一，前言
研究仅供学习交流，如有侵权请联系删除
目前主流dump分下列这二种:
1， 提取游戏metadata和il2cpp 之后使用Il2cppDumper进行Dump
2， 使用zygisk-Dumper 进行动态Dump
但是前者大多游戏都有对metadata 与 il2cpp.so 进行加密
后者由于是透过符号查找il2cppAPI进行动态dump
但有的游戏会隐藏或加密导致获取不到il2cppAPI
这款游戏都没有办法使用上面两种直接Dump
二，分析
使用静态Dump发现失败了!
但好像可以更改il2cppDump去修复(但我打算使用动态Dump)
之后我使用动态Dump发现也同样Dump不出来
只能去看看他的SO了
我先使用readelf查看符号，发现并没有Dump需要的il2cppAPI符号
那我们把il2cpp拖入IDA看看怎么了
跑完SO直接Shift+F12查看字串
搜索il2cpp_domain_get会发现有函数用到直接进去F5!!
三，查找Il2cppAPI函数
我们发现他把字串赋值给v0 v0+1是一个函数
我就猜这个函数就是API了
我们直接查看其他游戏的API函数内部实现去对比
我们发现除了函数名不一样其他大致一样
至此我们就找到il2cppAPI了
剩下就写个工具把需要的API提取出来就可以了
四，Dump
找到API就轻松了，可以修改Zygisk-Dumper源码
或者使用Frida-Dump
这里我使用imy大佬的frida脚本进行Dump(还可以dump某盾)
· 今 日 推 荐 ·
本文内容来自网络，如有侵权请联系删除
原文始发于微信公众号（逆向有你）：安卓逆向 -- 某变种狼人杀 Dump
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论