CTF题GoNative破解过程记录
我对native部分真的当前了解的非常少，必须从现在起抓紧时间给它一顿暴学。
本次破解的是一到CTF题，找到正确的Flag即可。
Apk下载地址：链接：https://pan.baidu.com/s/1K6wauXK73pzO4wpueCWV9A
提取码：qola
jni.h下载地址：链接：https://pan.baidu.com/s/1DSlUORCsZVcxbvfzaJTUYg
提取码：psxs
1.老规矩吧，先拖到jeb里，给它一顿反编译。由于只有一个界面，直接查看MainActivity即可。
2.最终填入的String应该是放到FlagChecker.checkFlag方法中进入校验。查看checkFlag方法。
3.这段很容易懂，正确的字符串大体上应该长成这个屌样：“MOBISEC{X1-X2}" 。 其中X2部分是由数字组成，长度为6。最终将X1字符串和转成int值的X2传入到native方法中。
首先找到so，armeabiv-v7a: 第7代及以上的 ARM 处理器。2011年15月以后的生产的大部分Android设备都使用它.
arm64-v8a: 第8代、64位ARM处理器，很少设备，三星 Galaxy S6是其中之一。
armeabi: 第5代、第6代的ARM处理器，早期的手机用的比较多。
x86: 平板、模拟器用得比较多。
x86_64: 64位的平板。
到apk中对应的位置找到native-lib.so然后拖到IDA中一路确定，找到helloFromTheOtherSide方法，按F5查看伪代码。
bool __fastcall Java_com_mobisec_gonative_FlagChecker_helloFromTheOtherSide(int a1, int a2, int a3, int a4) { int v4; // r6 int v5; // r4 int v6; // r8 const char *v7; // r0 char *v8; // r5 size_t v9; // r0 bool v10; // zf _BOOL4 result; // r0 int v12; // r0 bool v13; // zf int v14; // r0 bool v15; // zf int v16; // r0 bool v17; // zf int v18; // r4 char dest; // [sp+6h] [bp-22h] char v20; // [sp+Bh] [bp-1Dh] int v21; // [sp+Ch] [bp-1Ch] v4 = a1; v5 = a4; v6 = a3; v7 = (const char *)(*(int (__fastcall **)(int, int, _DWORD))(*(_DWORD *)a1 + 676))(a1, a3, 0); v8 = (char *)v7; v9 = strlen(v7); v10 = v9 == 12; if ( v9 == 12 ) v10 = v5 == 31337; if ( v10 ) goto LABEL_6; LABEL_4: (*(void (__fastcall **)(int, int, char *))(*(_DWORD *)v4 + 680))(v4, v6, v8); result = 0; while ( _stack_chk_guard != v21 ) { LABEL_6: v12 = (unsigned __int8)*v8; v13 = v12 == 110; if ( v12 == 110 ) v13 = v8[11] == 111; if ( !v13 ) goto LABEL_4; strncpy(&dest, v8 + 1, 5u); v20 = 0; if ( strncmp("ative", &dest, 5u) ) goto LABEL_4; v14 = (unsigned __int8)v8[9]; v15 = v14 == 95; if ( v14 == 95 ) v15 = v8[6] == 95; if ( !v15 ) goto LABEL_4; v16 = (unsigned __int8)v8[7]; v17 = v16 == 105; if ( v16 == 105 ) v17 = v8[8] == 115; if ( !v17 ) goto LABEL_4; v18 = strcmp("so", v8 + 10); (*(void (__fastcall **)(int, int, char *))(*(_DWORD *)v4 + 680))(v4, v6, v8); result = v18 == 0; } return result; }
4.这是什么鸟玩意呀，C语言里的指针这个星那个星的，看的我到是满眼的星。传进来两个参数怎么给我整成4个int了？
首先要知道，在JNI中本地方法第一个参数是JNIEnv接口指针，指向一个个函数表，函数表中的每一个入口指向一个JNI函数。
第二个参数根据本地方法是一个静态方法还是实例方法而有所不同。本地方法是一个静态方法时，第二个参数代表本地方法所在的类；本地方法是一个实例方法时，第二个参数代表本地方法所在的对象。
其次，要导入jni.h的函数库，点File->Load file->Parse C header file 找到jni.h所在位置点打开，此时显示Compilation successful 导入成功。
点击函数第一个参数int 右键Convert to struct* 在弹出的框中选择_JNIEnv点ok。
将已经显示出来一些函数，选中右键Force call type。
然后点住第一个参数a1按住n键重命名为env。
1 bool __fastcall Java_com_mobisec_gonative_FlagChecker_helloFromTheOtherSide(_JNIEnv *env, int a2, int a3, int a4) 2 { 3 _JNIEnv *v4; // r6 4 int v5; // r4 5 void *v6; // r8 6 const char *v7; // r0 7 const char *v8; // r5 8 size_t v9; // r0 9 bool v10; // zf 10 _BOOL4 result; // r0 11 int v12; // r0 12 bool v13; // zf 13 int v14; // r0 14 bool v15; // zf 15 int v16; // r0 16 bool v17; // zf 17 int v18; // r4 18 char dest; // [sp+6h] [bp-22h] 19 char v20; // [sp+Bh] [bp-1Dh] 20 int v21; // [sp+Ch] [bp-1Ch] 21 22 v4 = env; 23 v5 = a4; 24 v6 = (void *)a3; 25 v7 = env->functions->GetStringUTFChars(&env->functions, (jstring)a3, 0); //把一个jstring指针（指向JVM内部的Unicode字符序列）
转化成一个UTF-8格式的C字符串 26 v8 = v7; 27 v9 = strlen(v7); //获取字符串长度 28 v10 = v9 == 12; 29 if ( v9 == 12 ) 30 v10 = v5 == 31337; 31 if ( v10 ) 32 goto LABEL_6; 33 LABEL_4: 34 v4->functions->ReleaseStringUTFChars(&v4->functions, v6, v8); //从GetStringUTFChars中获取的UTF-8字符串在本地代码中使用完毕后，
要使用ReleaseStringUTFChars告诉JVM这个UTF-8字符串不会被使用了，
因为这个UTF-8字符串占用的内存会被回收。 35 result = 0; 36 while ( _stack_chk_guard != v21 ) 37 { 38 LABEL_6: 39 v12 = *(unsigned __int8 *)v8; 40 v13 = v12 == 110; //”n“ 41 if ( v12 == 110 ) 42 v13 = v8[11] == 111; //”o“ 43 if ( !v13 ) 44 goto LABEL_4; 45 strncpy(&dest, v8 + 1, 5u); 46 v20 = 0; 47 if ( strncmp("ative", &dest, 5u) ) 48 goto LABEL_4; 49 v14 = *((unsigned __int8 *)v8 + 9); 50 v15 = v14 == 95; //”_" 51 if ( v14 == 95 ) 52 v15 = v8[6] == 95; 53 if ( !v15 ) 54 goto LABEL_4; 55 v16 = *((unsigned __int8 *)v8 + 7); 56 v17 = v16 == 105; //“i” 57 if ( v16 == 105 ) 58 v17 = v8[8] == 115; //“s” 59 if ( !v17 ) 60 goto LABEL_4; 61 v18 = strcmp("so", v8 + 10); 62 v4->functions->ReleaseStringUTFChars(&v4->functions, v6, v8); 63 result = v18 == 0; 64 } 65 return result; 66 }
5.是不是读起来好接受多了，从这段代码中就能分析出来，先判断传进来的X1长度是不是12，再看X2是不是等于31337，由此可得后半段字符串应为”031337}“。
c语言中对字符比较只能比较其ascii码，所以下面的步骤是先比较第一位和最后一位是不是“n”和“o”。是的话看第2到第6位是不是“ative”。
再看第10位和第7位是不是“_"，再看第8第9位是不是”i“和”s“，最后比较最后两位是不是”so“。所以前半段应该为”MOBISEC{native_is_so”。最终结果为“MOBISEC{native_is_so-031337}”。
6.破解完后如下图所示，有一说一，这个so里的逻辑很简单，非常适合我这种刚刚起步的小老弟。今后还是要把这个逆向给它一顿臭学。 
参考资料: https://www.52pojie.cn/thread-742703-1-1.html (推荐）
