文章目錄

• 一、dlopen 函數簡介
• 二、獲取 目標進程 linker 中的 dlopen 函數地址
• 三、遠程調用 目標進程 linker 中的 dlopen 函數

一、dlopen 函數簡介

---

dlopen 函數的作用是 打開一個 so 動態庫 , 并返回該 so 的句柄 ;

包含頭文件 :

#include<dlfcn.h>

函數原型 :

void * dlopen( const char * pathname, int mode);

參數說明 :

① const char * pathname : 動態庫的路徑 , Android 系統文件的絕對路徑 ;

② int mode : 動態庫的打開法方式 ;

void* 返回值 : 動態庫句柄

二、獲取 目標進程 linker 中的 dlopen 函數地址

---

獲取 某個動態庫 / 可執行文件 中的某個方法的地址 , 參考 【Android 逆向】Android 進程注入工具開發 ( 注入代碼分析 | 獲取 遠程 目標進程 中的 /system/lib/libc.so 動態庫中的 mmap 函數地址 ) 博客 ;

獲取 遠程 目標進程 中的 動態庫中的 函數地址流程 :

① 獲取 本地進程 動態庫 地址 ;

② 獲取 遠程進程 動態庫 地址 ;

③ 計算 本地進程 與 遠程進程 的 動態庫 地址 偏移量 ;

④ 獲取 本地進程 函數地址 ;

⑤ 根據 本地進程 函數地址 + 本地進程 與 遠程進程 的 動態庫 地址 偏移量 , 計算出 遠程進程 動態庫 的 函數地址 ;

三、遠程調用 目標進程 linker 中的 dlopen 函數

---

dlopen 函數參數準備 : 將字符串 "/data/system/debug/libbridge.so" 寫出到遠程進程內存中 , 然后獲取地址 , 該地址可以作為 char* 類型字符串使用 ;

/* 向 目標進程 內存 寫出 "/data/system/debug/libbridge.so" 數據 */ptrace_writedata(target_pid, map_base, (uint8_t*)library_path, strlen(library_path) + 1);parameters[0] = (long)map_base;parameters[1] = RTLD_NOW | RTLD_GLOBAL;

調用 dlopen 方法 :

/* 調用 目標進程 的 dlopen 函數 , dlopen_addr 是 libbridge.so 的地址 , 注意分析 dlopen 參數含義此處就是 注入 libbridge.so 動態庫 */if (ptrace_call_wrapper(target_pid, "dlopen", dlopen_addr, parameters, 2, &regs) == -1)

參考 【Android 逆向】Android 進程注入工具開發 ( 注入代碼分析 | 遠程調用 目標進程中 libc.so 動態庫中的 mmap 函數 二 | 準備參數 | 遠程調用 mmap 函數 ) 博客 , 通過

• 設置 EIP 寄存器 , 設置要執行的函數指令地址 ;
• 設置 ESP 寄存器 , 設置要執行的函數參數的棧內存 ;

可以遠程調用執行指定的方法 ;

總結

以上是生活随笔為你收集整理的【Android 逆向】Android 进程注入工具开发 ( 注入代码分析 | 获取 linker 中的 dlopen 函数地址 并 通过 远程调用 执行该函数 )的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。