Android安全-关于NativeDetector中的检测到Umount_游戏逆向|游戏安全|yxfzedu.com

检测

Native Detector中能检测到:'/debug_rakdisk/.magisk/modules/xx/riru/lib64'
图片描述

猜测

还是直接上ce搜索:
图片描述
对一下区块, 最可疑的就是[anon:stack_and_tls:main]

redmi:/ # cat /proc/1097/maps | grep 7a077
7a076a0000-7a07768000 r--p 00000000 00:00 0                              [anon:linker_alloc]
7a07768000-7a07788000 r--s 00000000 00:11 13760                          /dev/__properties__/u:object_r:vndk_prop:s0
7a07788000-7a0778b000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a0778b000-7a0778d000 r--p 00041000 07:78 53                             /apex/com.android.art/javalib/arm64/boot-core-icu4j.art
7a0778d000-7a07791000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a07791000-7a07792000 r--p 0001d000 07:78 56                             /apex/com.android.art/javalib/arm64/boot-core-libart.art
7a07792000-7a07794000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a07794000-7a07795000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_lob]
7a07795000-7a0779a000 rw-p 00000000 00:00 0                              [anon:System property context nodes]
7a0779a000-7a0779b000 ---p 00000000 00:00 0 
7a0779b000-7a0779f000 rw-p 00000000 00:00 0                              [anon:stack_and_tls:main]
7a0779f000-7a077a0000 ---p 00000000 00:00 0 
7a077a0000-7a077a4000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a077a4000-7a077a5000 rw-p 00000000 00:00 0                              [anon:ReadFileToBuffer]
7a077a5000-7a077ab000 rw-p 00000000 00:00 0                              [anon:bionic_alloc_small_objects]
7a077ab000-7a0780f000 r--p 00000000 00:00 0                              [anon:linker_alloc]

找到内存区块后, 难道是通过哪个指针泄露的?
随便改点字符就没有了, 再下面随便复制一下是相同的字符串, 又能搜索到了, 证明只是通过[anon:stack_and_tls:main]的字符串/debug_ramdisk/.magisk/搜索

图片描述

探索

这个指针是从哪来的呢?

if (android_prop::GetApiLevel() >= __ANDROID_API_O__) {
        auto *dir = dirname(path);
        auto *ns = &__loader_android_create_namespace == nullptr ? nullptr :
                   __loader_android_create_namespace(path, dir, nullptr,
                                                     2/*ANDROID_NAMESPACE_TYPE_SHARED*/,
                                                     nullptr, nullptr,
                                                     reinterpret_cast<void *>(&DlopenExt));
        if (ns) {
            info.flags = ANDROID_DLEXT_USE_NAMESPACE;
            info.library_namespace = ns;
 
            LOGD("open %s with namespace %p, dir: %p", path, ns, dir);
        } else {
            LOGD("cannot create namespace for %s", path);
        }
    }

就是android的DlopenExt方法里的, 当要__loader_android_create_namespace时会有一个dirname查询目录.

结论

可以在每次open之后直接清除这个字符串

1 2	`// 直接清除` `memset(dir, 0,` `strlen(dir));`

也可以随便改一下关键字, 或者自己也搜索内存改下算了.

最后于 2分钟前被无味编辑，原因：优化

更多【Android安全-关于NativeDetector中的检测到Umount】相关视频教程：www.yxfzedu.com

Android安全-关于NativeDetector中的检测到Umount

检测

猜测

探索

结论

相关文章推荐

Markdown Editor

友情链接

课程目录

技术交流QQ群