2021年1月10日17:58:50评论202 views字数 3188阅读10分37秒阅读模式

本文为看雪论坛精华文章

看雪论坛作者ID：唱过阡陌

目的

使用函数名拿到U3D非导出函数地址

起因

1. 相对u3d游戏进行hook基本上离不开 Il2CppDumper 的使用，有时候想要找个函数什么的就很麻烦，第一步就得使用上面这工具来找到函数地址。

2. 第二就是每次都要用 Il2CppDumper 来找函数地址不能方便的实现 frida 脚本的自动化，既然都用到了 frida 当然是越方便越爽。

经过

之前搞了一个通过 Il2CppDumper 拿到的 script.js 加上一点python 筛选，来实现对函数的批量断点，方便实现对点击事件或者是其他关键函数（Like：Show,Click,Button,Rewarded）多函数的批量断点，方便我们分析代码调用。

这还是不够优雅，要让他自动去拿到这些地址，我们就得读一点点，在源码层面去hook拿到一些我们需要的关键点。

分析

网上也有很多类似的相关文章，比如：

[unity]Real-time Dump：https://floe-ice.cn/archives/502

一套强劲的 Il2cpp Hook 框架：https://www.52pojie.cn/thread-978958-1-1.html

IL2CPP的原理：https://blog.csdn.net/feibabeibei_beibei/article/details/95922520

都可以去参照、去细品。

这里我讲讲我用到的东西。

分析的入口点从加载 global-metadata.dat 入手。这是一个非常标志性的入口，不管是在源码还是在IDA中都很容易的定位：

IDA中从字符串窗口搜索该关键词也可以轻松的定位到一下代码。

IDA中F5也是随意的改改名字，改改结构体就差不多一个样了。

记下未初始化的段的两个地址：

内存解析Il2cpp函数地址

在源码中让后看，可以看下面就开始对此处分配出来的内存填数据了，后面我们用的时候也是无需但是未初始化的问题。

这里的s_ImagesTable是一个指向一个 Il2CppImage 列表的开头，sizeof(Il2CppImage) = 52，可以去头文件查看。

这一步我们关注的只有 const char *nameNoExt 以及当前位置的指针位置由此写出。

运行一下就可以拿到一下内容：

这些玩意其实就是我们用Il2CppDumper拿到的哪些dll。

然后下面就可以进入正题。

使用命名空间，类名，方法名，参数个数拿到我们需要的函数内存地址以及IDA中静态分析的地址。

下面介绍两个主角函数（这里引入的两个函数都是libil2cpp.so的默认导出函数）。

位置：D:Program FilesUnityEditorDatail2cpplibil2cppil2cpp-api.cpp

* il2cpp_class_get_method_from_name

* il2cpp_class_from_name

这里为了能截图在一张中移动了函数位置 ↓

ps：这里做的事情其实，就是和做数学一样，把未知量用已知函数去代替，带入到我们能解决即可。

由此可以写出以下代码进行主动调用。

结果展示：

内存解析Il2cpp函数地址

看到此处的话目的算是勉强达到了，但是还有待优化把，比如一开始的这两个位置需要我们手动IDA去找。

新的问题

从上述结果中确实看到了我们可以成功的调用函数拿到函数的返回值，但是仅限于我们已知Il2CppImage*的时候有效，也就是仅仅在我们list_Images中列出的地址对应的子函数可以这么操作（使用il2cpp_class_from_name()获取对应的Il2CppClass），所以我们为了通用得考虑新的思路。

两个关键结构体：Il2CppImage 和 Il2CppAssembly。

从list_images中取地址：

前两个地址对应的是name和nameNoExt。

可以看到第三个指针指向的地址的第一个区域由指回来了，就是咋们的Il2CppImage*。

上面这张图不是重点，重点在上上张图第二三个圈起来的部分，也就是

TypeDefinitionIndex typeStart;
uint32_t typeCount;

这两位，分别记录了偏移位置和方法个数，偏移位置的开始在（还是去参考IDA拿到地址，同样也是bss段的一个指针）。

根据上述SeeHexA(0xcf80ec00)中可知偏移0x0，方法个数0x5c2(即1474个方法)，接下来就可以写出以下demo。

效果如下：

上述故意方法数多加一，看到最后空命名空间和<Module>基本就稳了，就是这意思没猜错。

拓展

能拓展的东西就挺多的，这就涉及最初起点了。

让 Il2CppDumperTool 脱离 Il2CppDumper 以及python脚本更易用。

搞一些通用的API Hook，比如：

* UnityEngine.GameObject.SetActive(Boolean)

* UnityEngine.Object.GetName(UnityEngine:Object):String

* UnityEngine.Application.get_identifier():String

* UnityEngine.PlayerPrefs.GetInt(String,Int32):Int32

......

以上展示只是一个简单的分析，其实就上述这样东西还是非常不好用，上述的addr并不能找到所有的方法及其地址，后续就想着让他更加智能一点，就尝试手动去解析一下结构体，然后就得到了一下效果。

首先是针对我们需要的三个参数的自动解析，主要涉及到ldr寻址：

这里为了实现找到我们需要的参数，主要是通过导出函数il2cpp_init的地址往下找找到bl进去然后再找到ldr，并解析到ldr加载的值，如果出现了“mscorlib.dll”，说明我们找到的bl是正确的，然后我们同理找下层的“global-metadata.dat”即可定位到函数 bool il2cpp::vm::MetadataCache::Initialize()。

找到上述位置后，我们稍微看一下就可以发现特征 IL2CPP_CALLOC 函数，老规矩通过这个bl指令去解析到函数地址，记录所有调用的该函数的当前地址放进数组，接下来就是通过数组访问到 [1] [4] [5] 位置就是我们需要的三个初始参数，从当前位置往上解析它，第一条 mov r0,#xx 的立即数就是我们要找的，好了介绍到这里，上效果：