티스토리

HACKCATML
검색하기

블로그 홈

HACKCATML

hackcatml.tistory.com/m

Information Security Blogger

구독자
42
방명록 방문하기
공지 모바일 해킹, 보안 주제로 자유롭게 ⋯ 모두보기
반응형

주요 글 목록

  • Magisk v27.0+ 달라진 점 (Zygote Injection 방식) Magisk v27.0 이후로 많은 부분이 업데이트 되었지만 주목할 만한 것은, Zygisk의 Zygote Injection 방식이 달라진 것입니다.이전 버전에서는 LD_PRELOAD 방식을 이용하여 Injection 하였습니다. 이 방식은 linker 에 침투 흔적을 남겨서 zygisk 활성화 여부를 탐지 할 수 있었습니다. v27.0 에서는 Zygote Injection 으로 native bridge 방식이 도입되었습니다.Zygisk 가 없던 시절 Riru (https://github.com/RikkaApps/Riru?tab=readme-ov-file) 가 해당 방식으로 Zygote Injection 을 구현하였는데, Zygisk 도 해당 방식을 차용한 것으로 보입니다. Native bridge 방식.. 공감수 1 댓글수 4 2024. 9. 3.
  • Android SO File Dump 악성코드 분석을 하다 보면 반복적으로 so 파일을 추출하고 있는 자신을 발견하게 됩니다.apk를 까봤더니 그 안에 타겟 so 파일이 들어 있고 IDA에서 문제없이 열린다면 매우 땡큐입니다. 분석 난이도가 매우 낮은 경우로 흔하지 않습니다.그렇지 않은 경우에도, frida 가 순조롭게 붙기만 하면 쉽게 타겟 so 파일을 획득할 수 있습니다.그런데 조금 난이도가 있는 친구들은 frida 탐지 기능은 내비둔채, 앱의 솔루션을 무력화합니다.이 경우 frida 탐지 기능을 우회하면 되지만, 여의치 않은 경우 native 모듈을 만들어 so 파일을 추출하게 됩니다. 아래 그림의 so 로딩 흐름을 보면, 최종적으로 linker 의 do_dlopen 을 호출하는 것을 알 수 있습니다.출처: https://juejin.. 공감수 0 댓글수 0 2024. 8. 31.
  • Frida Build & Debug Using Logs For Android MacOS, frida v16.4.10 android-arm64 빌드 및 디버깅(log 찍기) 하기 ◼︎How to build// clonegit clone --recurse-submodules https://github.com/frida/frida.gitcd frida // ndk 환경변수 설정export ANDROID_NDK_ROOT=$HOME/Library/Android/sdk/ndk/25.0.8775105 // configure & makemkdir android-arm64 && cd android-arm64../configure --host=android-arm64make // build outputfrida-server 위치: frida/android-arm64/subprojects/frid.. 공감수 2 댓글수 0 2024. 8. 31.
  • Proxy Android Flutter Apps ◼︎ 개요Flutter 앱은 Flutter 프레임워크(https://flutter.dev/)를 사용해 개발된 앱으로, Flutter 프레임워크는 Dart 언어(https://dart.dev)를 사용합니다.다양한 앱들이 Flutter 로 개발됩니다. Google Ads, BMW, 네이버 블로그, 네이버 지식인, 삼쩜삼, Demaecan, Nubank 등이 있죠.Flutter 는 빠르게 네이티브 성능의 앱을, 그것도 멀티플랫폼으로 개발할 수 있습니다.개발자들에게는 Flutter 가 좋은 옵션이 되겠네요. 음...하지만, 보안인에게는 Flutter 앱이 꽤나 골치가 아픕니다.분석을 하려고 하는데 심볼은 전부 날라가 있고, 일반적인 방식으로 네트워크 프록시도 안잡히기 때문이죠.본 글에서는 안드로이드 Flutt.. 공감수 10 댓글수 4 2024. 5. 19.
  • 버sucker 키우기 최근에 새로 출시된 중국산 게임이 모바일 매출순위에서 리니지를 제꼈다고 게임 유튜버 및 온라인 뉴스에서 시끌벅적했습니다. 글을 올리는 시점에도 매출순위 2등을 하고 있군요. 그래서 도대체 어떤 게임이길래 궁금해서 플레이해봤는데요. 딱 봐도 전형적인 유저들 돈 단기간에 뽑아먹고 튈 형태의 게임처럼 보였습니다. 보안을 하는 입장에서 이런 생각이 들더군요. "이 정도 퀄리티의 간단한 게임이면 변조앱 사이트서 무료로 변조앱 뿌려서 누구나 다 현질없이 게임하고, 어뷰징하고 개판나서 망할텐데 어떻게 매출순위가 이렇게 높지?" 그래서 궁금해서 까봤더니 아이쿠~ 유니티가 아니고 cocos 게임입니다. 유니티였으면 출시하자마자 게임 변조앱 사이트들에 어뷰징앱이 올라왔을 겁니다. cocos, lua 같은 언어로 제작된 게.. 공감수 1 댓글수 0 2024. 1. 27.
  • Frida-portal 사용법 주로 단말기에서 frida-server 구동하고 attach 를 하였습니다. attach 방향이 Device Local 은 될 수 없는 것일까? 라는 생각이 들었습니다만, 이미 frida-portal 이라고 frida 15.0 버전에 도입되었더군요...허허 (https://frida.re/news/2021/07/18/frida-15-0-released/, https://frida.re/docs/gadget/#connect) 아무튼 사용법은 다음과 같습니다. 로컬에서 frida-portal 파이썬 코드 작성해서 구동시켜줍니다. (출처: https://github.com/frida/frida-python/blob/bbdcdfaca821276361399775bd81599710ec0625/examples/por.. 공감수 3 댓글수 0 2023. 12. 1.
  • Attach Frida Using Frida-gadget Zygisk Module 안드로이드 단말기에서 frida-server 를 구동하고 frida 를 attach 하는 방식이 잘 안되는 경우가 있습니다. 이 경우 Zygisk 가 앱 프로세스에 모듈을 주입시킨다는 점을 활용해볼 수 있습니다. 앱 프로세스 시작시 주입된 zygisk 모듈에서 frida-gadget 을 로드시키는 것입니다. frida 를 attach 시키는 하나의 옵션이 될 수 있습니다. https://github.com/hackcatml/zygisk-gadget GitHub - hackcatml/zygisk-gadget: a zygisk module loads frida-gadget a zygisk module loads frida-gadget. Contribute to hackcatml/zygisk-gadget de.. 공감수 5 댓글수 0 2023. 11. 27.
  • Galaxy S10 PixelExperience 12 + KernelSU 이전 글(https://hackcatml.tistory.com/188) 에서 S10에 리니지를 올려봤는데요, 픽셀 익스 12 + kernelSU 도 올라가네요. 주로 픽셀폰을 써서 그런지 편하네요. 픽셀 익스 12는 https://get.pixelexperience.org/changelog/beyond1lte/PixelExperience_beyond1lte-12.1-20220928-1602-OFFICIAL.zip 에서 다운로드 받을 수 있습니다. 이하 커널 빌드 방법만 다룹니다. 나머지 절차는 이전 글(https://hackcatml.tistory.com/188) 참고 바랍니다. ※ 픽셀 익스 13(https://get.pixelexperience.org/changelog/beyond1lte/PixelE.. 공감수 3 댓글수 1 2023. 10. 28.
  • Galaxy S9 PixelExperience 13 + KernelSU 그동안 픽셀폰 쓰느라 s9 은 쳐다도 안봤습니다. 뒷방 늙은이 신세였던 s9 단말기에 PixelExperience + kernelSU 를 올려봤더니...좋네요. 앱 모의해킹하시는 분들 kernelSU 적극 추천 드립니다. - 사전 준비 사항 Windows10, Ubuntu 22.04.3 VM 에서 진행 갤럭시 s9 (SM-G960N) AOS10 순정에 twrp 올려놓기 PixelExperience 13 커스텀롬 준비 (https://get.pixelexperience.org/starlte) - Build Kernel 출처: https://github.com/CruelKernel/samsung-exynos9820 # Install prerequisites # If you use ubuntu or ubunt.. 공감수 5 댓글수 9 2023. 10. 27.
  • Move User Certs KernelSU Module 사용자 인증서를 시스템 영역으로 이동시켜주는 Kernelsu 모듈입니다. kernelsu 단말기에서 프록시 잡으려면 인증서 옮겨놔야겠죠. android 12, 13 에서 테스트하였습니다. https://github.com/hackcatml/MoveUserCerts_kernelSU GitHub - hackcatml/MoveUserCerts_kernelSU Contribute to hackcatml/MoveUserCerts_kernelSU development by creating an account on GitHub. github.com 공감수 4 댓글수 0 2023. 10. 21.
  • Galaxy S10 LineageOS 12 + KernelSU 앱 모의해킹 및 분석 목적으로 매우 유용 & 강력한 KernelSU(https://github.com/tiann/KernelSU)를 올려 봅시다. 갤럭시 s10 lineageOS 12 커스텀롬에 올려볼것입니다. - 사전준비사항 Windows10, Ubuntu 22.04.3 VM 에서 진행 갤럭시 s10 exynos9820 AOS12 루팅(https://hackcatml.tistory.com/162 참고) LineageOS 12 커스텀롬 준비(https://lineage-archive.timschumi.net/ 에서 lineage-19.1-xxx-beyond1lte-signed.zip 다운로드) - Build Kernel 출처: https://github.com/CruelKernel/samsung-exyn.. 공감수 2 댓글수 4 2023. 10. 3.
  • Frida Unreal Engine Dumper https://github.com/hackcatml/frida-ue4dump GitHub - hackcatml/frida-ue4dump: UE4 dump frida script UE4 dump frida script. Contribute to hackcatml/frida-ue4dump development by creating an account on GitHub. github.com Unreal Engine 연구용으로 UE4Dumper(https://github.com/kp7742/UE4Dumper) 을 바탕으로 제작 해봤습니다. Android, iOS Unreal Engine >= 4.23, 64bit Only 4.27.2 버전에서만 테스트 해봤기 때문에, 다른 버전에서는 작동 안할 가능성이 높습니다.. 공감수 3 댓글수 8 2023. 8. 20.
  • What Happens If You Implement PltHook? plt 니 got 니 이론부터 보려니 머리가 아픕니다. 직접 해보는게 이해하기 빠르겠죠 Bytehook(https://github.com/bytedance/bhook/tree/main) 을 이용하여 fopen 함수를 plthook 했더니, 로그가 잘 찍힙니다. plthook 전이나 후나 libc.so 에 있는 fopen 함수 시작부의 메모리는 차이가 없습니다. (즉, c함수 인라인후킹 아님) ELF 파일에서 많은 c함수들의 주소가 GOT(Global Offset Table) 에 저장됩니다. c함수 호출시 이 GOT 테이블에 있는 함수 주소값을 참고하여 호출하게 되는 것이죠. plthook 은 예컨대, 이 GOT에 저장되는 fopen 함수의 주소값을 fake_fopen 함수의 주소값으로 바꿔치기 하는 것입.. 공감수 0 댓글수 0 2023. 7. 30.
  • PmsHook 해봅시다 안드로이드 게임 모드앱 까보면 pmshook(PackageManagerService Hook) 을 많이들 사용하고 있더군요.(간단한 서명값 변조 탐지 우회 용도) 모드앱 실행하고 로그 살펴보면 "PmsHook success" 라는 로그를 심심치 않게 볼 수 있습니다. 그 출처가 ApkSignatureKiller(https://github.com/L-JINBIN/ApkSignatureKiller/tree/master) 라는 곳인데, 무려 6년전 소스코드입니다. 깃헙에 쓰여 있는데로, pmshook 하고 싶은 원본 apk 파일을 해당 프로젝트의 루트 디렉터리에 src.apk 라는 이름으로 옮겨놓고, "NKillSignatureTool.java"를 Run 하면은 열에 아홉은 에러를 뿜어냅니다. 작동하게 하려.. 공감수 1 댓글수 0 2023. 5. 30.
  • LSPlant test https://github.com/LSPosed/LSPlant/tree/master/test 참고하여 AOS 12 순정에서 Uncrackable Level3 자바, 네이티브 후킹 테스트 설명 및 test 예시코드에 나와있는 대로 build.gradle(:app), CMakeLists.txt 잘 설정해주면 문제없이 잘 작동하네요 boolean sg.vantagepoint.uncrackable3.CodeCheck.check_code(java.lang.String) 후킹하여 항상 success fopen 후킹하여 파일명 출력 void sg.vantagepoint.uncrackable3.MainActivity.verify(android.view.View) 후킹하여커스텀 알림창 띄우기 공감수 0 댓글수 1 2022. 11. 6.
  • frida-gum Integration Android 모의해커라면 frida를 이용하여 모바일 앱 동적 분석을 자주 합니다. 예전 같으면 꿈도 못꿨을 모바일 앱 리버싱이 정말 많이 편해졌죠. 신입 모의해커도 프리다는 기본으로 다룰 줄 아는 시대입니다. 그러나, frida JavaScript API 라는 무기를 하나 가졌을 뿐입니다. 전쟁터에 무기 딱 하나 들고 참전했는데, 여러가지 이유로 해당 무기를 사용 못하게 되면 참 난감해지겠죠. 그래서, frida는 코어 모듈을 떼어다가 다른 무기를 만들 수 있게끔 제공하고 있습니다. 무기를 하나 더 들고 참전하는 만큼 다양한 상황에 좀 더 유연하게 대처가 가능합니다. frida-gum은 c언어로 작성되었으며, 이를 static library로 제공하고 있어서 프로그램에 포함하여 코드 작성이 가능합니다. 예를 들어,.. 공감수 2 댓글수 1 2022. 8. 6.
  • 갤럭시 s10(SM-G973N) Android 12 루팅 보안진단을 위해 갤럭시s10 AOS12 루팅을 진행해보았습니다만...루팅과정이 좀 많이 번거롭네요. Step1. Unlock Bootloader 개발자 옵션에서 OEM 잠금 해제 및 USB 디버깅 활성화 다운로드 모드 진입방법이 좀 특이한데, 다음과 같습니다. 단말기 전원 끄기 --> 볼륨 다운 + 빅스비 누른상태 --> 누른상태에서 usb 연결 볼륨 업 버튼을 길게 눌러 부트로더 잠금 해제 부트로더 잠금 해제 후 단말기 재부팅 Step2. AOS12 AP 파일 패치 samfw.com(https://samfw.com/firmware/SM-G973N/KOO)에서 AOS12 순정 다운로드 받기 --> 압축해제 adb install 명령어로 최신버전 magisk.apk(https://github.com/top.. 공감수 10 댓글수 9 2022. 5. 21.
  • 안드로이드 SVC 루팅탐지 로직 Linux Syscall manual page(https://man7.org/linux/man-pages/man2/syscall.2.html#NOTES)에 의하면 안드로이드(arm64)에서 syscall instruction은 svc #0이며, x8 레지스터에 전달되는 값에 따라 어떤 system call 인지가 결정됩니다. 예컨데, Linux syscall table arm64(https://chromium.googlesource.com/chromiumos/docs/%2B/master/constants/syscalls.md#arm64-64_bit )에 따르면 x8 == 56 이면 syscall openat, x8 == 48 이면 syscall faccessat, x8 == 63 이면 syscall re.. 공감수 1 댓글수 7 2022. 3. 14.
  • Intent Sniffing 안드로이드 앱 점검을 하다보면 가끔 날라다니는 인텐트를 보고 싶은 경우가 있습니다. 그런데, drozer 설치하고, apk파일 디컴파일해서 보고싶은 action찾아주고, 명령어 쳐주는것이 상당히 번거롭습니다. Ex) drozer로 intent의 action값이 "com.flagstore.ctf.OUTGOING_INTENT"인 broadcast 패킷 스니핑. run app.broadcast.sniff --action "com.flagstore.ctf.OUTGOING_INTENT" 인텐트 스니핑 관련하여 "XIntent"(https://github.com/2Y2s1mple/xintent) 라고 괜찮은 Xposed 모듈이 있어서 소개합니다. 깃헙 사이트에서 apk파일을 다운받아 설치하고, LSPosed에서 인.. 공감수 1 댓글수 0 2022. 3. 14.
  • Android Ptrace Bypass 전략 ※ Magisk 사용시 문제가 되던 사항으로 Zygisk 가 범용적으로 사용되는 현재에는 본 글이 별 의미가 없음 ◼︎Story 금융권 안드로이드 앱에 대해 보안 검수를 한다고 가정해봅시다. 해당 안드로이드 앱에는 비싼 보안솔루션이 올라가 있다고 합니다. 개발자는 보안솔루션을 내려줄수가 없다고 합니다. 검수기간은 보고서 포함 단3일이 주어졌습니다. 시간관계상 수동으로 루팅탐지 우회가 어렵다고 판단하였습니다. 운좋게(?) MagiskHide로 우회가 되었습니다. 너무 기쁜 나머지 프록시를 잡아서 우선 하루동안 네트워크 단을 점검하였습니다. 이제 한시름 놓고, 클라이언트단을 점검하려고 frida를 붙이려고 했더니 다음과 같은 에러가 뜹니다. "Failed to attach: unable to access p.. 공감수 3 댓글수 2 2022. 3. 9.
  • res\xml\locales_config.xml:3: error: unbound prefix 최신 버전의 apktool 로 리패키징 하는 과정에서 해당 에러가 발생하였습니다. 에러가 발생한 디렉터리에서 locales_config.xml 파일 삭제합니다. AndroidManifest.xml 파일에서 locales_config 관련 내용 삭제합니다. res\values\public.xml 파일에서 locales_config 관련 내용을 삭제합니다. 이렇게 하고 다시 돌려보니 잘 빌드되는군요. 공감수 0 댓글수 0 2022. 3. 5.
  • Hello Zygisk ◼︎Zygisk Magisk v24.0 부터 MagiskHide, Magisk-Modules-Repo 기능이 사라지고, Zygisk 기능(Magisk in Zygote)이 도입되었습니다. Zygisk 기능을 활성화하면, 매지스크는 zygisk 모듈이 앱 프로세스에 접근하여 작동하도록 합니다("When this feature is enabled, a part of Magisk will run in the Zygote daemon process, allowing module developers to run code directly in every Android apps' processes") Zygisk는 Zygote에 inject하여 모듈이 앱 프로세스에 접근하여 작동하도록 한 Riru 프로젝트에 영향을 .. 공감수 2 댓글수 3 2022. 2. 26.
  • Unreal Engine 4.27 Dump(Android) ※ frida ue4 dumper https://github.com/hackcatml/frida-ue4dump GitHub - hackcatml/frida-ue4dump: UE4 dump frida script UE4 dump frida script. Contribute to hackcatml/frida-ue4dump development by creating an account on GitHub. github.com 언리얼엔진 게임 개발 튜토리얼(https://www.youtube.com/watch?v=k7w66PGppaU&list=PLY9cHlxw3OgjuLmBX1rYPhRwcDfCza1_5&index=3)을 보고 Unreal Engine 4.27.2 버전 샘플게임을 직접 빌드하고 SDK 덤프 및 함.. 공감수 5 댓글수 2 2022. 2. 1.
  • Hack The Box: SAW 앱(https://app.hackthebox.com/challenges/saw) 설치하여도 실행이 안됩니다. 디컴파일 결과를 보니 인텐트를 실어서 액티비티를 실행해야 다음단계로 넘어갈 수 있을 것 같습니다. AndroidManifest.xml 파일을 보니 "open": "sesame" 인텐트와 함께 "com.stego.saw.MainActivity" 액티비티의 "android.intent.action.MAIN" 액션을 실행시키면 되는 것으로 보입니다. am start -a android.intent.action.MAIN --es open "sesame" -n com.stego.saw/.MainActivity 그런데, 다시 "Click me" 버튼을 클릭하면 앱이 종료됩니다. 디컴파일 결과에 의하면 "cl.. 공감수 0 댓글수 0 2022. 1. 6.
  • Frida mono hook(feat. 유니티 모노, 자마린 안드로이드) 몇일 전에 Android CTF 문제를 풀었는데, 자마린으로 제작된 앱 이었습니다. 자마린 앱은 모노 환경에서 구동되더군요. 2021년에 유니티 모노 게임 진단하면서, il2cpp와는 다르게 프리다 후킹이 안되어서 유니티 모노 환경이 무결성 솔루션만 있으면 더 안전한 것 아닌가?(모노 게임 해킹은 주로 소스코드 변조를 하기 때문) 라고 생각하고 넘어갔었는데요...아니네요. 환경구성이 번거롭다 뿐이지, 전체 소스코드를 확보한 상태에서 후킹까지 할 수 있으니 확실히 il2cpp보다 분석이 수월합니다. 다만 유니티 모노 게임은 직접 빌드하거나, 고전 모바일 게임 아니면 이제 볼일이 없다는 점과, Xamarin 역시 다른 크로스플랫폼 개발 언어(ex. Flutter, React Native)에 밀려 만날 일이 .. 공감수 4 댓글수 0 2022. 1. 4.
  • Hack The Box: SeeTheSharpFlag 앱(https://app.hackthebox.com/challenges/seethesharpflag)을 실행해서 아무 text나 입력하고 click 하면 "Sorry. Not correct password" 문구가 뜹니다. apk 파일을 디컴파일 해보면 흔히 보던 형식이 아닙니다. mono, xamarin 이라는 단어들이 보이며 많은 메서드들이 native로 구현되어 있습니다. xamarin은 오픈소스 크로스플랫폼 모바일 개발 framework라고 하네요.(출처: https://docs.microsoft.com/ko-kr/xamarin/get-started/what-is-xamarin ) so 파일을 뒤져봐도 딱히 플래그에 대한 단서를 찾을 수 없었으나, "unknown/assemblies/" 디렉터리에.. 공감수 0 댓글수 0 2022. 1. 4.
  • 카카오택시 불법 매크로앱 분석 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 10. 27.
  • Xposed setResult Enum Value 다음과 같이 getStatus() 메서드 수행시 enum value를 return 한다고 가정해봅시다. public static enum ENUMTEST { SUCCESS, PROGRESS, FAIL, ERROR; } private ENUMTEST status; public ENUMTEST getStatus() { return this.status; } Xposed를 이용해서 다음과 같이 enum value return 값을 변경할 수 있습니다. @Override protected void afterHookedMethod(MethodHookParam param) throws Throwable { Class enumclazz = findClass("com.example.ENUMTEST", classLoad.. 공감수 0 댓글수 0 2021. 10. 21.
  • Find Magisk Random Package Name 보호되어 있는 글입니다. 공감수 0 댓글수 0 2021. 10. 20.
  • Java VM Type Signature(JNI Type Signature) Type Signature Java Type Z boolean B byte C char S short I int J long F float D double L fully-qualified-class ; fully-qualified-class [ type type[] ( arg-types ) ret-type method type Ex) 터미널에서 "javap -s java.lang.String" 명령어 입력하면 메서드의 JNI 타입 Signature 예시를 볼 수 있습니다. static int indexOf(byte[], byte, int, java.lang.String, int); ==> ([BBILjava/lang/String;I)I public java.lang.CharSequence subSeque.. 공감수 0 댓글수 0 2021. 10. 20.
    반응형
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.