'모바일'에 해당되는 글 67건

아래 경로를 알게되었는데 일단 해봐야 겠다.

https://hackcatml.tistory.com/14

아래 경로 참고

https://www.lazenca.net/display/TEC/Anti-cheating+Engine+for+Android

Check debug

• 아래와 같이 두가지 방식으로 디버깅 여부를 확인할 수 있습니다.
  • 첫번째는 해당 프로세스의 "/proc/pid/cmdline" 파일의 내용을 확인하는 것 입니다.
  • 프로그램이 GDB에 의해 실행 될 경우 PPID의 프로세스는 gdb이기 때문에 "cmdline" 파일을 이용해 gdb를 탐지 할 수 있습니다.

bool isCheckCmdline()

• • 두번째는 해당 프로세스의 "/proc/pid/status" 파일의 내용을 확인하는 것 입니다.
  • status 파일에는 해당 프로세스의 상태, 스레드 정보, 메모리 정보, 등 많은 정보들이 저장되어 있습니다.

  • 여기에서 Debug 여부를 확인하기 위해 "TracerPid"의 값을 이용 할 수 있습니다.

    • 해당 프로세스가 다른 프로세스에 의해 추적 되고 있다면 추적하고 있는 프로세스의 PID가 저장됩니다.
    • 추적이 되고 있지 않으면 '0' 이 저장됩니다.

bool isCheckTracerPid()

환경 : 윈10

iOS : 10.3.3

아래 경로 참고

https://blog.do9.kr/269

gdb 이용 시 

"Illegal Instruction: 4" 에러를 뱉는다..

# sed -i 's/\x00\x30\x93\xe4/\x00\x30\x93\xe5/g;s/\x00\x30\xd3\xe4/\x00\x30\xd3\xe5/g;' /usr/bin/gdb

# ldid -s /usr/bin/gdb

수정 시 이용 가능

환경 : 윈도 10

IDA 7.2 version

IDA dbgsrv 폴더 내 android_server, android_server64 

루팅된 기기로 adb push

아래 경로 참고

https://kinggod-daddong.tistory.com/3

/data/local/tmp 경로에

> adb push android_server /data/local/tmp

chmod 777 권한 변경

./android_server64 실행

파워쉘 창 하나더 열어서

adb forward tcp:23946 tcp:23946

모바일 디바이스 기기에서

ifconfig 후 wlan0 확인

IDA hostname : 192.168.X.X  Port : 디폴트

프로세스 확인 후 접근

- IDA64비트와 android_server64 로 원격디버깅 실행

참고

mobile-security.gitbook.io/mobile-security-testing-guide/android-testing-guide/0x05j-testing-resiliency-against-reverse-engineering

IDA 원격 디버깅이 가능하여 네이티브 단에서 대응방안이 필요함

1. ptrace 선점하는 자식프로세스 생성
2. 시간체크 함수 만들어서 일정시간 이상이면 디버깅 탐지
3. /proc/self/status 에서 tracerPid 값 확인해서 디버깅 탐지

- Using Fork and ptrace
- Timer Checks
- Checking TracerPid

Timer Checks

Debug.threadCpuTimeNanos indicates the amount of time that the current thread has been executing code. Because debugging slows down process execution, you can use the difference in execution time to guess whether a debugger is attached.

static boolean detect_threadCpuTimeNanos(){

long start = Debug.threadCpuTimeNanos();

for(int i=0; i<1000000; ++i)

continue;

long stop = Debug.threadCpuTimeNanos();

if(stop - start < 10000000) {

return false;

}

else {

return true;

}

}

Checking TracerPid

When you debug an app and set a breakpoint on native code, Android Studio will copy the needed files to the target device and start the lldb-server which will use ptrace to attach to the process. From this moment on, if you inspect the status file of the debugged process (/proc/<pid>/status or /proc/self/status), you will see that the "TracerPid" field has a value different from 0, which is a sign of debugging.

Remember that this only applies to native code. If you're debugging a Java/Kotlin-only app the value of the "TracerPid" field should be 0.

This technique is usually applied within the JNI native libraries in C, as shown in Google's gperftools (Google Performance Tools)) Heap Checker implementation of the IsDebuggerAttached method. However, if you prefer to include this check as part of your Java/Kotlin code you can refer to this Java implementation of the hasTracerPid method from Tim Strazzere's Anti-Emulator project.

When trying to implement such a method yourself, you can manually check the value of TracerPid with ADB. The following listing uses Google's NDK sample app hello-jni (com.example.hellojni) to perform the check after attaching Android Studio's debugger:

$ adb shell ps -A | grep com.example.hellojni

u0_a271 11657 573 4302108 50600 ptrace_stop 0 t com.example.hellojni

$ adb shell cat /proc/11657/status | grep -e "^TracerPid:" | sed "s/^TracerPid:\t//"

TracerPid: 11839

$ adb shell ps -A | grep 11839

u0_a271 11839 11837 14024 4548 poll_schedule_timeout 0 S lldb-server

You can see how the status file of com.example.hellojni (PID=11657) contains a TracerPID of 11839, which we can identify as the lldb-server process.

Using Fork and ptrace

You can prevent debugging of a process by forking a child process and attaching it to the parent as a debugger via code similar to the following simple example code:

void fork_and_attach()

{

int pid = fork();

if (pid == 0)

{

int ppid = getppid();

if (ptrace(PTRACE_ATTACH, ppid, NULL, NULL) == 0)

{

waitpid(ppid, NULL, 0);

/* Continue the parent process */

ptrace(PTRACE_CONT, NULL, NULL);

}

}

}

With the child attached, further attempts to attach to the parent will fail. We can verify this by compiling the code into a JNI function and packing it into an app we run on the device.

root@android:/ # ps | grep -i anti

u0_a151 18190 201 1535844 54908 ffffffff b6e0f124 S sg.vantagepoint.antidebug

u0_a151 18224 18190 1495180 35824 c019a3ac b6e0ee5c S sg.vantagepoint.antidebug

Attempting to attach to the parent process with gdbserver fails with an error:

root@android:/ # ./gdbserver --attach localhost:12345 18190

warning: process 18190 is already traced by process 18224

Cannot attach to lwp 18190: Operation not permitted (1)

Exiting

You can easily bypass this failure, however, by killing the child and "freeing" the parent from being traced. You'll therefore usually find more elaborate schemes, involving multiple processes and threads as well as some form of monitoring to impede tampering. Common methods include

이하 생략

https://codeshare.frida.re/browse

윈도우 10

환경 : iPhone 5S

버전 : 10.3.X

아래 블로그 참고

https://goroad.tistory.com/298

frida 공식 github

https://github.com/frida/frida/releases

파이썬 : 3.7.0(64bit)

frida-server-12.7.22-ios-arm64

\Python37\Scripts 경로에서

python2

pip install frida==12.7.22

pip install frida-tools==4.1.0

python3

pip3 install frida==12.7.22

pip3 install frida-tools==4.1.0

삭제가 필요한 경우

ex) pip3 uninstall frida==(version) 입력

iOS 탈옥 기기에서 frida 후킹 및 분석 관련해서 환경 설정 중

Clutch 2.0.4는 다행히 사용 가능

https://github.com/KJCracks/Clutch/releases

chmod 777 변경

/usr/bin 경로로 이동

앱의 복호화가 성공하면

binary 파일은 /tmp/clutch/### 에 위치,

ipa 파일은 /private/var/mobile/Documents/Dumped/###.ipa 에 위치하게 된다.

class-dump-z에서 

이전에 사용하던 버전이 안되어서 다시 찾아보니 아래 경로 건 제대로 돌아가는듯

다른 블로그 참조

deb 파일 받아서

dpkg -i deb 파일로 설치 후 /usr/bin 폴더에 넣고 chmod 777 변경

https://github.com/DreamDevLost/classdumpios/releases

참고

현재 iOS  10.3.X 대 사용 중

윈도우 7, 10 환경

그 외 frida-ios-dump

https://hackcatml.tistory.com/15

https://nightohl.tistory.com/206

https://mingzz1.github.io/pentesting/ios/2020/01/02/iOS-app_decrypt.html

https://engineering.linecorp.com/ko/blog/code-obfuscation-compiler-tool-ork-1/