android的系统自带函数检测调试

Posted 2021-09-01 小道安全

简介

通过android系统自带的函数android.os.Debug.isDebuggerConnected()，
可以进行判断是否android的应用程序是否在被调试状态。

原理分析

分析android自带调试检测函数isDebuggerConnected()在native的实现；
android系统有两中模式分别为dalvik模式和art模式，下面分别对这两种模式下进行做反调试检测做解析。
1.dalvik模式下:
通过获取到进程中libdvm.so中的dvmDbgIsDebuggerConnected()函数接口
通过调用该函数就能判断app程序是否被调试状态。
dlopen(/system/lib/libdvm.so)
dlsym(_Z25dvmDbgIsDebuggerConnectedv)
2.art模式下:
在art模式下，结果存放在libart.so中的全局变量gDebuggerActive中，
符号名为_ZN3art3Dbg15gDebuggerActiveE。
但是貌似新版本android不允许使用非ndk原生库，dlopen(libart.so)会失败。
有一种麻烦的方法，手动在内存中搜索libart模块，然后手工寻找该全局变量符号。

代码实现

// dalvik模式下的代码实现

typedef unsigned char wbool;

typedef wbool (*PPP)();

int NativeIsDBGConnected()

{

void* Handle=NULL;
//调用系统函数进行打开so文件
Handle=dlopen("/system/lib/libdvm.so", RTLD_LAZY);
//打开文件失败
if(NULL==Handle)
{

    LOGA("dlopen打开libdvm.so失败!\\n");
    return -1;

}
//获取so里面到导出函数
PPP Fun = (PPP)dlsym(Handle, "_Z25dvmDbgIsDebuggerConnectedv");
//获取失败
if(NULL==Fun)
{

LOGA("dlsym获取_Z25dvmDbgIsDebuggerConnectedv失败!\\n");
return -1;

}

else
{

    wbool ret = Fun();
    if(1==ret)
    {

    // 此处判定为调试模式
    LOGA("dalvikm模式，调试状态!\\n");
    return 1;
}

}

return -1;

}