某直装外挂卡密校验逆向分析

前言

最近分析了一款外挂软件的卡密校验，过程挺有趣的，故记录下来。

正文

该软件的界面如下图：

该界面所在的类是com.app.batman.MainActivity，获取到该界面所在的类之后，下一步的目标是定位到发送请求的方法，这一次我的定位方法不同于以往，以前我的定位方法是搜索字符串或者hook关键函数打印调用栈，这一次我所采用的方法是trace，那么什么是trace呢ook了大量的函数就是trace，使用的脚本是r0trace(项目地址)。我trace了MainActivity类下的所有的函数，从而定位到SignUp这个关键函数，如下图：

该方法是一个native方法，所以要找到注册该函数的so文件，首先我们假设它是动态注册的，因此可以使用frida hook RegistNatives，这里使用yang神的脚本(项目地址)，运行结果如下：

可以看到，静态注册该函数的so文件是ban，命名很奇怪，在jadx中找到该so文件的加载位置，如下：

我采取的对抗手段是dump出内存中的ban文件，因为程序已经运行起来了，这时候内存中的ban文件是已经解密了的，frida dump脚本如下：

发现已经能够正常识别了，下面就是找到发送请求的逻辑，关键代码如下：

代码很简单，就是开启了一个服务，那么有没有什么办法看到服务开启后的效果呢简单，使用frida进行主动调用就行了，脚本代码及运行效果如下：

在主动调用了TOAC方法之后，外挂的功能模板就弹出来了。那么我们只要修改登录卡密之后的逻辑，让其不论校验成功还是校验失败都调用TOAC方法，这样也就绕过了卡密的校验，具体的过程不再展示。

修改并重打包之后，功能一切正常，但在点开绘制初始化开关之后软件直接闪退了，因此可以判断该软件有签名校验。那么我判断的依据是什么呢简单，就是之前我使用frida进行主动调用过卡密校验的时候软件并没有闪退，开关也能正常打开，但是在重打包之后打开开关就闪退。

下面开始绕过签名校验，首先尝试在jadx中搜索signatures，如下:

可以看到，程序调用了android.content.pm.Signature类下的hashcode方法获取了签名的hash值，并且拿该值与一个特定的值进行比较，如果不相等则直接退出程序，因此这里就是签名校验的关键点。

既然找到了程序校验签名的逻辑，那么我们该如何绕过呢初我想的是直接修改so文件，把exit的调用直接nop掉，但是别忘了这个so文件是从内存中dump出来的，其原本的状态是加密的，所以是没办法直接进行修改。那么就可以写xposed模块，去hook hashcode这个方法，让其返回那个正确的hash值，这样也能绕过检验。但是考虑到使用Xposed的环境要求比较苛刻，需要手机进行root，因此我也抛弃了这个方案。

其实即使不root也是能够去hook的，这个方案也被许多知名的软件应用了，比如太极、VirtualXposed、应用转生等等，这也就是我采用的方案，我使用的AOP框架是epic(项目地址)，核心代码如下：

然后把编译好的dex文件添加进软件中，并主动调用这段代码也就实现了非root下的hook。

重打包后程序正常运行，至此逆向分析结束。

来源：马到成功~