這種方式DEX數據在JAVA層,比較容易獲取,安全度比較低。
   開發者能夠經過JNI調用底層函數解析:

   C++層源代碼:dalvik2\vm\native\dalvik_system_DexFile.cpp

 

    const DalvikNativeMethod dvm_dalvik_system_DexFile[] = {
              { "openDexFile", "(Ljava/lang/String;Ljava/lang/String;I)I",Dalvik_dalvik_system_DexFile_openDexFile },
              { "openDexFile", "([B)I",Dalvik_dalvik_system_DexFile_openDexFile_bytearray },
              { "closeDexFile", "(I)V",Dalvik_dalvik_system_DexFile_closeDexFile },
              { "defineClass", "(Ljava/lang/String;Ljava/lang/ClassLoader;I)Ljava/lang/Class;",Dalvik_dalvik_system_DexFile_defineClass },
              { "getClassNameList", "(I)[Ljava/lang/String;",Dalvik_dalvik_system_DexFile_getClassNameList },

              { "isDexOptNeeded", "(Ljava/lang/String;)Z",Dalvik_dalvik_system_DexFile_isDexOptNeeded },
              { NULL, NULL, NULL },
   };

  

   第一步首先獲取Dalvik_dalvik_system_DexFile_openDexFile_bytearray方法指針:

 

   JNINativeMethod *dvm_dalvik_system_DexFile;

   void (*openDexFile)(const u4* args, JValue* pResult);
   JNIEXPORT jint JNI_OnLoad(JavaVM* vm, void* reserved) {
       void *ldvm = (void*)dlopen("libdvm.so", RTLD_LAZY);
       dvm_dalvik_system_DexFile = (JNINativeMethod*)dlsym(ldvm, "dvm_dalvik_system_DexFile");

       lookup(dvm_dalvik_system_DexFile, "dvm_dalvik_system_DexFile", "([B)I", &openDexFile)

   }
   int lookup (JNINativeMethod *table, const char *name, const char *sig, void (**fnPtrout)(u4 const *, union JValue *)) {
        int i = 0;
        while (table[i].name != NULL) {
           if ( (strcmp(name, table[i].name) == 0) && (strcmp(sig, table[i].signature) == 0) ) {
                 *fnPtrout = table[i].fnPtr;
                 return 1;

            }
            i++;
        }
       return 0;
   }

 

   第二步調用Dalvik_dalvik_system_DexFile_openDexFile_bytearray方法解析Dex數據

     ArrayObject *ao; // header+dex content
     u4 args[] = { (u4)ao };
     JValue pResult ;
     jint result ;
    openDexFile(args, &pResult);
    result = (jint)pResult.l;
    return result;

 

   第三步實現JAVA層Dex ClassLoader完成類的加載:

      int cookie = openDexFile(...);
      Class<?> cls = null;
      String as[] = getClassNameList(cookie);
      for(int z=0; z<as.length; z++) {
           if(as[z].equals("com.immunapp.hes2013.MainActivity")) {
                cls=defineClass(as[z].replace('.', '/'), context.getClassLoader(), cookie );
      } else {
               defineClass(as[z].replace('.', '/'), context.getClassLoader(), cookie );
      }

 

  缺點:只能使用在Android4.0以上設備

 

2、自篡改Davlik字節碼(原理:http://blog.csdn.net/androidsecurity/article/details/8833710

 

   一、搜索內存查找DEX特徵(dex\n035)

        讀取\proc\self\maps文件獲取dex map地址

        它將以_SC_PAGESIZE內存頁對齊, 相對Map開始地址偏移0x28

   二、DEX格式解析(http://blog.csdn.net/androidsecurity/article/details/8664778

   三、找到代碼正確的位置

        第一步定位到具體類,第二步定位到具體方法,獲取方法字節碼相對data section偏移量。

   四、解鎖內存

        mprotect((unsigned char*)aligned,PROT_WRITE | PROT_READ, len);

  五、修改相應的代碼

        memcpy((unsigned char*)code_off,opcodes, len);

相關文章
相關標籤/搜索