[Android] Damn-Vulnerable-Bank - 2 Frida 탐지 우회 (feat. Frida, 구조체)

MainActivity에서 프리다 탐지 로직을 로드 하고 있다.

detect frida

 

음 소스코드가 되게 짧다.

모지

 

Android Developer에 검색해보자.

https://developer.android.com/reference/java/lang/System#loadLibrary(java.lang.String) 

System  |  Android Developers

loadLibrary 개념

그으래요..... native library를 로드한다는 건 알겠는데... 사용법을 좀 검색해보자.

System.loadLibrary 사용법 검색

역시 킹갓 제너럴 형님들의 포스팅을 봐보자.

https://re-build.tistory.com/7

[Android] 안드로이드 스튜디오에서 JNI 사용하기

 

https://stackoverflow.com/questions/27421134/system-loadlibrary-couldnt-find-native-library-in-my-case

System.loadLibrary(...) couldn't find native library in my case

음 대충 C, C++ 같은 네이티브 언어를 사용할 수 있고, 패키지 안에 존재해야하는 것 같다. 그럼 apk를 압축해제해서 'frida-check'파일을 검색해보자.

libfrida-check.so 검색

음....근데 파일이 4개네. 이중에 뭐지. 검색해보자.

am64-v8a 검색

https://codechacha.com/ko/support-64-bit-app-in-android/

안드로이드 앱이 32/64bit 기기에서 동작하도록 만들기

역시 킹갓 제너럴 형님들은 다 알고 계신다. 아래의 명령어로 디바이스 지원 아키텍처를 알아보자.

# getprop ro.product.cpu.abilist

요잉네^^

분석은 IDA, ghidra를 사용해서 하면된다. ghidra는 무료다. 나는 IDA를 사용하긴 하는데 ghidra를 사용하는 사람들 보면 뭔가 멋있다. ghidra로 도저어어어어어어언.

근데 사용법을 잘 모른다. 

https://www.varonis.com/blog/how-to-use-ghidra

How to Use Ghidra to Reverse Engineer Malware | Varonis

 

 

libfrida-check.so 파일을 ghidra로 로드시키고 위에서 알려준대로 'Symbol Tree'를 봐보자. 확실히 해당 파일이 import된 모듈과 export 된 함수들이 보인다. 이 파일의 목적은 특정 기능을 export 해서 프리다라는 도구를 체크하는 것이 목적일터...

'Exports' 탭에서 제일 길고 수상한 메소드에 접근해보자.

음... 주로 보이는 함수가.... socket, inet_pton, connect 함수들이 보인다.

https://blockdmask.tistory.com/212

[이론] socket() 함수에 대해서

https://techlog.gurucat.net/317

[네트워크/C reference] inet_pton 함수

https://www.it-note.kr/117

connect(2) - 서버로 접속하기

음.... 그래요......

그러니까 socket()을 뚫어주고, inet_pton()를 이용해서 "127.0.0.1"같은 주소를 binary의 형태로 변환 후, connect()함수로 연결 후 그 결과 값을 가지고 판단을 한다는 거네?

 

---

여기서 바로 프리다 코드로 넘어가도 되지만, 나는 솔루션이나 특정 의심 포인트를 찾았을 때 frida-trace로 1차적으로 돌려보는 편이다.

frida-trace

---

자... 그럼 정상적으로 찾은 함수들이 돌아가는 것도 알았고. connect, socket, inet_pton이  저기 libc.so 라는 것이 뭔지 좀 알아봐야겠다. 딱 봐도 android 공유 라이브러리 같은데. 형님들께 물어보자.

https://stackoverflow.com/questions/35329621/where-are-all-the-shared-libraries-stored-on-android

Where are all the shared libraries stored on android?

 

껄껄껄껄껄. 찾음

libc.so 파일 요잉네

libc.so 파일도 ghidra로 열어보쟈.

음.... 그래요....

우선 핵심 트리거가 되는 포인트는 connect() 함수라는 것을 알겠다.

그럼 connect()함수를 후킹해보자.

function hook_libc_connect() {
    var connect_addr = Module.getExportByName(null, "connect");
    Interceptor.attach(connect_addr, {
        onLeave (retval) {
            console.log(retval);
            retval.replace(-1);
        }
    })
}

으헤헤헤 성공^^

근데..... 안타깝게도 이 방식은 실무에서 안먹힌다. 

왜냐면 connect() 함수가 사용되는 곳은 리얼 정말 다양하다. 지금까지의 나는 특정 분기문이나 레지스터 변경을 통하여 우회를 해왔지만, 솔루션 우회 자동화 툴 제작을 목표로 하고 있는 나는 다른 방식이 필요하다.

여기서부터는 리얼 야생이다. 나도 처음하는 거임. ㅇㅇ 같이 ㄱㄱ

---

나는 한가지를 주목했다. 바로 connect() 함수의 2번째 파라미터이다. 해당 파라미터는 소켓의 구조체에 대한 포인터를 가지고 있다고 명시되어있다.

https://www.ibm.com/docs/en/zos/2.2.0?topic=functions-connect-connect-socket 

connect() — Connect a socket

connect() 파라미터

우리 갓갓 형님께서 친절히 알려주셨다.

https://www.it-note.kr/114

struct sockaddr - Address Family에 따른 구조체

https://nroses-taek.tistory.com/20

connect 함수

https://jhnyang.tistory.com/261

[네트워크/소켓 C언어 프로그래밍] 주소 체계 저장 방법 sockaddr, sockaddr_in, sockaddr_in6 구조체 알아

 

음.... 그렇다면 이제 구조체를 후킹하는 방법을 검색해보자..

https://stackoverflow.com/questions/73099271/how-can-i-hook-structure-members-in-frida

How can I hook structure members in frida

냉정하게 뭔소린지 모르겠음.

 

다시 검색.

https://poxyran.github.io/poxyblog/src/pages/02-11-2019-calling-native-functions-with-frida.html

Calling native functions with Frida

 

 

역시 킹갓 형님들은 국적을 가리지 않는다.

https://azurda.github.io/posts/reading-structs-frida/

AZURDA.386

구조체 접근

 

위의 포스팅을 토대로 접근을 한번 해보려고한다. 어떤식으로 실제 구조체 형식이 뽑히는지 궁금해서 readByteArray를 통해 찍어보았다. 아.... 가히 아름다운 광경이 아닐수가 없다...

function hook_connect() {
    var connect_addr_ptr = Module.getExportByName(null, 'connect');

    var connect_addr = new NativeFunction(connect_addr_ptr, 'int', ['int', 'pointer', 'int']);
    Interceptor.replace(connect_addr, new NativeCallback(function (fd, pointer, r) {
        console.log(pointer.readShort());               // short    sin_family;
        console.log(pointer.add(2).readByteArray(2));   // u_short  sin-port;
        console.log(pointer.add(4).readByteArray(4));   // struct   in_addr;
    },'int', ['int','pointer','int']));
}

 

69 a2 -> 27042 / 7f 00 00 01 -> 127 0 0 1

 

음 일단 후킹을 위해선 저 문자열을 직관적으로 포트번호(27042 형식)로 만들고 싶었는데, 굳이 그럴 필요가 있나 싶었다.

그래서 버퍼의 메모리를 일반 문자열로 변환시켜서 스크립트를 짜보았다.

https://github.com/frida/frida/issues/329

how can I access to the bytes returned by ReadByteArray? · Issue #329 · frida/frida

function hook_connect() {
    const connect_addr_ptr = Module.getExportByName(null, 'connect');
    const connect_addr = new NativeFunction(connect_addr_ptr, 'int', ['int', 'pointer', 'int']);

    Interceptor.replace(connect_addr, new NativeCallback(function (fd, pointer, r) {
        const sin_port = Memory.readByteArray(pointer.add(2), 2);
        const in_addr = Memory.readByteArray(pointer.add(4), 4);

        var sin_port_str = convert_byte_to_String_Array(sin_port);
        var in_addr_str = convert_byte_to_String_Array(in_addr);

        console.log(sin_port_str, in_addr_str);

        if (sin_port_str == "69a2" && in_addr_str == "7f001") 
            return -1;

    },'int', ['int','pointer','int']));
}

function convert_byte_to_String_Array(bufferAddress) {
    var new_Array = new Uint8Array(bufferAddress);
    var str = "";

    for(var i = 0; i < new_Array.length; i++) {
        str += (new_Array[i].toString(16) + "");
    }
    return str;
}

껄껄껄 가능하구만

근데 내가 못하는 건지, 안되는 건지 모르겠는데. Interceptor.replace() 를 사용하면 버퍼에 대하여 직접적인 변조가 되질 않았다. 그래서 Interceptor.attach() 로도 짜봤다.

function hook_connect2() {
    var connect_addr = Module.getExportByName(null, 'connect');

    Interceptor.attach(connect_addr, {
        onEnter (args) {
            Memory.protect(args[1], 16, 'rwx'); // Memory 권한 설정

            this.sin_port = args[1].add(2);
            this.in_addr = args[1].add(4);

            const sin_port = Memory.readByteArray(this.sin_port, 2);
            const in_addr = Memory.readByteArray(this.in_addr, 4);
    
            var sin_port_str = convert_byte_to_String_Array(sin_port);
            var in_addr_str = convert_byte_to_String_Array(in_addr);
    
            console.log('Before Hook : ',sin_port_str, in_addr_str);
    
            Memory.writeByteArray(this.sin_port, [0x69, 0xa4]);
            console.log('After Hook : ',sin_port_str, in_addr_str);
        }
    })
}

낄낄낄 깔깔깔깔깔

Very Nice

오. 구조체 정복 성공^^

응용 분야가 꽤 많을 듯.

 

 

사실, 프리다 기본 포트번호는 27042를 사용한다. 그렇기 때문에 해당 로직은 기본 통신 포트만 변경해주면 해결된다.

./frida-server -l 0.0.0.0:8484 &


frida -H 192.168.0.2:8484 -f com.test.fl -l test.js

끗.

 

 

 

 

추가, 검색하다가 우연히 발견한 사이트. 나중에 도움이 될지도.

https://gist.github.com/schirrmacher/05ad9f1a0ba428e0cc6aeed46036ccd6#file-frida-struct-pointer-js-L18

Frida: How to read a struct or a struct pointer or a pointer of a struct pointer?

https://github.com/frida/frida/issues/166

Can't get Interceptor to work with NativeFunction calls · Issue #166 · frida/frida