另一使用unidbg的实例—华山论剑

去年做看雪2021 KCTF春季赛第五题 华山论剑（原题见下面的链接）时，碰到了很多奇怪的问题。

https://ctf.pediy.com/game-season_fight-174.htm

在nexus 5手机上，输入任何内容直接显示“很抱歉，“HelloJni”已停止运行”，怀疑有可能是手机上装有Xposed、frida等工具，从而不能正常运行。

在pixel手机下可正常运行，以32位安装apk，然后让IDA以32位模式调试.so，可设置断点，输入内容后，点击按钮没反应，屏幕呆滞无响应。IDA输入窗口显示“Debugger: thread 4435 has exited (code 0)”，应该做了反调试。

开始尝试在linker处就开始跟踪代码，看哪里做了反调试。用pixel调试，在sub_5008处停下来，在里面转悠很久出不来，不清楚做了什么？彻底没辙了。

看到有位大佬提到了unidbg，当时对于它完全陌生，无异于看天书，就此放过。斗转星移，现在对unidbg有所熟悉，又拿它试手。

这个题目妥妥地最适合用unidbg解决，下面贴出unidbg运行代码。

package com.example.hellojni;

import com.github.unidbg.AndroidEmulator;

import com.github.unidbg.Module;

import com.github.unidbg.linux.android.AndroidEmulatorBuilder;

import com.github.unidbg.linux.android.AndroidResolver;

import com.github.unidbg.linux.android.dvm.*;

import com.github.unidbg.memory.Memory;

import java.io.File;

public class HelloJniextends AbstractJni {

private final AndroidEmulatoremulator;

    private final Modulemodule;

    private final VMvm;

    private final DvmClassNativeClass;

    HelloJni() {

emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.example").build(); // 创建模拟器实例，要模拟32位或者64位，在这里区分

        final Memory memory =emulator.getMemory(); // 模拟器的内存操作接口

        memory.setLibraryResolver(new AndroidResolver(23)); // 设置系统类库解析

        vm =emulator.createDalvikVM(new File("unidbg-android\\\\src\\\\test\\\\resources\\\\hellojni\\\\KCTF-2.sign.apk"));

        DalvikModule dm =vm.loadLibrary(new File("unidbg-android\\\\src\\\\test\\\\resources\\\\hellojni\\\\libhello-jni.so"),true);

        module = dm.getModule();

        vm.setVerbose(true); // 设置是否打印Jni调用细节

//        String traceFile = "unidbg-android\\src\\test\\java\\com\\example\\hellojni\\trace_log_false_name_kctf.txt";

//        PrintStream traceStream = null;

//        try {

//            traceStream = new PrintStream(new FileOutputStream(traceFile), true);

//        } catch (FileNotFoundException e) {

//            e.printStackTrace();

//        }

//        emulator.traceCode(module.base, module.base+module.size).setRedirect(traceStream);

        vm.setJni(this);

        dm.callJNI_OnLoad(emulator);

        NativeClass =vm.resolveClass("com/example/hellojni/HelloJni");

//        emulator.attach().addBreakPoint(module.base + 0x766c);

    }

public static void main(String[] args) {

HelloJni helloJni =new HelloJni();

      String ret = helloJni.stringFromJNI();

      System.out.println("stringFromJNI函数返回:"+ret);

    }

public StringstringFromJNI(){

String str1 ="ed8b9244350d3644";

//        String str1 = "KCTF";

        String str2 ="7C9815255BFE832D3F93140B";

        //String str2 = "17726331DA0FE737149C8202";

        StringObject stringObject =NativeClass.newObject(null).callJniMethodObject(emulator, "stringFromJNI(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;", str1, str2);

        return stringObject.getValue();

    }

}

输入正确的name、serial可返回“恭喜成功”。

至于怎么调试就不赘述了，可以写入类似的语句

emulator.attach().addBreakPoint(module.base + 0x766c);

设置断点，在unidbg控制台一步步跟踪。

也可以trace代码，根据日志了解正确/错误输入之间的程序差异。

String traceFile = "unidbg-android\\src\\test\\java\\com\\example\\hellojni\\trace_log_false_name_kctf.txt";

PrintStream traceStream = null;

try {

    traceStream = new PrintStream(new FileOutputStream(traceFile), true);

} catch (FileNotFoundException e) {

    e.printStackTrace();

}

emulator.traceCode(module.base, module.base+module.size).setRedirect(traceStream);