안드로이드 후킹, 메모리 변조 : dalvik 바이트코드 변조

본 포스팅에서는 dalvik 바이트코드를 메모리에서 변조하는 방법을 다룹니다.

필자의 테스트 환경

- galaxy S5 

- Android 4.4.2

- Snapdragon 805 (32bit) 

"안드로이드 후킹, 메모리 변조 : frida framework를 활용한 dex 함수 후킹" 포스트에서 사용한 apk를 그대로 사용합니다.

우선, ida로 classes.dex를 연 다음 check_file 함수를 찾습니다. su 파일 경로를 인자로 전달받아, 파일이 존재하면 true를 리턴하는 함수입니다.

이 함수를 무조건 false를 리턴하게 하면 되겠지요.

private boolean check_file(String su_path) { File su = new File(su_path); if (su == null || !su.exists() || !su.isFile()) { return false; } Log.d("codetronikLog", su_path); return true; } CODE:00132C60 private boolean codetronik.rootchecker.RootChecker.check_file( CODE:00132C60 java.lang.String su_path) CODE:00132C60 this = v3 # CODE XREF: RootChecker_check_su_files@L+5A↓p CODE:00132C60 su_path = v4 CODE:00132C60 .line 40 CODE:00132C60 0012 const/4 v0, 0 CODE:00132C62 .local name:'result' type:'Z' CODE:00132C62 result = v0 CODE:00132C62 .line 41 CODE:00132C62 0122 0856 new-instance v1, <t: File> CODE:00132C66 2070 42D9 0041 invoke-direct {v1, su_path}, <void File.<init>(ref) imp. @ _def_File__init_@VL> CODE:00132C6C .local name:'su' type:'Ljava/io/File;' CODE:00132C6C su = v1 CODE:00132C6C .line 42 CODE:00132C6C 0138 0014 if-eqz su, locret CODE:00132C70 106E 42DF 0001 invoke-virtual {su}, <boolean File.exists() imp. @ _def_File_exists@Z> CODE:00132C76 020A move-result v2 CODE:00132C78 0238 000E if-eqz v2, locret CODE:00132C7C 106E 42E6 0001 invoke-virtual {su}, <boolean File.isFile() imp. @ _def_File_isFile@Z> CODE:00132C82 020A move-result v2 CODE:00132C84 0238 0008 if-eqz v2, locret CODE:00132C88 .line 44 CODE:00132C88 1012 const/4 result, 1 CODE:00132C8A .line 45 CODE:00132C8A 021A 2779 const-string v2, aCodetroniklog # "codetronikLog" CODE:00132C8E 2071 3CCC 0042 invoke-static {v2, su_path}, <int Log.d(ref, ref) imp. @ _def_Log_d@ILL> CODE:00132C94 CODE:00132C94 locret: # CODE XREF: RootChecker_check_file@ZL+C↑j CODE:00132C94 # RootChecker_check_file@ZL+18↑j ... CODE:00132C94 .line 47 CODE:00132C94 000F return v0

현재 바이트 파싱이 big endian으로 되어있기 때문에 바이트를 뒤집어서 보셔야 합니다.

각 바이트들이 무엇을 의미하는지는 http://pallergabor.uw.hu/androidblog/dalvik_opcodes.html 에 자세하게 설명되어 있습니다.

함수의 마지막 줄을 보면 v0을 리턴하게 됩니다. 참고로 0이 true이고 1이 false입니다.

v0이 0또는 1로 설정되어 리턴하는 것을 보실 수 있습니다.

첫 줄을 보면, hex 0x12는 4비트를 변수에 설정하는 opcode입니다.

보통 0x12 0xXY 형태로 사용합니다. 

X는 설정할 값이고, Y는 변수입니다.

Y=0이면 v0, Y=1이면 v1, Y=2이면 v2 이런 식입니다.

우리는 v0 값을 false로 설정할 것이므로, 0x12 0x10 으로 메모리를 변조하면 됩니다.

0x12 0x10 수행 후, 0x00 0x0F 를 통해 리턴을 하게 하면 무조건 false를 리턴하게 되겠지요.

이제, classes.dex 메모리를 ptrace를 통해 변조하면 됩니다.

classes.dex 파일에서는 check_file 함수의 offset이 0x132C60이었는데, 메모리에 매핑될 때는 앞에 부가적인 데이터들이 삽입됩니다. (0x28 바이트 고정)

이 데이터들을 건너뛰면, 해당 함수의 offset은 "dex" signature offset으로부터 0x132C60에 위치하게 됩니다. 

76958000-769fe000 r--p 00000000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 769fe000-769ff000 r--p 000a6000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 769ff000-76a5e000 r--p 000a7000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a5e000-76a5f000 r--p 00106000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a5f000-76a60000 r--p 00107000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a60000-76a62000 r--p 00108000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a62000-76a69000 r--p 0010a000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a69000-76a6a000 r--p 00111000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a6a000-76a71000 r--p 00112000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a71000-76a72000 r--p 00119000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a72000-76a73000 r--p 0011a000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a73000-76a74000 r--p 0011b000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a74000-76a75000 r--p 0011c000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a75000-76a78000 r--p 0011d000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a78000-76a7d000 r--p 00120000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a7d000-76a7e000 r--p 00125000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a7e000-76a84000 r--p 00126000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a84000-76a85000 r--p 0012c000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex 76a85000-76b90000 r--p 0012d000 b3:1b 1179871 /data/dalvik-cache/data@app@codetronik.rootchecker-17.apk@classes.dex

아래 그림은 0x76958000 를 덤프한 그림입니다. (메모리 덤프 방법은 http://codetronik.tistory.com/118 참조하세요.

아래 코드와 같이 dex 메모리를 변조할 수 있습니다.

ptrace에서 메모리를 read/write할 때, 사이즈 단위가 long이므로 (테스트한 단말기 환경에서는 4바이트), 아래의 PtraceWrite와 같은 패치 코드를 나눠서 write할 수 있는 함수를 작성해야 합니다.

void PtraceWrite(pid_t pid, uint8_t* addr, uint8_t* data, size_t size) { const size_t WORD_SIZE = sizeof(long); int mod = size % WORD_SIZE; int loop_count = size / WORD_SIZE; uint8_t* tmp_addr = addr; uint8_t* tmp_data = data; int i; for (i = 0; i < loop_count; ++i) { ptrace(PTRACE_POKEDATA, pid, tmp_addr, *((long*)tmp_data)); tmp_addr += WORD_SIZE; tmp_data += WORD_SIZE; } if (mod > 0) { long val = ptrace(PTRACE_PEEKDATA, pid, tmp_addr, NULL); uint8_t* p = (uint8_t*) &val; int i; for (i = 0; i < mod; ++i) { *p = *(tmp_data); p++; tmp_data++; } ptrace(PTRACE_POKEDATA, pid, tmp_addr, val); } printf("Write %d bytes to %p process %d\n", size, addr, pid); } ptrace(PTRACE_ATTACH, pid, NULL, NULL); unsigned char patch_code[] = { 0x12, 0x01, 0x0F, 0x00 }; PtraceWrite(pid, (uint8_t*)0x76958000 + 0x28 + 0x132C60, patch_code, sizeof(patch_code)); ptrace(PTRACE_DETACH, pid, NULL, NULL);

정상적으로 패치가 되면 아래 화면처럼 null이 나타납니다.