当前位置：首页 > news >正文

逆向分析实战：用Unidbg和KeyFinder在Android SO里挖AES密钥（附完整Java代码）

news 2026/6/11 5:18:55

逆向工程实战：Unidbg与KeyFinder在Android SO中定位AES密钥的深度解析

逆向工程师们经常面临一个棘手问题：当目标应用将加密逻辑隐藏在native层的SO库中时，如何高效地提取关键加密参数？本文将深入探讨如何利用Unidbg模拟执行环境配合KeyFinder工具，从内存中精准定位AES密钥的全套方法论。

1. 环境搭建与工具链配置

逆向分析Android SO库的首要挑战是创建一个可控的执行环境。传统动态分析需要root设备或复杂注入，而Unidbg提供了更优雅的解决方案。

核心组件清单：

Unidbg 0.9.6+（支持ARM/ARM64指令集模拟）
KeyFinder工具包（集成AES密钥特征识别算法）
IDA Pro/Ghidra（用于初步静态分析）
JADX（Java层与native层交互分析）

配置Unidbg环境时需特别注意内存映射设置。以下是典型初始化代码片段：

AndroidEmulator emulator = new AndroidARMEmulator("com.target.app"); Memory memory = emulator.getMemory(); memory.setLibraryResolver(new AndroidResolver(23)); // API Level 23 memory.load(new File("libtarget.so")); // 目标SO库

提示：建议在x86主机上使用-Dfile.encoding=UTF-8参数运行，避免控制台输出乱码问题

2. SO库加载与函数Hook策略

成功加载目标SO后，需要通过静态分析确定关键加密函数入口。常见AES调用模式包括：

标准OpenSSL调用：通过EVP_CipherInit_ex等函数族
自定义实现：直接内联AES变换算法
白盒加密：混淆后的查表实现

使用KeyFinder的断点策略需要结合函数调用图分析。以下是典型的Hook配置示例：

emulator.attach().addBreakPoint(module.base + 0x1234, new BreakPointCallback() { @Override public boolean onHit(Emulator<?> emulator, long address) { // 在加密函数入口设置断点 Backend backend = emulator.getBackend(); byte[] stack = backend.mem_read(emulator.getContext().getStackPointer(), 256); // 分析参数传递情况 return true; } });

内存扫描优化技巧：

优先扫描非模块内存区域（堆/栈空间）
对连续零值内存块进行跳过处理
采用分块扫描策略降低内存占用

3. KeyFinder核心算法解析

KeyFinder的核心价值在于其高效的密钥特征识别算法。其工作原理可分为三个层次：

快速筛选层：基于AES密钥扩展算法的数学特征

// AES-128快速判断示例 for(int i=20; i<32; i++){ if(InputArray[i] != (InputArray[i-4] ^ InputArray[i-16])){ return false; // 非密钥特征 } }

完整验证层：执行完整的密钥扩展验证

byte[] expanded = ExpandKey128BigEdian(candidateKey); if(Arrays.equals(expanded, candidateKey)){ return KEY_TYPE.BIG_ENDIAN; }

端序适配层：自动识别大小端存储差异

public byte[] ConvertToLittleEdian(byte[] input) { byte[] output = new byte[input.length]; for(int i=0; i<input.length/4; i++){ // 4字节为单位进行端序转换 } return output; }

密钥类型识别矩阵：

特征码	密钥类型	验证方法
0xA128	AES-128标准	完整密钥扩展验证
0xA256	AES-256标准	15轮密钥扩展验证
0xM128	魔改AES-128	自定义S盒检测
0xM256	魔改AES-256	轮常数修改检测

4. 实战案例：从内存转储到密钥验证

通过一个实际案例演示完整工作流程。假设目标应用使用自定义AES实现保护通信数据。

步骤一：定位加密函数

使用JADX分析Java层native方法声明
在IDA中跟踪JNI_OnLoad初始化过程
确定加密函数偏移地址为0xA010

步骤二：配置执行环境

AesKeyFinder finder = new AesKeyFinder(emulator); List<String> funcList = Arrays.asList("A010!encrypt", "B220!key_schedule"); finder.searchEveryFunction(module.base, funcList);

步骤三：密钥提取与验证

捕获到内存候选密钥：

2B 7E 15 16 28 AE D2 A6 AB F7 15 88 09 CF 4F 3C

使用OpenSSL验证：

echo "HelloWorld" | openssl enc -aes-128-ecb -K 2B7E151628AED2A6ABF7158809CF4F3C -iv 0 -base64

对比应用加密结果确认有效性

异常处理场景：

遇到反调试检测时，需hook相关系统调用：

emulator.getSyscallHandler().addIOResolver(new DebugDetectHandler());

处理混淆代码时，结合动态符号执行提升覆盖率

5. 高级技巧与性能优化

针对复杂场景的进阶处理方法：

多线程环境处理：

emulator.getThreadDispatcher().setThreadCallback(new ThreadListener() { public void onThreadStart(Emulator<?> emulator, Thread thread) { // 跟踪线程内存分配 } });

内存扫描加速策略：

使用Bloom Filter预处理已知非密钥模式
并行化内存区域扫描
基于LRU缓存热点内存页

自定义规则扩展：

public interface KeyPattern { boolean match(byte[] data); } public class CustomAESPattern implements KeyPattern { // 实现自定义识别逻辑 }

6. 安全防护与对抗方案

随着防御技术升级，我们需要应对的新型保护手段包括：

常见防护技术：

内存加密（仅在用时解密）
代码自修改（SMC）
时序混淆检测

对抗方案示例：

public class AntiAntiDebug implements SyscallHandler { @Override public int handle(Emulator<?> emulator) { // 伪造fopen("/proc/self/status")返回值 return 0; } }

效能对比表：