Android Reversing

1. Android 逆向之旅(上)
資工三A 李樸
2015/10/13電算中心 網路系統工讀小組 工讀分享

2. Agenda
• 逆向動機
• 基礎知識
• Demo
2015/10/13電算中心 網路系統工讀小組 工讀分享

3. 逆向動機
• 分析惡意APP
• 屏蔽廣告
• 分析有興趣功能
• 分析系統漏洞
• 破解
2015/10/13電算中心 網路系統工讀小組 工讀分享

4. Agenda
• 逆向動機
• 基礎知識
• Demo
2015/10/13電算中心 網路系統工讀小組 工讀分享

5. Android 架構
2015/10/13電算中心 網路系統工讀小組 工讀分享

6. Dalvik VM
2015/10/13電算中心 網路系統工讀小組 工讀分享
Register-based
architecture

7. APK
• 取得途徑：網路，自己寫，手機內……
• 已安裝APP: /data/app
2015/10/13電算中心 網路系統工讀小組 工讀分享

8. APK Format
• ZIP File
• Content:
o META-INF
o lib
o res
o assets
o classes.dex
o resources.arsc
o AndroidManifest.xml
2015/10/13電算中心 網路系統工讀小組 工讀分享

9. Dex Format
• Dalvik Executable format
• 工具：
o Dex2Jar
o JD-GUI
• 可以快速分析 App 於 Java 層行為
• 代碼混淆：ProGuard，APKProtect
2015/10/13電算中心 網路系統工讀小組 工讀分享

10. 修改 – 拆包
• ApkTool.jar
• java -jar apktool.jar d target.apk target
• smali: Opcode(ByteCode) of Dalvik VM
• 從 JAR 分析後找對應 smali 修改
2015/10/13電算中心 網路系統工讀小組 工讀分享

11. 修改 --回封
• ApkTool.jar
• java -jar apktool.jar b target
• 簽名後才能於裝置安裝
• signapk
2015/10/13電算中心 網路系統工讀小組 工讀分享

12. Agenda
• 逆向動機
• 基礎知識
• Demo
2015/10/13電算中心 網路系統工讀小組 工讀分享

13. Demo……?
2015/10/13電算中心 網路系統工讀小組 工讀分享

14. Pseudo Demo
• Origin App:
2015/10/13電算中心 網路系統工讀小組 工讀分享

15. Pseudo Demo – 拆包
2015/10/13電算中心 網路系統工讀小組 工讀分享

16. Pseudo Demo
• Smali:
o file HelloAndroid$1
• .class Lcom/example/helloandroid/HelloAndroid$1;
• .super Ljava/lang/Object;
• .source "HelloAndroid.java“
• # interfaces
• .implements Landroid/view/View$OnClickListener;
o Onclick: startActivity
o ==> Abount Button Listener
2015/10/13電算中心 網路系統工讀小組 工讀分享

17. Pseudo Demo
• Smali:
o File HelloAndroid$2
• .class Lcom/example/helloandroid/HelloAndroid$2;
• .super Ljava/lang/Object;
• .source "HelloAndroid.java"
• # interfaces
• .implements Landroid/view/View$OnClickListener;
o Onclick Listener of Check Button
2015/10/13電算中心 網路系統工讀小組 工讀分享

18. Pseudo Demo
• 關鍵
2015/10/13電算中心 網路系統工讀小組 工讀分享

19. Pseudo Demo – 封包 & 簽名
2015/10/13電算中心 網路系統工讀小組 工讀分享

20. Pseudo Demo
• Result:
2015/10/13電算中心 網路系統工讀小組 工讀分享

21. 覺得複雜?
• Native Library Disassembly
• ELF 結構
• ELF 加密節
• Init_array 自解密
• 模擬器檢測，root 檢測，文件 checksum 檢測……
• …… 待續
2015/10/13電算中心 網路系統工讀小組 工讀分享

22. Thank you for your attention!
2015/10/13電算中心 網路系統工讀小組 工讀分享