Jieming's Blog

To Be A Loyal Dependable Person!

Android Native反调试—检测TCP端口

这一处反调试是在调试某加固时遇到的，原理是查看当前所有的TCP连接，如果有就退出，也就是查看本地......

Posted by Jieming Gu on 2016-12-18

京津冀挑战赛 2016 PartFour writeup

本文为2016年京津冀挑战赛中PartFour的writeup。 Writeup首先点我下载题目。直接使用jeb反编译，关键代码如下： IDA反汇编发现程序采用动态注册。“IDA使用小结（三）”中我已经总结了相应的查找方法，可以轻松找到check对应_Z5checkP7_JNIEnvP7_jclassP8_jstring。查看_Z5checkP7_JNIEnvP7_jclassP8_......

Posted by Jieming Gu on 2016-12-18

IDA使用小结（五）

现在开始第五期。 1.问题：修改变量的类型报错。解决方法：导入jni.h并添加_JNIEnv结构后再修改。 2.问题：静态分析时在armeabi下的so下断，动态调试出现断点处汇编代码不同（下图2的断点对应下图1的断点）或断点处汇编代码是DCB指令（下图3）的情况。解决方法：把lib下的armeabi-v7a和x86都删去，只保留armeabi。 3.伪代码中给出一个十六进制数0......

Posted by Jieming Gu on 2016-12-16

IDA使用小结（四）

现在开始第四期。 1.IDA的交叉引用：查找函数/变量在其他位置的调用情况。 2.遇到下面问题的解决方法：暂停调试；重新在Modules中点击相应的so，可以查看函数列表；在函数中下断；恢复调试，运行程序。 3.IDA动态调试可以跟IDEA调试一样，程序跳转到“当前光标所在行”。 4.动态调试时，可以在内存中快速寻址到各寄存器，查看寄存器存放的值。 5.单步步入u......

Posted by Jieming Gu on 2016-12-16

IDA使用小结（三）

现在开始第三期。 1.动态调试时查看寄存器的值（两种）。 2.Jni函数动态注册源码（下图1-2）和IDA中JNI_OnLoad伪代码（下图3-4）如下，遇到动态注册要能找到so中对应的函数（从RegisterNatives中的gMethods入手）。 3.查看JNI_Onload，动态注册的函数体在函数签名下面。 4.”bind：Address already in use......

Posted by Jieming Gu on 2016-12-16

IDA使用小结（二）

现在开始第二期。 1.动态调试时，遇到”Bogus or irresponsive remote server”错误：在adb shell中执行setenforce 0关闭SELinux安全机制（需要root权限）。 2.有时明明在一个函数中却无法F5，这时候需要先按一下p键，程序会将这段汇编代码作为函数分析，然后再按F5，就能看到伪代码。 3.IDA动态调试中，若静态分析时下的断点无效，说......

Posted by Jieming Gu on 2016-12-16

IDA使用小结（一）

从本期开始分享我在使用IDA期间遇到的问题、使用技巧和一些相关知识点，每期有五点，现在开始第一期。 1.”Debugger –> Attach to Process”出现”Could not connect to localhost: 由于目标计算机积极拒绝，无法连接。Command “ProcessAttach” failed”：在root模式下运行android_server，重......

Posted by Jieming Gu on 2016-12-16

Smalidea+IntelliJ IDEA动态调试App教程和心得

准备工作smalidea支持14.1及以上版本的IDEA，Android Studio若是基于14.1或以上版本的IDEA也是支持的。我这里用的是最新版本的IDEA，Android Studio的操作也与之类似。点击下载这三个文件。安装smalidea1.打开IDEA，进入设置界面，点击Plugins——Install plugin from disk…——选择下载好的smalide......

Posted by Jieming Gu on 2016-12-16

2015 AliCrackme_2 writeup

本文为2015年阿里安全挑战赛中第二题的writeup。 Writeup首先点我下载题目。直接使用jeb反编译，关键代码如下： IDA反汇编查看Java_com_yaotong_crackme_MainActivity_securityCheck，逻辑简单，静态分析直接找到wojiushidaan，但是输入后发现不对。密码存放在0x4450，在Java_com_yaotong_cra......

Posted by Jieming Gu on 2016-12-15

修改内核打开系统调试标志

逆向时经常要对APP进行动态调试，一般情况下，Nexus 5运行在user模式下。为了方便对APP进行动态调试，修改系统镜像里的boot.img，将Nexus 5改为在debug模式下运行。 1.修改boot.img的实验条件： [手机型号]—Nexus 5 [操作环境]—Ubuntu 14.04 [手机系统]—Google官方适用于Nexus 5的Android 5.1.1镜像，镜像下载地......

Posted by Jieming Gu on 2016-12-14