ibaka.ru
жалоба / abuse: admin@ibaka.ru
Источник / Source: https://lolifox.org/b/res/185948.html
#185948

3e5&.png 163Кб,1024✘593

Есть одно приложение, огороженное DRM (или какой-то такой хуйней, не разбираюсь я в пидорских терминах) SecNeo.
SecNeo - китайская поебень, которая защищает относительно-легко декомпилируемую Java начинку андроид приложения.
Китайцы утверждают, что ты ее хуй разберешь. Но телефон же как-то разбирает… Причем довольно быстро. Не суть.

При попытки декомпиляции не все дексы разбираются. Только один разбирается, который вызывает SecNeo DexHelper, который творит какую-то магию с другими dex-ами и запускает настоящее приложение. ( https://pastebin.com/pHyrcXZp )
Идем в lib, видим там разные архитектуры. В каждом есть libDexHelper.so и libpldroidsondroids_gif.so.
Меня интересует именно первый.
Я его разобрал с помощью objdump, нихуя не понял, ибо ассемблер не бум-бум, но я заметил, что там вызывается достаточно много функций c и может быть c++, что дает предложение, что эта хуйня написана была на С или C++.

Хочу разобрать это ебаное приложение. Че посоветуете делать? Разобрать DexHelper и переделать открытую часть на жабе, чтобы все расшифровать? Или поехать в китай и насрать в офисе ninebot?
Хочу узнать, нахуя приложению для электросамоката и прочей поебени мое местоположение. И еще интересно узнать как он качает прошивку (до этого по wireshark смотрел, а эта сука по SSL общается с китаем).
И да, приложение ninebot-segway если че.


#185953

>>185948
>зачем местоположение
1)китай всегда всё мониторит и положение всех своих людей строя цифровую диктатуру, дядюшка Ляу следит.
2)это может быть шэринг самокатов и чтобы ты его не украл.
3)это может быть как и всякие новые фитнес браслеты и приложения "посмотри свои маршруты и количество проеханных км в удобном виде в удобном приложении"


#185954

>>185953
>1)китай всегда всё мониторит и положение всех своих людей строя цифровую диктатуру, дядюшка Ляу следит.
Может быть, но оно не ругается, если GPS и WiFI выключен, что странно.
>2)это может быть шэринг самокатов и чтобы ты его не украл.
От кражи не поможет ну никак. Не отслеживается, пароль на самокат сбрасывается очень просто, серийники перебиваются как нехуй делать.
>3)это может быть как и всякие новые фитнес браслеты и приложения "посмотри свои маршруты и количество проеханных км в удобном виде в удобном приложении"
километраж он считывает с ТС по блютус.


#185956

Не суть, мне интересно как-нибудь получить нормальные *.dex файлы.
Телефон же их как-то получает… Значит и я могу.
Просто хочется накатить старую прошивку, она просто реще была.


#185967

Снифай обмен по BT там шифрование обычно ленятся прикручивать и пиши свое приложение.


#185968

>>185967
С BT все понятно.
Для Xiaomi самоката есть прошивальщик, думаю тут схоже.
Я не могу прошивку добыть. А дамп снимать - ну ебаная гарантия


#185975

Можете дать книжек по дизассемблингу почитать?


#186029

>>185948
>электросамоката

Чисто для статистики - в сраку часто пердолишься?


#186030

>>186029
Да. У меня два ебыря: Ашотик и Сурэн.
А еще у меня няшная бородка, прическа "кукиш" на голове и ахуенные подвороты!


#186130

>>185948
а как там папеча смотреть


#186257

>>186029
>Чисто для статистики - в сраку часто пердолишься?
Нет. А что? Это же не ренж-ровер.
Я скорее с GNU/Linux пердолюсь и с редкоземельным ведром волжского автозавода.
>>186030
Ну и мерзость же.
Борода - прям сразу нахуй, грязь скапливается, мыть надо.


#186316

>>185948
Побробовал на виртуалочке запустить - хуйца соснул. Эта поебень не хочет работать, или виртуалка кривая.
Еще разобрал второй *.dex - какие-то классы разбираются нормально, а какие-то как раз те, которые мне интересны анально огорожены DRM.
Декомпилятор выдал какой-то мусор безсмысленный.
И еще мне сдается, что SecNeo подменила все названия переменных на Cxxxx, чтобы мамкины дизассемблеры хуйца соснули. Но мне похуй, я знаю как выглядит url, а он там захардкожен 100%. ну так было в старых версиях по крайней мере
Не суть, хочу узнать, как он уродует байт-код жаба-машины сначала, а для этого надо понять как эта ебаная поебень работает.
Посоветуйте книжки-гайды по реверс-инжинирингу бля. Нихуя абсолютно не понимаю в вашем этом ассемблере.
Подписывайтесь на бложик хуль


#186323

>>186316
Про ассемблер вроде хорошие книги писал Крис Касперски, не путать с уебком создателем ФСБ антивируса.
У Криса там как раз про дизасемблер вроде.


#186327

>>186323
Хорошо, чекну.


#186526

>>185948
Как же меня, сука, ведроид бесит.
Говно ебаное. Доступа к руту не дают из коробки.
А еще эта хуйня на x86 дроиде ну не пашет, сука.
И интеллижидиа тоже ебаное говно, равно как и андроид студио. Говно ебаное. Нахуя ебаному IDE больше 4 гигов ОЗУ?

Убить всех жидов нахуй. И создателей Java. И китайцев с неграми и индусами. И еще пидоров, вот.
Тогда заживем.
ЕБАНОЕ ПО ДЕЛАЕТ МЕНЯ РАСИСТОМ НАХУЙ. Я НЕ МАМКИН ХАЦКЕР, А ЗВЕРЬ НАХУЙ. КОПИРАЙТ, ДРМ, ЧТОБ СУКА ИХ, СОЗДАТЕЛЕЙ ЭТОГО ГОВНАЯ, НАХУЙ ЗАШИФРОВАЛИ МЯСОРУБКОЙ БЛЯДЬ ИЛИ ГАЗОВОЙ КАМЕРОЙ.


#186527

>>186526
>Нахуя ебаному IDE больше 4 гигов ОЗУ?
Тому шо это IDE, а не блокнот с подсветкой?


#186528

3e5&.jpg 3117Кб,2952✘4169


Для меня и 100гб ОЗУ будет мало.


#186529

>>186527
А ты не можешь скачать эмулятор без лишней поебени.
>>186528
640 кбайт - это слишком жирно. Вот 64 кбайта на спектруме - заебись. Если программа занимает больше памяти - это недопустимо и автору надо яйца отрезать.


#186537

>>186316
Поищи как трафик зашифрованный в wireshark расшифровать, может получится. подписался


#186538

>>186537
Ну окей, попробую еще раз.
Кста говоря, как правильно пользоваться wireshark? у меня ума хватило только на поднять прокси и пиздить инфу из прокси локальной.


#186545

>>186538
Первое что приходит в голову это MITM с помощью ARP spoofing, софт наверное не сложно найти. Не сильно разбираюсь в прокси, но думаю если правильно настроено - то что нужно.


#186559

>>186545
Ну прокся работает, SSL звонится, даже сервер узнал как называется.
https://api4-ore.ninebot.cn/
А пока я им в еррорлог отправил сюрпрайз, дописав ?ChinksSuckDicks


#186560

>>186559
А как узнать куда конкретно от звонит?


#186579

>>186560
Хотя знаю как узнать. Надо поднять DNS и SSL сервер локально. Думаю китаезы не догадались сертификаты проверять


#186641

Книга по дезассемблированию https://yurichev.com


#186653

Анон, нахуя тебе этот геморой? Приложение тупо спайвор, ничего годного ты не вытащишь.


#187048

>>186653
Почему, прошивку можно спиздить, и добавить мощности.
И еще избавиться от ботнета написав открытую свобоную альтернативу.


#187220

>>186641
Если спиздить обращения не получится - то буду дизассемблить.


#191548

>>185948
Корче, нихуя спиздить не удалось, таки SSL вещь надежная, и даже возможно от майора спасет, если сервер не сольет логи.

И теперь вопрос, где мне IDA Pro для жму/пинукс добыть? Торренты все чет лежат.


#191562

3e5&.jpg 32Кб,317✘372

>>191548
Хотя не пажжите ебана.
Может ли APK делать что-то во время установки? Просто я ума не приложу, как некоторые вещи запускаются.
Есть какая-то поебень по установке, но она просто вроде не вызывается, что как-то не правильно, ибо в реальности вызывается.


#191565

>>191548
Ты серьезно? Не можешь просниффать SSL-траффик своего устройства? Устанавливаешь сертефикат сниффера в устройство и спокойно читаешь траффик. Burp suite делает это на изичах.
https://www.thedroidsonroids.com/blog/how-to-debug-https-traffic-for-android-apps-with-burp-proxy


#191570

>>191565
Алсо хитрые китайцы могут использовать ssl pinning (вшивают свой сертификат в apk) обходится так:
https://habr.com/post/307774/

И если андроид на 7 и выше, то надо еще подшаманить пару xml:
That's due to behavior changes since Android 7:
https://android-developers.googleblog.com/2016/07/changes-to-trusted-certificate.html, it is mentioned in the article.

Possible solutions:
- If you have source code (or can modify APK with apktool or so):
– Add custom network-security-config as mentioned in linked article.
– Lower the target SDK to 23.
- If you want to use unmodified APKs:
– use rooted device.
– use device with Android 6 or older.


#191573

>>185948
И вот еще:
https://github.com/strazzere/android-unpacker/tree/master/native-unpacker


#191575

>>191573
Хотя с этим анпаккером соснешь (эту же приложуху чувак пытался поковырять):
https://github.com/strazzere/android-unpacker/issues/39

Ну сниффай траффик тогда, или напиши свежий анпаккер и залей в паблик, всяко легче, чем ассемблер ковырять.


#192197

>>191565
>Устанавливаешь сертефикат сниффера в устройство и спокойно читаешь траффик.
У меня чет не получилось, хотя я пытался.
>>191570
>Алсо хитрые китайцы могут использовать ssl pinning (вшивают свой сертификат в apk) обходится так:
Сомневаюсь, что вшивают, они используют системные.
И даже если вшили - то я не могу их посмотреть, ибо DRM. Там во втором dex и файле с ресами какая-то каша.
>И если андроид на 7 и выше, то надо еще подшаманить пару xml:
Китайская защита secneo как-то палит изменения чего угодно (хоть иконки лаунчера) и не запускает само приложение.
>>191575
Чтобы написать свой анпакер, надо разобраться, что это приложение делает. А для этого надо исполнить все на бумажке в тупую. Тупо, но я не знаю, че еще сделать.
Еще полезно будет узнать, как он прошивает. Кстати говоря, судя по Manifest.xml сам java-код не был обфускицирован, проглядываются вполне читаемые названия классов, как это и было в версии без DRM. Но с тех пор много чего изменилось. Раньше все наебывалось простым HTTP сервером с файлами в нужных местах, а теперь хуй. Какие-то ребята спиздили прошивку (и уже модифицировали и продают…), пока грузили ее, щупая че там блютус передает, но я уже обновился (бля) и у меня руки из жопы, подам еще 42В на сигнальный провод и прошивка будет уже не нужна.
public static void miui_notify() {
boolean has_fileobserver = false;
Thread[] threads = new Thread[20];
int count = Thread.currentThread().getThreadGroup().enumerate(threads);
for (int i = 0; i < count; i++) {
if ("FileObserver".equals(threads[i].getName())) {
has_fileobserver = true;
}
}
Я вот сечас ломаю голову над тем, что такое Thread, и почему оно ищет тред "FileObserver".
И да, эта сука как-то VM определяет, не смотря на то, что я менял модель устройства (на какой-то zenfone с х86) и т.п. И еще эта сука не работает на некоторых новых девайсах бля. Все из-за DRM.
А на реальном устройстве я не могу ну никак рут получить.


#192279

>>192197
Тут надо копать в сторону устройства работы ART или Davlik. В конечном итоге все равно вызывается их системная функция, которая загружает уже расшифрованный dex. Вот надо на нее повесесить хук, и перехватить расшифрованный dex. Самый простой способ сделать хук - xposed или frida.


#193192

>>192279
Окей.
Буду разбираться, если заставлю поменять это говно по гарантии. Ну бля, с такими болтами и с таким косяком ехать больше 20 км/ч стремно.
Хуже, чем на ржавой шохе 130 выжимать. не поедет, там после 80 км/ч обычно спидометр начинает квадратично пиздеть


#193195

>>192279
И да, на VM не запускается, и жопа подсказывает, что если SU будет - тоже не запустится.


#193199

>>185975
У меня есть одна, я её не читал, так что не скажу за качество.


#193201

Ого, вы все тут такие умные, апки дезасмите, а я не умею.
Я хочу дезасмить приложухи, вставлять зонды и толкать дуракам, но мои социальные навыки очень слабы, чтобы толкать их. А вот декомпилировать и снова компилировать, думаю, не сложно. Да и как данные собирать потом с зондов — незнаю. Это же надо сервер какой-то, а айпи будет слит получается и меня посадят на бутылку. Хотя можно использовать бесплатные сервисы, такие как файлообменники, но тут тоже есть трудности. Шифровать, конечно, можно…
Даже незнаю где можно распространять малварь и чтобы её устанавливали, особенно на андроид. Вряд ли много дураков умеют устанавливать apk через компухтер, а можно ли через браузер качать апк и устанавливать — тоже незнаю. А ведь смартфоны это очень хорошое средство для слежки.
Данные идут в США через гугл ад сервисес.
Данные идут в Китай через китайскую вендорскую прошивку.
Данные идут к обычным хуям через малварь.


#193235

>>193195
У меня с рутом работает, но, навернека защита anti-debuging есть.
Чтобы на VM запустить надо много параметров подделать и то не факт, что запустится. Смотри как либы anti-emulator работают и поведение аппликухи на virustotal (там будет перечесление всех параметров, которые аппа считывает при исполнении)

Траффик у меня получилось перехватить, только пришлось ssl-сертификат от burp в системные сертификаты установить, нужен root для этого, для android 6 и ниже должно без рута работать. В траффике не увидел ничего интересного, ибо самого девайса-то нет.
Вот еще такой вариант:
https://github.com/zyq8709/DexHunter


#194166

3e5&.png 26Кб,612✘341

Это что за мелкоборда и почему тут обсуждают мой найнбот?!

Короче, идея такая - хукнуть метод delete в xposed, чтобы он ничего не удалял, но возвращал условно true