分享一个360加固脱壳模拟器（2017/07/17更新）

dancebird

前段时间由于工作需要，需要对一个360加固后的APK进行脱壳，网上查了一些相关资料，发现一篇论坛里前辈写的帖子《360加固成功脱壳》。结合自己对ART机制的了解，dex文件在ART上运行需要转换为OAT格式，因此壳在还原代码时少不了要将解密后的DEX文件利用dex2oat进行还原。所以觉得这种脱壳方法很有可行性。无奈附件中的dex2oat怎么也运行不起来（估计人品不好），所以干脆自己修改4.4的源码编译，做个虚拟机脱。 下载编译源码的帖子很多，过程这儿就不讲了，直接上成果。修改源码部分如下（art/dex2oat.cc）：

脱壳逻辑

（大意就是将还未转换的dex文件输出，因为360存在.jiagu目录下，因此作为过滤条件） 修改完源码编译，提取相关的.img文件，然后创建虚拟机。运行后，设置运行模式为ART模式。装上加固的APP，运行一下，观察app目录下的.jiagu文件夹下就有还原的dex文件了。

注：由于大家反映提供的虚拟机不能脱壳。所以这里重新上传一个源码编译的原镜像还有dex2oat文件。自行创建虚拟机后，记得改用art模式运行（第一次转换时间较长，耐心等待）。
应用市场上重新找了一个APP脱了下，成功脱壳：


新上传的镜像文件和加固样本：链接：http://pan.baidu.com/s/1boLv1Qf 密码：671k

6767

拿走学习一下，嘻嘻

用avd创建一个虚拟机，用lz的image覆盖新创建的镜像

使用感受：
安装了3个版本自己的测试360加固的app,分别在2016-7，2017-6，2017-7-15加密的样本，
安装运行后，重新启动system。
在.jiagu下面都没有出现class.dex_%d.dex;
只有lz的能够成功脱壳。。。
sad...


使用感受2：
lz更新image后，就可以自由拖壳了，自己写的上面几个也可以了。

[Shell] 纯文本查看 复制代码

root@generic:/data/data/org.crackme/.jiagu # ll
-rw------- u0_a53   u0_a53     573352 2017-07-18 08:31 classes.dex
-rwx------ u0_a53   u0_a53    1961348 2017-07-18 08:31 classes.dex_1961348.dex
-rw-r--r-- u0_a53   u0_a53          0 2017-07-18 08:31 classes.oat
-rw------- u0_a53   u0_a53          0 2017-07-18 08:31 classes2.dex
-rwx------ u0_a53   u0_a53      22948 2017-07-18 08:31 classes2.dex_22948.dex
-rwxr-xr-x u0_a53   u0_a53     339256 2017-07-18 08:31 libjiagu.so

chenleicpp

root@generic:/data/data/com.harvey.testapk/.jiagu # ll
-rw------- u0_a66   u0_a66     616119 2017-07-17 00:29 classes.dex
-rw-r--r-- u0_a66   u0_a66    5804468 2017-07-17 00:29 classes.oat
-rw------- u0_a66   u0_a66          0 2017-07-17 00:29 classes2.dex
-rwxr-xr-x u0_a66   u0_a66     339256 2017-07-17 00:29 libjiagu.so
脱壳后感觉大小都有问题，不清楚是哪里出了问题，望解答

a952135763

谢谢大佬分享！！！！！！

夏雨微凉

前排顶大佬~

nihg

很强很强

SharsDela

火前留名~~~多谢分享，膜拜一下

艾莉希雅

哇……我记得这东西好像还有一个类似的，自带反反调试什么什么的
隔壁看雪某篇文章的副产品

lelandyang

好像之前也有一个Github上面的开源项目基于Delvik虚拟机脱壳的

BY丶显示

前排留名，谢谢分享。

wangxd

感谢分享。是数字壳吧，ZjDroid好老了，直接dump的dex应该是抽代码的