记一次aes dfa 逆向,frida 注入故障

分析

可以看到符号并没有抹除.

我们进入 AES_ECB_encrypt 看看

可以看到 sub_20B14 被调用了三次，这显然是轮密钥加的操作.
第一轮与 key0 做异或
第2到10轮与 key1-9 做异或
第11轮与 key10 做异或

进入到 sub_20BAC, 看看实现

再看看 byte_16CD5

这明显是一个查表的操作, 而且 0x63, 0x7C, 0x77, 0x7B, 0xF2, 0x6B, 0x6F 明显是AES 的 S盒, 专用于字节替换.

再来看看 sub_20C3C 的实现.

这看起来似乎是循环左移的操作.

那 sub_20D2C 大概率是列混淆的操作了.

a1 大概率是 state.

我们试试在倒数第二轮修改state 的某个值.

可以看到 i== 10 就退出了, 我们期望 i==9 时候, 修改 state 的值.

这里介绍一个ida插件, 可以生成 frida 代码

ida 插件 gen_frida

function hookwbShiftRows(){
    var count = 0;
    var base_addr = Module.findBaseAddress("libaes.so");
    //var real_addr = base_addr.add(0x20C3C)
    var real_addr = base_addr.add(0x20D2C)
    Interceptor.attach(real_addr, {
        onEnter: function (args) {
            count += 1;
            if(count%9 === 0){
                //console.log(hexdump(args[0]))
                args[0].add(randomNum(0,15)).writeS8(randomNum(0, 0xff));
                //args[0].add(randomNum(0,15)).writeU8(randomNum(0, 0xff));
            }
        }
    });
}

函数名没来得及改, hook循环左移, 但不影响, 我们实际hook的是列混淆函数

一共是九次列混淆, 最后一轮计算中并没有列混淆的操作. 所有当 i==9 时, 注入一个字节. 在哪里注入? 在arg[0] + offset 的位置注入无符号字节, 0-255之间

我们怎么来主动 call 呢?

答曰 : 从java 层或者 native层主动call
我这里从native层没有找到好的时机, 因为 aes的第一个入参是 &ctx, 这是个结构体. 所以我尝试从 java层多次call

Java.perform(function () {
    // 替换为你实际的类名
    var TargetClass = Java.use("com.example.aes.MainActivity");

    // 构造 byte[] 参数
    function stringToByteArray(str) {
        var bytes = Java.array('byte', Array.from(str, c => c.charCodeAt(0)));
        return bytes;
    }

    var data = stringToByteArray("1111222233334444");
    var key = stringToByteArray("1234567890123456");

    for(var i=0;i<100;i++){
        var result = TargetClass.openssl_encrypt(data, key);
        // console.log("Encrypted result: " + result);
        console.log(result);
    }

});

下面给出完整的 dfa 注入错误的代码


function hexToBytes(hex) {
    for (var bytes = [], c = 0; c < hex.length; c += 2)
        bytes.push(parseInt(hex.substr(c, 2), 16));
    return bytes;
}

function randomNum(minNum,maxNum){
    if (arguments.length === 1) {
        return parseInt(Math.random() * minNum + 1, 10);
    } else if (arguments.length === 2) {
        return parseInt(Math.random() * (maxNum - minNum + 1) + minNum, 10);
    } else {
        return 0;
    }
}

function hookwbShiftRows(){
    var count = 0;
    var base_addr = Module.findBaseAddress("libaes.so");
    //var real_addr = base_addr.add(0x20C3C)
    var real_addr = base_addr.add(0x20D2C)
    Interceptor.attach(real_addr, {
        onEnter: function (args) {
            count += 1;
            if(count%9 === 0){
                //console.log(hexdump(args[0]))
                args[0].add(randomNum(0,15)).writeS8(randomNum(0, 0xff));
                //args[0].add(randomNum(0,15)).writeU8(randomNum(0, 0xff));
            }
        }
    });
}


function hook_0x491A0() {
    let base_addr = Module.findBaseAddress("libaes.so");

    Interceptor.attach(base_addr.add(0x20964), {
        onEnter(args) {
            console.log(`call 0x491A0 arg0:${args[0]} arg1:${args[1]}`);
        }
    });
}



function bufferToHex (buffer) {
    return [...new Uint8Array (buffer)]
        .map (b => b.toString (16).padStart (2, "0"))
        .join ("");
}

function dfa(){


    hookwbShiftRows();
    Java.perform(function () {
        // 替换为你实际的类名
        var TargetClass = Java.use("com.example.aes.MainActivity");

        // 构造 byte[] 参数
        function stringToByteArray(str) {
            var bytes = Java.array('byte', Array.from(str, c => c.charCodeAt(0)));
            return bytes;
        }

        var data = stringToByteArray("1111222233334444");
        var key = stringToByteArray("1234567890123456");

        for(var i=0;i<100;i++){
            var result = TargetClass.openssl_encrypt(data, key);
            // console.log("Encrypted result: " + result);
            console.log(result);
        }

    });

}

然后执行 frida 注入

将结果复制到文件 aes_dfa_result.txt 中, 第一行添加正确的加密的结果.

import phoenixAES

# phoenixAES.crack_file('aes_128_dfa.txt', [], True, False, 3)  # crack_file的第三个参数传入False，代表这是一个解密过程
phoenixAES.crack_file('aes_dfa_result.txt', [], True, False, 3)  # crack_file的第三个参数传入False，代表这是一个解密过程