andlua里面的lua文件应该怎么解密出来呢

ramsm_0

低版本的andlua是使用base64加密的 高版本的不懂是什么加密 看起来像aes/des 这类的 需要密钥。问一下怎么解密呢 例如

[Lua] 纯文本查看 复制代码

=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

有大佬知道吗

xufqing

dongfang155 发表于 2020-1-24 18:13
getS获取buffer 从lua_load里获取size

大佬我又来了，昨天想起这事试了一下，我hook  libluajava.so里面没有getS方法，我跟你相反从lua_load里面获取了buffer，看到文件头有LauS的关键字符，由于没有获取到size，随意设置了长度dump，然后用十六进制工具尝试删除，文件头有几字节的不知道是啥的数据，删除~~最后解密失败了~~~luaS是lua编译成字节码之后的文件，大佬你已经成功80%啦~我想问一下你，getS从是哪个so的方法？

xufqing

forgottor 发表于 2020-3-23 15:57
兄弟，我也遇到这个问题了，有后续解决方法么

hook lua_load 函数，可以hook出，带LuaS的二进制文件，但是没有size，size的问题我没解决，LuaS多了几个字节不知道干嘛的，ida 看lua_load里面有算法，没看懂，就不折腾了，就算修复了还得找opcode才能反编译，后来直接破验证了就没搞这个

aleng-79

插眼 等大佬回复

ramsm_0

aleng-79 发表于 2020-1-10 23:12
插眼 等大佬回复

目前有一个方法就是dump内存 看了新的andlua 换了新so 也就是新的加密方法

dongfang155

在luaL_loadbufferx中可看到具体算法，是base64+zlib

dongfang155

@XhyEax 现在的Andlua已将加密算法升级了，可否分析一下？我用frida hook出了LuaS文件头的数据，数据段无明文，所以unluac解不开，求解惑

XhyEax

dongfang155 发表于 2020-1-11 14:53
@XhyEax 现在的Andlua已将加密算法升级了，可否分析一下？我用frida hook出了LuaS文件头的数据，数据段无明 ...

抱歉，目前没空分析这些东西。建议ida单步调试看看

dongfang155

XhyEax 发表于 2020-1-11 14:56
抱歉，目前没空分析这些东西。建议ida单步调试看看

好的 感谢

xufqing

dongfang155 发表于 2020-1-11 14:53
@XhyEax 现在的Andlua已将加密算法升级了，可否分析一下？我用frida hook出了LuaS文件头的数据，数据段无明 ...

请问大佬hook是哪个方法？我hook luaL_loadbufferx说没找到这个方法，LuaS之前看过相关的材料，应该能解密

dongfang155

xufqing 发表于 2020-1-24 00:32
请问大佬hook是哪个方法？我hook luaL_loadbufferx说没找到这个方法，LuaS之前看过相关的材料，应该能解 ...

getS获取buffer 从lua_load里获取size