vc6调试附加到进程列表空_Android反调试检测

java层保护

1 代码混淆

apk应用在被逆向分析时&＃xff0c;java层代码就像被扒光一样&＃xff0c;而native代码分析难度大&＃xff0c;但是需要扎实的c/c&＃43;&＃43;基础。这个时候大家就可以考虑一下代码混淆技术稍作保护&＃xff08;毕竟看着好多abc也挺烦的&＃xff09;。Android开发中提供了Proguard这一工具来进行代码混淆。

这里只做简单介绍&＃xff0c;Proguard是一个开源项目&＃xff0c;他能够对Java类中的代码进行压缩&＃xff08;Shrink&＃xff09;,优化&＃xff08;Optimize&＃xff09;,混淆&＃xff08;Obfuscate&＃xff09;,预检&＃xff08;Preveirfy&＃xff09;。

① 压缩&＃xff08;Shrink&＃xff09;:在压缩处理这一步中&＃xff0c;用于检测和删除没有使用的类&＃xff0c;字段&＃xff0c;方法和属性。

② 优化&＃xff08;Optimize&＃xff09;:在优化处理这一步中&＃xff0c;对字节码进行优化&＃xff0c;并且移除无用指令。

③ 混淆&＃xff08;Obfuscate&＃xff09;:在混淆处理这一步中&＃xff0c;使用a,b,c等无意义的名称&＃xff0c;对类&＃xff0c;字段和方法进行重命名。

④ 预检&＃xff08;Preveirfy&＃xff09;:在预检这一步中&＃xff0c;主要是在Java平台上对处理后的代码进行预检。

2 调试器检测

利用Java层API来判断Android程序是否是处于被调试下。进行动态调试的时候&＃xff0c;需要进行jdb连接&＃xff1a;jdb -connect com.sun.jdi.SocketAttach:hostname&＃61;127.0.0.1,port&＃61;8700&＃xff0c;当接连成功之后&＃xff0c;android.os.Debug.isDebuggerConnected() 这个方法就会ture。这就跟系统的android.os.Debug.isDebuggerConnected()方法有关。解决也很简单&＃xff0c;使用反编译工具方便程序&＃xff0c;然后搜索isDebuggerConnected() 关键字&＃xff0c; 然后Nop 掉改函数的调用即可。

还有就是判断当前应用属性&＃xff1a;ApplicationInfo.FLAG_DEBUGGABLE。在反编译后AndroidMainfiest,xml 中添加&＃xff1a;android&＃xff1a;debuggable&＃61;“true”。

native层

1 ptrace检测

每个进程同时刻只能被1个调试进程ptrace&＃xff0c;再次p自己会失败。所以可以主动ptrace自己,根据返回值判断自己是否被调试了&＃xff1b;或者多进程ptrace。

2 进程名检测

远程调试要在手机中运行android_server gdbserver gdb等进程&＃xff0c;遍历进程&＃xff0c;查找固定的进程名&＃xff0c;如果能找到就说明调试器在运行。

有的时候不使用apk附加调试的方法进行逆向&＃xff0c;而是写一个.out可执行文件直接加载so进行调试&＃xff0c;这样程序的父进程名和正常启动apk的父进程名是不一样的。正常启动的apk程序父进程是zygote。如果不是&＃xff0c;则证明为调试状态。

还有就是自身进程名&＃xff0c;正常进程名一般是apk的http://com.xxx这样的格式。

3 apk线程检测

正常apk进程一般会有十几个线程在运行(比如会有jdwp线程)&＃xff0c;自己写可执行文件加载so一般只有一个线程&＃xff0c;可以根据这个差异来进行调试环境检测&＃xff08;咱们没用过&＃xff0c;咱啥也不知道&＃xff09;。

4 安卓系统调试检测函数

这个跟上面有点重复。分析android自带调试检测函数isDebuggerConnected()在native的实现&＃xff0c; 尝试在native使用。

&＃xff08;1&＃xff09;dalvik模式下:

找到进程中libdvm.so中的dvmDbgIsDebuggerConnected()函数&＃xff0c;

调用他就能得知程序是否被调试。 dlopen(/system/lib/libdvm.so)

dlsym(_Z25dvmDbgIsDebuggerConnectedv)

&＃xff08;2&＃xff09;art模式下&＃xff1a;

art模式下&＃xff0c;结果存放在libart.so中的全局变量gDebuggerActive中&＃xff0c;

符号名为_ZN3art3Dbg15gDebuggerActiveE。

但是貌似新版本android不允许使用非ndk原生库&＃xff0c;dlopen(libart.so)会失败。 所以无法用dalvik那样的方法了。

5 轮询检测法

轮询TracePid

这个主要是参考了https://www.cnblogs.com/jiaoxiake/p/6790803.html&＃xff0c;可以进去了解下。

6 断点检测

如果函数被下软件断点&＃xff0c;则断点地址会被改写为bkpt指令&＃xff0c; 可以在函数体中搜索bkpt指令来检测软件断点。