Инструментарий для демистификации Android

Назначение

ADT — это набор инструментов символьного выполнения на основе Miasm, предназначенный для моделирования поведения приложений, исследования и тестирования уязвимостей безопасности, а также для упрощения реверс-инжиниринга вредоносного кода.

Возможности

• Возможность сохранения/восстановления контекстов всех потоков и процессов
• Централизованный (в формате json) конфигурационный файл для имитации окружения Android
• Планировщик для обработки мьютексов, многопоточности и многопроцессности
  • fork()
  • pthread_create()
  • pthread_mutex_lock/unlock()
  • Блокирующие чтение/запись файлов
• Реализация Java JNI (java native bridge), которая обрабатывает:
  • Строки
  • Файлы и каталоги
  • Массивы
  • Вызовы функций
  • Поля классов
• Ряд прочих реализаций:
  • sscanf()
  • mktime()
  • crc32, имитирующий версию на C
  • Потоки c++
  • Каналы (pipes)
  • fstat() и пользовательская структура Android с выравниванием (padding) для aarch64
  • _system_property_get() из android libc
  • varargs (работает только в общем случае)
  • prcrl

Инструкция

Установка

• Установите Miasm из этого форка Miasm. Патчи из ветки experimental реализуют поддержку инструкций aaarch64 и предоставляют соответствующие компоненты jitter и песочницы.
  • git clone https://github.com/nguigo/miasm.git && cd miasm && git checkout experimental
  • pip install .
• git clone https://github.com/nccgroup/android_demystification_toolbox.git
• pip install ./android_demystification_toolbox

Общее использование

• Из шаблона
  • Укажите необходимые требования к памяти в функции one_time_setup()
  • Задайте собственные точки останова в функции breakpoints_setup()
  • Позвольте основному циклу позаботиться об обработке нескольких контекстов
  • Используйте adt.config для хранения информации об окружении Android (подробнее см. в примерах)
• Пример NDK можно запустить в демонстрационных целях командой python3 sample.py libhello-jnicallback.so

Сохранение / восстановление контекстов

!! ВНИМАНИЕ !!

Контексты сохраняются и восстанавливаются с помощью модуля pickle, который небезопасен при работе с недоверенными данными. Убедитесь, что восстанавливаются только доверенные контексты.

Использование

• Пример функции save_context_and_dump() можно использовать в качестве jitter-колбэка:

jitter.add_breakpoint(<my_address>, save_context_and_dump)

• Код автоматически ищет файл context.pkl для восстановления, поэтому можно использовать следующую команду:

ln -s context_myaddress.pkl context.pkl

• При запуске скрипта контекст будет восстановлен автоматически