位置：首页-资讯-移动开发

安卓腾xQ协议逆向-TLV544定位（二）

2023-09-12 13:08

短信预约 -IT技能 免费直播动态提醒

为了方便后面使用xposed和unidbg调用，我们来先分析一下tlv544是如何在java层与so层是怎么定位到关键代码的。

一、TLV544：Java层定位

由于qq没啥混淆，打开jadx直接就可以搜索到相关的tlv类，如下。

通过这一排的类的名字，我们可以找到tlv544一些相关的字符串，如下。

通过trace这个tlv_t544类可以发现确实调用了它生成tlv544，如下。

继续追踪分析......

发现调用到了com.tencent.mobileqq.qsec.qsecdandelionsdk.Dandelion这个类里面。通过fly方法调用energy这个方法返回tlv544的加密结果，而这个函数存在于native层。

二、TLV544：So层定位

我们发现在这个类中，并没有在静态块调用so的加载函数，那么肯定是在其他类加载的so。对我们寻找jni函数造成了麻烦。

1）静态注册的jni函数定位

我们依然使用frida去hook查找，代码如下。

// 静态函数搜索function hook_dlsym(){    // 获取dlsym函数的地址    let dlsymAddr = Module.findExportByName("libdl.so","dlsym");    console.log(dlsymAddr);    // hook dlsym    Interceptor.attach(dlsymAddr,{        onEnter:function(args){            this.args1 = args[1];        },        onLeave:function(retval){            let md= Process.findModuleByAddress(retval);            if(md==null)return;            console.log("函数："+this.args1.readCString(),"模块："+md.name,"地址："+retval,"偏移："+retval.sub(module1.base));        }    })   }hook_dlsym();

dlsym这个函数，会在运行时被调用，它传入了两个参数，一个是handle（对我们没啥用），一个是symbol（这个就是我们的函数符号），它会返回当前这个函数的地址。

效果，如下（模糊的话，双击查看就可以了）：

通过搜索发现并没有找到我们想要的energy函数，不要着急，还有一种方式。

2）动态注册的jni函数定位

众所周知，jni函数注册的方式有两种，静态的不行，那就hook动态的。我们来hook RegisterNatives这个函数，通过它来获取JNINativeMethod数组中的方法，frida代码如下：

function hook_RegisterNatives() {    var RegisterNatives_addr = null;    var symbols = Process.findModuleByName("libart.so").enumerateSymbols();    for (var i = 0; i < symbols.length; i++) {        var symbol = symbols[i].name;        if ((symbol.indexOf("CheckJNI") == -1) && (symbol.indexOf("JNI") >= 0)) {            if (symbol.indexOf("RegisterNatives") >= 0) {                RegisterNatives_addr = symbols[i].address;                console.log("RegisterNatives_addr: ", RegisterNatives_addr);            }        }    }    Interceptor.attach(RegisterNatives_addr, {        onEnter: function (args) {            var env = args[0];            var jclass = args[1];            var class_name = Java.vm.tryGetEnv().getClassName(jclass);            var methods_ptr = ptr(args[2]);            var method_count = args[3].toInt32();            console.log("RegisterNatives method counts: ", method_count);            for (var i = 0; i < method_count; i++) {                var name = methods_ptr.add(i * Process.pointerSize * 3).readPointer().readCString();                var sig = methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize).readPointer().readCString();                var fnPtr_ptr = methods_ptr.add(i * Process.pointerSize * 3 + Process.pointerSize * 2).readPointer();                var find_module = Process.findModuleByAddress(fnPtr_ptr);                console.log("类: ", class_name, "方法: ", name, "签名: ", sig, "函数地址: ", fnPtr_ptr, "模块名: ", find_module.name, "函数偏移: ", ptr(fnPtr_ptr).sub(find_module.base));            }        },        onLeave: function (retval) {}    });}hook_RegisterNatives()

然后我们搜索就能找到我们的energy函数，它位于libfekit.so 中偏移0x79134位置，如下。