Android 逆向ART 脱壳 ( DexClassLoader 脱壳 | ART 虚拟机下 DexClassLoader 类加载器脱壳点总结 )
Posted 韩曙亮
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Android 逆向ART 脱壳 ( DexClassLoader 脱壳 | ART 虚拟机下 DexClassLoader 类加载器脱壳点总结 )相关的知识,希望对你有一定的参考价值。
文章目录
一、ART 虚拟机下 DexClassLoader 类加载器脱壳点总结
从 /art/runtime/dex_file.cc#DexFile::Open 函数开始分析脱壳点位置 ;
其中调用的 /art/runtime/base/file_magic.cc#OpenAndReadMagic 函数 , 可以作为脱壳点 ;
在 /art/runtime/dex_file.cc#OpenFile 函数中 , 调用了 /art/runtime/dex_file.cc#OpenCommon 函数 , 是脱壳点 ;
bool DexFile::Open(const char* filename,
const std::string& location,
bool verify_checksum,
std::string* error_msg,
std::vector<std::unique_ptr<const DexFile>>* dex_files)
ScopedTrace trace(std::string("Open dex file ") + std::string(location));
DCHECK(dex_files != nullptr) << "DexFile::Open: out-param is nullptr";
uint32_t magic;
// ★ 脱壳点后汉书
File fd = OpenAndReadMagic(filename, &magic, error_msg);
if (fd.Fd() == -1)
DCHECK(!error_msg->empty());
return false;
if (IsZipMagic(magic))
return DexFile::OpenZip(fd.Release(), location, verify_checksum, error_msg, dex_files);
if (IsDexMagic(magic))
// ★ 脱壳点函数
std::unique_ptr<const DexFile> dex_file(DexFile::OpenFile(fd.Release(),
location,
/* verify */ true,
verify_checksum,
error_msg));
if (dex_file.get() != nullptr)
dex_files->push_back(std::move(dex_file));
return true;
else
return false;
*error_msg = StringPrintf("Expected valid zip or dex file: '%s'", filename);
return false;
1、file_magic.cc#OpenAndReadMagic 函数
file_magic.cc#OpenAndReadMagic 函数是 脱壳点 , 第一个参数 const char* filename 是 Dex 文件的路径 ;
调用该函数的上一个调用位置是 /art/runtime/dex_file.cc#DexFile::Open 函数 ;
file_magic.cc 源码 :
#include "file_magic.h"
#include <fcntl.h>
#include <sys/stat.h>
#include <sys/types.h>
#include "android-base/stringprintf.h"
#include "base/logging.h"
#include "base/unix_file/fd_file.h"
#include "dex_file.h"
namespace art
using android::base::StringPrintf;
File OpenAndReadMagic(const char* filename, uint32_t* magic, std::string* error_msg)
CHECK(magic != nullptr);
File fd(filename, O_RDONLY, /* check_usage */ false);
if (fd.Fd() == -1)
*error_msg = StringPrintf("Unable to open '%s' : %s", filename, strerror(errno));
return File();
int n = TEMP_FAILURE_RETRY(read(fd.Fd(), magic, sizeof(*magic)));
if (n != sizeof(*magic))
*error_msg = StringPrintf("Failed to find magic in '%s'", filename);
return File();
if (lseek(fd.Fd(), 0, SEEK_SET) != 0)
*error_msg = StringPrintf("Failed to seek to beginning of file '%s' : %s", filename,
strerror(errno));
return File();
return fd;
bool IsZipMagic(uint32_t magic)
return (('P' == ((magic >> 0) & 0xff)) &&
('K' == ((magic >> 8) & 0xff)));
bool IsDexMagic(uint32_t magic)
return DexFile::IsMagicValid(reinterpret_cast<const uint8_t*>(&magic));
// namespace art
源码路径 : /art/runtime/base/file_magic.cc#OpenAndReadMagic
2、dex_file.cc#DexFile::OpenCommon
dex_file.cc#DexFile::OpenCommon 函数中 , 可以获取 Dex 文件在内存中的起始地址 ;
注意 : 该脱壳点 与 InMemoryDexClassLoader 类加载器的脱壳点重合 ;
std::unique_ptr<DexFile> DexFile::OpenCommon(const uint8_t* base,
size_t size,
const std::string& location,
uint32_t location_checksum,
const OatDexFile* oat_dex_file,
bool verify,
bool verify_checksum,
std::string* error_msg,
VerifyResult* verify_result)
if (verify_result != nullptr)
*verify_result = VerifyResult::kVerifyNotAttempted;
std::unique_ptr<DexFile> dex_file(new DexFile(base,
size,
location,
location_checksum,
oat_dex_file));
if (dex_file == nullptr)
*error_msg = StringPrintf("Failed to open dex file '%s' from memory: %s", location.c_str(),
error_msg->c_str());
return nullptr;
if (!dex_file->Init(error_msg))
dex_file.reset();
return nullptr;
if (verify && !DexFileVerifier::Verify(dex_file.get(),
dex_file->Begin(),
dex_file->Size(),
location.c_str(),
verify_checksum,
error_msg))
if (verify_result != nullptr)
*verify_result = VerifyResult::kVerifyFailed;
return nullptr;
if (verify_result != nullptr)
*verify_result = VerifyResult::kVerifySucceeded;
return dex_file;
源码地址 : /art/runtime/dex_file.cc#OpenCommon
3、dex_file.cc#DexFile::DexFile
在 dex_file.cc#DexFile::DexFile 构造函数中 , 可以获取到 Dex 文件地址 ;
注意 : 该脱壳点 与 InMemoryDexClassLoader 类加载器的脱壳点重合 ;
DexFile::DexFile(const uint8_t* base,
size_t size,
const std::string& location,
uint32_t location_checksum,
const OatDexFile* oat_dex_file)
: begin_(base),
size_(size),
location_(location),
location_checksum_(location_checksum),
header_(reinterpret_cast<const Header*>(base)),
string_ids_(reinterpret_cast<const StringId*>(base + header_->string_ids_off_)),
type_ids_(reinterpret_cast<const TypeId*>(base + header_->type_ids_off_)),
field_ids_(reinterpret_cast<const FieldId*>(base + header_->field_ids_off_)),
method_ids_(reinterpret_cast<const MethodId*>(base + header_->method_ids_off_)),
proto_ids_(reinterpret_cast<const ProtoId*>(base + header_->proto_ids_off_)),
class_defs_(reinterpret_cast<const ClassDef*>(base + header_->class_defs_off_)),
method_handles_(nullptr),
num_method_handles_(0),
call_site_ids_(nullptr),
num_call_site_ids_(0),
oat_dex_file_(oat_dex_file)
CHECK(begin_ != nullptr) << GetLocation();
CHECK_GT(size_, 0U) << GetLocation();
// Check base (=header) alignment.
// Must be 4-byte aligned to avoid undefined behavior when accessing
// any of the sections via a pointer.
CHECK_ALIGNED(begin_, alignof(Header));
InitializeSectionsFromMapList();
源码地址 : /art/runtime/dex_file.cc#DexFile
总结 ( 兼容 InMemoryDexClassLoader 和 DexClassLoader 两种类加载器的 脱壳点 )
加固厂商可能使用 InMemoryDexClassLoader 类加载器 , 也可能使用 DexClassLoader 类加载器 , 这里为了保证不管使用什么类加载器 , 都可以进行脱壳 , 选择 2 2 2 个类加载器都有的脱壳点 , 可以兼容两种类加载器 ;
以上是关于Android 逆向ART 脱壳 ( DexClassLoader 脱壳 | ART 虚拟机下 DexClassLoader 类加载器脱壳点总结 )的主要内容,如果未能解决你的问题,请参考以下文章
Android 逆向ART 脱壳 ( InMemoryDexClassLoader 脱壳 | DexFile 构造函数及相关调用函数 | Android 源码中查找 native 函数 )
Android 逆向ART 脱壳 ( 修改 /art/runtime/dex_file.cc#OpenCommon 系统源码进行脱壳 )
Android 逆向ART 脱壳 ( InMemoryDexClassLoader 脱壳 | InMemoryDexClassLoader 类加载器脱壳点总结 )
Android 逆向ART 脱壳 ( InMemoryDexClassLoader 脱壳 | 加固厂商在 ART 下使用的两种类加载器 | InMemoryDexClassLoader 源码 )(代码
Android 逆向ART 脱壳 ( InMemoryDexClassLoader 脱壳 | dex_file.cc 中创建 DexFile 实例对象的相关函数分析 )
Android 逆向ART 脱壳 ( DexClassLoader 脱壳 | DexClassLoader 构造函数 | 参考 Dalvik 的 DexClassLoader 类加载流程 )(代码片段