用Unidbg在PC上跑通Android的SO：逆向Native算法环境

咨询发布

为什么用Unidbg

逆向Android Native算法最头疼的不是算法本身，是把它从so库里抠出来单独跑。Frida hook要真机，IDA静态分析看不到运行时数据，Unidbg是个折中——在JVM里模拟ARM指令，直接调so里的函数，传参拿返回值，连真机都省了。我上周用它跑通了一个App的sign算法，记一下流程。

• 装环境：JDK 1.8加Maven，clone unidbg仓库。README写支持JDK 11，但实际跑11会有报错，1.8最稳。
  
• 定位函数：用IDA打开libxxx.so，找到目标JNI函数地址，记下偏移。
  
• 写调用类：继承from UnicornContext，加载so，call函数，打印结果。
  
• 补环境：so里调JNI方法（FindClass、GetStaticMethodID等）会缺，要实现这些hook。
  

最难的是第4步。一个商业App的sign函数通常调5到10个JNI方法，每个都要在Unidbg里模拟返回值。比如GetStringUTFChars要返回传入的字符串，GetByteArrayElements要返回一个内存指针。我那个项目调了8个JNI方法，补了3天才跑通。

跑通的标志是输入相同字符串，Unidbg输出的sign和真机hook出来的一致。不一致就是补环境补错了，最常见的是某个JNIEnv方法返回NULL导致后续逻辑短路。

代码骨架贴一下：

2. import com.github.unidbg.AndroidEmulator;
3. import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
4. import com.github.unidbg.linux.android.AndroidResolver;
5. import com.github.unidbg.memory.Memory;
7. AndroidEmulator emulator = AndroidEmulatorBuilder.for32Bit().build();
8. Memory memory = emulator.getMemory();
9. memory.setLibraryResolver(new AndroidResolver(23));
10. emulator.getSyscallHook().setVerbose(false);
11. DalvikModule dm = emulator.loadLibrary(new File("libxxx.so"));
12. dm.callJNI_OnLoad(emulator);
13. Module module = dm.getModule();
14. long addr = module.base + 0x1234;
15. Object[] args = { "input_string" };
16. Object result = runAddress(emulator, addr, args, false);
17. System.out.println(result);

复制代码

性能上Unidbg比Frida慢10倍，但胜在可重复，跑通了能直接集成到批量请求里。我的方案是Unidbg算sign，Python起50个协程并发请求，日处理200万次签名，跑了半年没崩过。

听风62

试了下你说的第二种方法，成功率更高，推荐。

南山铺子

想请教一下，你用的这个版本是哪个？我这边跑起来报错。

北岛不吃香菜

我这边环境是Mac，有些步骤要调整，回头补个差异说明。

浅夏不眠

这个技术本身是中性工具，关键看用途，楼主的态度挺正的。

清和60

同意楼主的判断，现在加固手段越来越多，纯手工成本太高了。

寻梅柚子

照着试了一下，第一遍没成功，发现是权限问题，建议楼主补充个提示。

木子27

楼主的排版可以再优化下，代码块用起来会更清楚。

闲云看海

这个思路让我想到另一个场景，回头试试能不能套用。

榴莲铺子

这篇干货，比那些只有命令没有解释的强太多了。