本帖最后由 鹿慕 于 2021-6-21 18:02 编辑
这个游戏经测试只要你修改了文件内容就会被检测出异常。但是你不改文件内容就算重签名了他也不会检测出异常。猜测这个游戏用了文件检测crc算法。需要分析找出对游戏做检测的so文件。
经过反复试验，定位出做了验证的so文件是libganalysis.so。
1.将libganalysis.so文件拖入ida32位中进行分析。
发现函数列表中名字有带crc的，非常可疑。选择crc32，并打开调用该函数的几个关联地址，选择第一个试验。
2.查看一下整体的流程执行图
效果如下：
可以看到crc方法在中间被调用了，应该是用来检测apk文件有没有被修改过。我的思路就是直接从头部跳到尾部，直接跳过验证。经试验是可以的。
所以我只要直接从头部跳到尾部，分析下头部指令，把跳转位置改了，直接跳转到尾部：
这里我使用MT管理器修改 libganalysis.so文件 0005D49A 处 06D1 改成 01E0 就可以了。
后续
这次破解其实有点运气好，基于猜测做的修改，没想到直接成功了，也是很懵逼的。
后续破解的游戏dlc，需要破解它的libil2cpp.so、global-metadata.dat文件，导出函数信息。但是这个
global-metadata.dat被加密了。直接用工具是dump不出来的。我这里用了frida去hook出了它的函数名和地址信息。经试验就是改这个函数就可以解锁所有dlc了
ProtoLogin:isUnlockRole -> 0x81959c
- Frida hook 脚本（没有root的手机，用的frida-gadget方案）
// struct Il2CppClass
// {
// const Il2CppImage* image;
// void* gc_desc;
// const char* name;
// const char* namespaze;
// ...
// }
// struct MethodInfo
// {
// Il2CppMethodPointer methodPointer;
// InvokerMethod invoker_method;
// const char* name;
// Il2CppClass *declaring_type;
// const Il2CppType *return_type;
// const ParameterInfo* parameters;
// ...
// };
//写文件
function writeFile(content) {
var file = new File("/sdcard/hook/dump.txt", "a+")//a+表示追加内容，此处的模式和c语言的fopen函数模式相同
file.write(content + "\n")
file.flush()
file.close()
}
//真机arm32版本
function dumpOnArm() {
var base_addr = Module.findBaseAddress("libil2cpp.so")
var offset = 0x003EE9F8 //这里的偏移量不同的架构值不一样
var p_size = 4 //（32位 armv7 x86） （64位写8 armv8 x86-64 ）
Interceptor.attach(base_addr.add(offset), {
//在hook函数之前执行的语句
onEnter: function (args) {
var newMethod = this.context.r5 //r5表示R5 64位的arm用x5 需要查看具体的寄存器
var pointer = newMethod.readPointer() //MethodInfo
var name = newMethod.add(p_size * 2).readPointer().readCString()
var klass = newMethod.add(p_size * 3).readPointer() //Il2CppClass
var klass_name = klass.add(p_size * 2).readPointer().readCString()
var klass_spaze = klass.add(p_size * 3).readPointer().readCString()
//console.log(klass_spaze + ":" + klass_name + ":" + name + " -> " + pointer.sub(base_addr))
writeFile(klass_spaze + ":" + klass_name + ":" + name + " -> " + pointer.sub(base_addr))
},
onLeave: function (retval) {
}
})
}
setImmediate(dumpOnArm)
| 
[复制链接]
发表于 2021-6-21 17:54
|
发表于 2021-6-21 18:54
发表于 2021-6-21 19:35
