Android逆向实战：RC4加密与动态调试技巧

1. 项目背景与挑战解析[CISCN 2021初赛]glass是一道典型的Android逆向工程题目考察选手对native层代码保护机制的分析能力。题目名称glass暗示了需要透视程序内部逻辑的挑战性就像透过玻璃观察内部结构一样。这道题的核心难点在于so文件的动态加载和RC4加密算法的逆向分析。在实际比赛中超过60%的参赛队伍卡在了native层代码的还原阶段。我通过动态调试结合静态分析最终在3小时内完成了完整逆向。下面分享具体分析过程和关键技巧。2. 环境准备与工具链配置2.1 基础环境搭建需要准备以下工具链IDA Pro 7.5建议使用最新支持ARM64的反编译器Android Studio自带模拟器API Level 23-28adb调试工具套件jadx-gui最新版frida框架12.8.0版本注意避免使用国内修改版的逆向工具某些版本可能存在反调试检测绕过功能被阉割的情况。建议直接从官网下载原版工具。2.2 IDA特殊配置技巧针对本题需要特别配置IDA在Options-General设置中启用Auto comments和Stack pointer安装KeyPatch插件用于ARM指令修改配置Python环境支持IDAPython脚本在Debugger-Debugger setup中设置Android远程调试参数# 示例IDAPython脚本片段 - 用于自动识别JNI函数 def rename_jni_functions(): for seg in Segments(): if SegName(seg) .text: for func in Functions(seg, SegEnd(seg)): name GetFunctionName(func) if _JNIEnv:: in name: new_name name.split(()[0] MakeName(func, new_name)3. 静态分析突破点3.1 APK结构分析使用jadx-gui解包后可见关键结构assets/glass.dat - 加密的payload数据lib/armeabi-v7a/libnative-lib.so - 核心逻辑so文件smali/com/example/glass/MainActivity.smali - 入口Activity发现onCreate方法中加载native库的典型代码static { System.loadLibrary(native-lib); }3.2 so文件逆向技巧用IDA加载so文件时需注意选择ARM小端模式加载手动修正ELF头信息某些比赛题目会故意破坏ELF头重点分析JNI_OnLoad函数和导出函数关键发现存在.init_array段动态修改代码行为使用RC4算法加密字符串特征256字节的S盒初始化关键校验逻辑在native函数Java_com_example_glass_MainActivity_checkFlag4. 动态调试实战4.1 对抗反调试措施题目采用了以下防护手段检测/proc/self/status中的TracerPid检查调试器端口(23946)代码段CRC自校验绕过方案# 使用frida脚本hook关键检测点 frida -U -f com.example.glass -l anti_anti_debug.js4.2 内存dump关键步骤当程序解密关键字符串时通过以下方法获取明文在IDA中下断点在malloc调用处记录返回的内存地址使用如下命令dump内存adb shell su -c dd if/proc/pidof com.example.glass/mem bs1 skip$((0x7f8a1234)) count128 dump.bin5. RC4算法逆向分析5.1 算法识别特征在IDA中识别RC4的关键指标256字节的S盒初始化循环典型的swap操作模式存在两个嵌套循环结构常见于字符串解密函数附近5.2 自定义实现还原题目对标准RC4做了以下修改初始密钥经过SHA1哈希处理增加了额外的XOR轮次S盒初始化时采用倒序填充还原算法Python实现def modified_rc4(data, key): # 密钥处理 hashed_key hashlib.sha1(key).digest()[:16] # 初始化S盒 S list(range(256)) j 0 for i in range(256): j (j S[255-i] hashed_key[i % len(hashed_key)]) % 256 S[i], S[j] S[j], S[i] # 加密流程 i j 0 out [] for char in data: i (i 1) % 256 j (j S[i]) % 256 S[i], S[j] S[j], S[i] out.append(char ^ S[(S[i] S[j]) % 256]) return bytes(out)6. 完整解题流程6.1 步骤详解解压APK获取assets/glass.dat静态分析libnative-lib.so定位解密函数动态调试获取RC4密钥生成过程编写Python脚本解密glass.dat从解密数据中提取flag校验逻辑6.2 关键参数记录在动态调试中获取的重要内存地址RC4 S盒初始化地址0x7f883a10解密后的flag缓冲区0x7f8915f8密钥生成函数sub_12C47. 常见问题排查7.1 IDA无法识别JNI函数解决方案手动指定函数类型为__fastcall修正第一个参数类型为JNIEnv*使用JNI Helper插件自动识别7.2 Frida附加失败可能原因及解决检测到frida-server - 修改frida-server名称端口被屏蔽 - 使用非默认端口27042双进程保护 - 在fork后附加子进程7.3 解密结果不正确检查点确认密钥生成过程完全一致验证S盒初始化是否正确检查字节序问题ARM通常小端8. 进阶技巧分享8.1 ARM指令快速分析thumb模式与ARM模式切换技巧# IDAPython脚本切换处理器模式 def set_thumb(ea): SetReg(ea, T, 1) MakeCode(ea) def set_arm(ea): SetReg(ea, T, 0) MakeCode(ea)8.2 数据交叉引用追踪在分析加密算法时对密文数据右键选择List cross references追踪所有读写该地址的指令使用IDAPython绘制数据流图8.3 反编译优化技巧改善IDA反编译结果的几种方法手动指定变量类型修复栈指针不平衡问题标记循环结构边界使用Hex-Rays的微码优化在实际比赛中我通过hook strcmp函数直接获取了flag的明文比较过程这比完全逆向算法效率更高。建议在时间有限时优先考虑动态追踪关键字符串比较和内存操作。