好友
阅读权限10
听众
最后登录1970-1-1
|
本帖最后由 LivedForward 于 2023-2-26 21:00 编辑
Android Hook技术发展到今天，可以说是登峰造极了。差不多在五六年前，那个时候还是刚刚出来PMS Hook，
用的动态代{过}{滤}理技术，fourbrother大咖出品的kstools。在那个时候，我针对这个出了一个检测，
就是任何被Java动态代{过}{滤}理的接口，它的父类都是Proxy。还有直接到native层去获取Apk路径，然后手动
解析签名信息。kstools机制就是在attachBaseContext函数里面优先替换掉系统PMS服务。
大概2-3年前，又有了更先进的Hook技术，爱加密的加固机制除了壳以外，还有一层工厂类AppComponentFactory，
在Apk整个解密运行的生命周期中，都会对其进行监控。
到了今天，我看到了终极Hook方案：Hook系统调用。应用seccomp机制，像proot、VirtualApp、Ratel平头哥等等。
我们知道，Hook方式有root和免root，root可以做到全局Hook，免重打包。免root可以做到单进程Hook，需要重打包，
但重打包最重要的就是IO Redirect，要过掉各种文件校验和签名校验。涉及到open函数，它们底层都是openat系统调用，
seccomp可以拦截系统调用，然后把path参数改一下就行了。
其实发展到今天，文件校验最安全的也就做到内联svc，后面是检测Hook与防检测的对抗的舞台了，理论上做到了系统调用
级别的Hook，可以完全过掉所有的检测，只是更新迭代的问题和时间问题了。
但是在所有的检测方案中，只有一种是最难过掉和Mock的，那就是不直接依赖系统API的检测方式。
比如反调试：我们可以检测一段代码的执行时间，然后另外开启一个子线程去计时，监控。这种
反调试方法在360加固里面有所体现，它的检测时间是3S，这个我记忆犹新。
当然这里也有兼容性的问题了，安全做到一定层级，肯定会丢失一定的稳定性与兼容性。
Hook做到一定的层级，也丢失一定的稳定性与兼容性。就是采用它们之间的平衡交叉点。
我是一位做IT技术支持的（运维），Android安全与逆向始终是我的爱好，可以说只懂一些上层的东西，
也学了一些皮毛的汇编知识，也就是一个玩家的身份，在这里也向各位小伙伴和大咖学习到了很多技术与知识。
如果你有任何建议意见或者想法都可以提出来和我交流进步。
参考：
检测PMS是否被Hook
对Inline Hook，Got Hook和SVC Hook一些检测的浅谈
一种可以规避大部分去签名校验的方法
IO重定向检测，APK签名校验
另外附上一个测试Demo：
https://www.123pan.com/s/lN7UVv-pbYJ
|
免费评分
-
查看全部评分
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
|
|
|
|
|
|
[复制链接]
发表于 2022-12-7 09:44
