Notebook

Golang Tips

Apr 21, 2022

Go程序执行顺序

按顺序导入所有被main包引用的包，并为每个包执行init函数。导入包完成后，为main执行init函数，并开始启动main。

`init`函数

init函数无参数，无返回值，优先于main函数执行。初始化时总是单线程执行，并且严格按照包的依赖关系进行。每个源文件只能有一个init函数。

`const`类型

没有定义类型的const对象，可以在第一次被使用时确定类型。确定后该常量将无法再隐式转为其他类型。

const aa, bb, cc = "eat", 2, "ok"
const (
    a = iota
    b
    c
)

默认值

golang中所有的变量都是初始化过的。

类型	初始值
int	`0`
float	`0.0`
bool	`false`
string	`""`
pointer	`nil`

变量赋值

1
2
3

var a, b, c int
a, b, c = 1, 2, 3
a, b = b, a

Variables can be redeclared in short multi-variable declarations where at least one new variable is introduced.
Redeclaration does not introduce a new variable; it just assigns a new value to the original.

func main() {
	m := 0
	m, n := 1, 2
	fmt.Println(m, n)
}

`fmt`

fmt	意义	例子	输出
%d	整数	`fmt.Printf("%d", 3)`	3
%x	16进制	`fmt.Printf("%x", 11)`	b
%X	16进制	`fmt.Printf("%X",11)`	B
%.mg	保留几位有效数字	`fmt.Printf("%.5g", 1234.5678)`	1234.6
%f	浮点数	`fmt.Printf("%f", 1234.5678)`	1234.567800
%e	科学计数	`fmt.Printf("%e", 1234.5678)`	1.234568e+03

数字强转

浮点类型强转int时采用截断的方式：

var := 3.9
fmt.Printf("%d", int32(a))

> 3

...阅读全文

Cocos2dx相关

Jan 17, 2019

本文将介绍Cocos2d-x项目的反编译，破解和导出功能。
需要使用到：

完整root过的Android手机一部
Frida https://www.frida.re/
IDA https://www.hex-rays.com/products/ida/
adb brew install android-platform-tools

使用Frida可以下断点，改参数，改返回值，dump内存内容等各种操作。Python Binding使用起来比较上手。

Python头

# -*- coding: utf-8 -*-
import sys
import frida
import sys
import time
import os
import errno

reload(sys)
sys.setdefaultencoding('utf8')

连接设备上的Frida

device = frida.get_usb_device(1)
device.enable_spawn_gating() #捕获所有子进程
pid = device.spawn(["com.google.chrome"]) #目标应用处于暂停状态
session = device.attach(pid)

准备JS脚本
下面的脚本打印了目标应用的所有模块和模块内的所有导出函数

source = """
Java.perform(function() {
    var mo = Process.enumerateModulesSync()
    mo.forEach(function(n) {
        console.log(n.name)
        var ex = Module.enumerateExportsSync(n.name)
        ex.forEach(function(node) {
            console.log(node.name)
        })
    })
})
"""

如果运行失败可以在Java.perform外层包一个settimeout(func,0)，但这样会失去第一帧捕获系统调用和Activity创建的时机。

愉快的跑起来

script = session.create_script(source)
script.on("message", on_message)
script.load()
device.resume(pid) #恢复目标应用的执行
sys.stdin.read()

到这一步Frida的基础流程就跑通了，但像上面提到的一样，时机很重要。对Cocos2dx游戏而言，抓住libcocos2dlua.so的加载时机可以确保大多数函数都可以被截住。可以使用捕获libc.so的dlopen来找到libcocos2dlua.so的加载时机，让主代码附在applicationDidFinishLaunching：

Interceptor.attach(Module.findExportByName("libc.so", "dlopen"), {
    onEnter: function(args) {
        this._path = Memory.readUtf8String(args[0])
    },

    onLeave: function(retval) {
        if (this._path.indexOf('libcocos2dlua.so') != -1) {
            // safe to intercept with libcocos2dlua.so here
            Interceptor.attach(
                Module.findExportByName("libcocos2dlua.so","_ZN11AppDelegate29applicationDidFinishLaunchingEv"), {
                    onEnter: function(args){
                        Java.perform(function() {
                            // load additional library if needed
                            var System = Java.use('java.lang.System');
                            System.loadLibrary('mb-lib')
                            // send message to host logic (python here)
                            send('ready-to-inject')
                        })
                    }
                }
            )
        }
    }
});

snippet
std::string的支持有限，可以加载自己的库来实现相应的操作。

var mb_string_new = new NativeFunction(Module.findExportByName("libmb-lib.so", "_Z13mb_string_newPKc"), 'pointer', ['pointer'])
var mb_string_delete = new NativeFunction(Module.findExportByName("libmb-lib.so", "_Z16mb_string_deletePSs"), 'void', ['pointer'])
var mb_string_assign = new NativeFunction(Module.findExportByName("libmb-lib.so", "_Z16mb_string_assignPSsPKc"), 'void', ['pointer', 'pointer'])
var mb_string_cstr = new NativeFunction(Module.findExportByName("libmb-lib.so", "_Z14mb_string_cstrPSs"), 'pointer', ['pointer'])

function newStdString(str) {
    return mb_string_new(Memory.allocUtf8String(str))
}

function deleteStdString(ptrStr) {
    mb_string_delete(ptrStr)
}

function assignStdString(ptrStr, str) {
    // may crash when call this function in huge loop, use new/delete instead
    mb_string_assign(ptrStr, Memory.allocUtf8String(str))
}

function readStdString(ptrStr) {
    return Memory.readUtf8String(mb_string_cstr(ptrStr))
}

解析PNG

var ptrInitWithImageFile = Module.findExportByName("libcocos2dlua.so","_ZN7cocos2d5Image17initWithImageFileERKSs") 
var funcInitWithImageFile = new NativeFunction(ptrInitWithImageFile, 'int', ['pointer','pointer']);
var ptrInitWithPngData = Module.findExportByName("libcocos2dlua.so","_ZN7cocos2d5Image15initWithPngDataEPKhl")
var funcInitWithPngData = new NativeFunction(ptrInitWithPngData, 'int', ['pointer', 'pointer', 'int'])

Interceptor.replace( ptrInitWithImageFile, new NativeCallback( function(image, filename) {
        send( { action: 'filename', filename: readStdString(filename) })
        return funcInitWithImageFile(image, filename)
    }, 'int', ['pointer', 'pointer'])
);

Interceptor.replace( ptrInitWithPngData, new NativeCallback( function(image, data, length ) {
        var content = Memory.readByteArray(data, parseInt(length))
        send( { action: 'content', length: length }, content)
        return funcInitWithPngData(image, data, length)
    }, 'int', ['pointer', 'pointer', 'int'])
);

在Update函数里执行主动解析相关操作，注意到一些使用的Interceptor.replace，一些使用的Interceptor.attach。
使用replace的函数处理中调用其他可被捕获的方法时，依然可以触发目标方法的捕获。
但使用attach的函数调用其他可被捕获的方法时，不会触发目标方法的捕获。

var ptrImageNew = Module.findExportByName("libcocos2dlua.so","_ZN7cocos2d5ImageC2Ev") 
var funcImageNew = new NativeFunction(ptrImageNew, 'pointer', [])
var ptrSchedulerUpdate = Module.findExportByName("libcocos2dlua.so", "_ZN7cocos2d9Scheduler6updateEf")
var funcSchedulerUpdate = new NativeFunction(ptrSchedulerUpdate, 'void', ['pointer', 'float'])

Interceptor.replace( ptrSchedulerUpdate, new NativeCallback( function(scheduler, delta) {
        var ret = funcSchedulerUpdate(scheduler, delta)
        var current_image = funcImageNew()
        
        for (index = 0; index < file_list.length; index++) {
            var real_index = current_index + index
            var filename = file_list[real_index]
            var strFilename = newStdString(filename)
            funcInitWithImageFile(current_image, strFilename)
            deleteStdString(strFilename)
        }

        Interceptor.revert(ptrSchedulerUpdate)
        Interceptor.revert(ptrInitWithImageFile)
        Interceptor.revert(ptrInitWithPngData)

        console.log( '--> DONE' )
        return ret
    }, 'void', ['pointer', 'float'])
);

解析lua

Interceptor.attach(
    Module.findExportByName("libcocos2dlua.so","luaL_loadbuffer"),{
        onEnter: function(args){
            var content = Memory.readUtf8String(args[1])
            var name = Memory.readUtf8String(args[3])
            send( { name: name, content: content } )
        }
    }
);

解析plist

Interceptor.attach(
    Module.findExportByName("libcocos2dlua.so","_ZN7cocos2d9SAXParser5parseERKSs"),{
        onEnter: function(args){
            send( { action: 'filename', filename: readStdString(args[1]) })
        }
    }
);

Interceptor.attach(
    Module.findExportByName("libcocos2dlua.so","_ZN7cocos2d9SAXParser5parseEPKcj"),{
        onEnter: function(args){
            var content = Memory.readByteArray(args[1], parseInt(args[2]))
            send( { action: 'content' }, content)
        }
    }
);

解析Cocos2d::Data

function readDataBytesArray(ptrToData) {
    var getbytesptr = Module.findExportByName("libcocos2dlua.so", "_ZNK7cocos2d4Data8getBytesEv");
    var getsizeptr = Module.findExportByName("libcocos2dlua.so", "_ZNK7cocos2d4Data7getSizeEv");
    var getbytes = new NativeFunction(getbytesptr,'pointer',['pointer']);
    var getsize = new NativeFunction(getsizeptr,'int',['pointer']);

    var bytesarray = Memory.readByteArray(getbytes(ptrToData), getsize(ptrToData))
    return bytesarray 
}

Python中处理Message

# script.on("message", on_message) 
#   -> send(message, data) 
#       -> on_message(message, data)
def on_message(message, data):
    # message := { 'type': 'error|send|receive', 'payload': any-object }
    # data := binary-object
    if message['type'] == 'error':
        print(message)
        return
    payload = message['payload']
    ...

...阅读全文

Appstore下载ipa文件
Jan 17, 2019
使用最后一个支持ipa管理的iTunes版本: 12.6.3.6，登录帐号，选择需要下载的应用。
如果需要下载旧版本，使用 fiddler 来抓包修改版本号处理。
参考:
https://www.jianshu.com/p/4cfe15a71455
https://blog.csdn.net/DearMorning/article/details/80215664
https://sspai.com/post/37594
...阅读全文

iOS调试

Jan 17, 2019

软件与参考

1
2
3

brew install jtool
brew install ldid
brew install usbmuxd

Frida https://www.frida.re/
Frida-Github https://github.com/frida/frida/releases
frida-ios-dump https://github.com/AloneMonkey/frida-ios-dump.git
一条命令完成砸壳 http://www.alonemonkey.com/2018/01/30/frida-ios-dump/

Go

先来看一下ipa是否有壳：

file xxx.ipa/Payload/xxx
    xxx: Mach-O universal binary with 2 architectures: [arm_v7:Mach-O executable arm_v7] [arm64]
    xxx (for architecture armv7):	Mach-O executable arm_v7
    xxx (for architecture arm64):	Mach-O 64-bit executable arm64

otool -l xxx.ipa/Payload/xxx |grep crypt
     cryptoff 16384
    cryptsize 49299456
      cryptid 1
     cryptoff 16384
    cryptsize 56147968
      cryptid 1

如果显示cryptid为1，即为AppStore加壳版本，需要脱壳后才能各种操作。

脱壳需要一台完美越狱的iOS手机，将对应版本的frida-server安装到手机上。如果frida无法运行，一般需要进行签名。
创建ent.xml文件:

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>platform-application</key>
    <true/>
    <key>com.apple.private.security.container-required</key>
    <false/>
</dict>
</plist>

签名运行:

1
2
3

ARCH=arm64 ./jtool --sign --ent ent.xml --inplace frida
scp frida root@192.168.xxx.xxx:/bin
iphone shell: /bin/frida

下载frida-ios-dump进行砸壳

git clone https://github.com/AloneMonkey/frida-ios-dump.git
cd frida-ios-dump
sudo pip install -r requirements.txt --upgrade
iproxy 2222 22
./dump.py -l
./dump.py WeChat
./dump.py -b com.tencent.xin

dump出来的ipa将出现在当前目录，如果需要操作其中的Arch版本，可以用以下命令:

lipo -create xxx32 xxx64 -output xxxfat
lipo XXXX -thin armv7 -output XXXX_armv7
lipo XXXX -thin arm64 -output XXXX_arm64
lipo -info xxx

完美ipa需要两部iOS手机，一个32位（iPhone 5或以前），一个64位（iPhone 5s或以后)，分别导出armv7和arm64，再合并成新的ipa。

...阅读全文

Android调试

Jan 16, 2019

软件与参考

apktool https://ibotpeaches.github.io/Apktool/
jadx https://github.com/skylot/jadx
bytecode-viewer https://github.com/Konloch/bytecode-viewer
JDK https://www.oracle.com/technetwork/java/javase/downloads/index.html
Android Studio & Android SDK https://developer.android.com/studio/
Android NDK https://developer.android.com/ndk/downloads/
IDA https://www.hex-rays.com/products/ida/
ApkStudio https://surendrajat.github.io/ApkStudio/
ApkStudio https://github.com/vaibhavpandeyvpz/apkstudio/releases
uber-apk-signer https://github.com/patrickfav/uber-apk-signer
smali https://github.com/JesusFreke/smali

MacOS也可以用brew安装部分软件

1
2
3

brew install android-platform-tools
brew install android-ndk
brew install android-sdk

常用命令

adb shell
adb push ./xxx /storage/emulated/legacy/Download
adb pull /data/data/com.xxx.yyy/
adb pull /data/app/com.xxx.yyy/base.apk

adb forward tcp:8000 jdwp:PID
adb forward tcp:23946 tcp:23946
adb forward --remove tcp:23946

apktool b -o ./xxx_repack.apk ./xxx
apktool d xxx.apk

keytool -genkey -v -keystore xxx.keystore -alias alias_name -keyalg RSA -keysize 2048 -validity 10000
jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore xxx.keystore xxx.apk alias_name

IDA:
adb push ./android_x86_server /data
android shell: /data/android_x86_server

...阅读全文

Golang Tips

Go程序执行顺序

init函数

const类型

默认值

变量赋值

fmt

数字强转

Cocos2dx相关

Appstore下载ipa文件

iOS调试

软件与参考

Go

Android调试

软件与参考

常用命令

`init`函数

`const`类型

`fmt`