社区讨论LinuxDo 最新
逆向某伪装色情软件的病毒app记录
1. 起因 昨天晚上闲来无事，下载了一个神秘小软件。 没成想打开之后，上来就管我要无障碍权限，不是你一个黄色app管我要无障碍权限干嘛： 就给我一种 belike 他一个公安厅长要狙击枪干嘛： 不过 叽里咕噜的跟我的鸿蒙Next系统说去吧： 卓易通平等地肘击所有软件 不过这倒引起了我的兴趣，这得打开电脑仔细研究研究它到底要干嘛了： 2. 拆壳 先解压看一下： 发现了以下内容： AndroidManifest.xml 436944684(解压后) 2037250(压缩后) // 437MB填充的虚假manifest…
内容摘要
作者：#狐狸汉克
板块：#开发调优
1. 起因
昨天晚上闲来无事，下载了一个神秘小软件。
没成想打开之后，上来就管我要无障碍权限，不是你一个黄色app管我要无障碍权限干嘛：
就给我一种 belike 他一个公安厅长要狙击枪干嘛：
不过 叽里咕噜的跟我的鸿蒙Next系统说去吧：
卓易通平等地肘击所有软件
不过这倒引起了我的兴趣，这得打开电脑仔细研究研究它到底要干嘛了：
2. 拆壳
先解压看一下：
发现了以下内容：
AndroidManifest.xml 436944684(解压后) 2037250(压缩后) // 437MB填充的虚假manifest文件
classes.dex 9872 // 只有 9.8KB,壳
assets/ftazbxftcg 7445924 // 随机名，加密的真 dex
assets/yfvllwqkjellgk 617158 // 又一个随机名
xdyepzjvh/... // 根目录一堆随机字母目录
直接上jadx反编译看看：
发现了两个问题：
这个manifest清单文件是一个zip炸弹，解压后膨胀到了437MB，故意塞的垃圾填充，专炸按声明大小读内存的分析工具；
反编译完成了，但产物少得可怜，整个 APK 就这 3 个类，说明真代码不在 dex 里
典型加固壳布局。但问题是壳 loader 必须在主 dex 里明文写着怎么解密、密钥是什么 ，要不然手机自己都解不开。所以先去读壳：
3.读壳
直接拆壳：
就三个类，都在 io\handy\tracker\client\b**p\y**o\ 下。打开主类，直接搜索decrypt|QuickAudioConfig：
壳自称叫DexProtect，
资讯来源
LinuxDo