Android进程注入

Android进程注入
1. 基本知识

由于Android系统使用的是Linux内核，在Linux上使用的很多攻防技术都能被应用到Android上，进程注入技术就是其中一种。以下有关进程注入的描述大多针对Linux/Android环境。

进程注入技术也可以称为动态注入技术，是代码注入技术的一种。代码注入技术可分为静态注入和动态注入两种。静态注入针对可执行文件（如ELF或者PE格式的文件），通过修改文件内容实现代码注入。动态注入针对进程，通过修改寄存器、内存值等实现代码注入。

相对于静态注入，进程注入不需要不需要改动源文件，但是需要高权限才能够执行，例如在Android系统上，需要system或者root权限才能够进行进程注入操作。



进程注入一般情况下有以下几方面的目的：

1) 增强目标进程的功能；

2) 修复目标进程缺陷；

3) 劫持目标进程函数；

4) 窃取目标进程数据；

5) 篡改目标进程数据。

而在调试程序时，可以有以下几方面的能力：

1) 查看和修改内存；

2) 查看和修改寄存器；

3) 跟踪和改变指令执行和跳转；

4) 查看线程调用堆栈；

……

通过对比可以看出，使用调试程序的方式，可以达到进程注入的所有目的。进程注入技术可以说是一种调试技术。

在Linux系统上，通过系统提供的ptrace()函数可以完成上面所述的调试功能。

Linux的man文档中有如下解释：

The ptrace() system call provides a means by which one process (the"tracer") may observe and control the execution of another process(the "tracee"), and examine and change the tracee's memory and registers.

ptrace()函数定义如下：

long ptrace(enum __ptrace_request request, pid_t pid, void *addr,void *data);

其中，request参数决定了要调用的功能，pid指定要操作的目标进程，addr指向目标进程的一个内存地址，data指向自身进程的一个内存地址。

常用的request参数如下：

PTRACE_ATTACH 附加到指定进程

PTRACE_DETACH 脱离指定进程

PTRACE_GETREGS 读取寄存器

PTRACE_SETREGS 设置寄存器

PTRACE_PEEKTEXT 从内存地址读取一个word

PTRACE_POKETEXT 往内存地址写入一个word

……

使用PTRACE_PEEKTEXT或者PTRACE_POKETEXT参数时，每次只能读或者写一个word，而针对Android系统，由于大多数Android系统使用的32位arm处理器，在32位ARM架构的有关资料中可以看到：

When used in relation to the ARM:

Byte means 8 bits
Halfword means 16 bits (two bytes)
Word means 32 bits (four bytes)

即在32位ARM架构下，使用PTRACE_PEEKTEXT或者PTRACE_POKETEXT参数时一次只能读或写4字节。

2. 一般过程

下面，以Android系统上，在目标进程中执行一段自定义代码为例进行讲解。

由于在目标进程中执行自定义代码时，基本上需要对代码进行一定的修改才能正常执行，故自定义代码一般比较短，大多只完成加载动态库，执行动态库中的函数，恢复原始环境等少数几个功能，在动态库的函数中实现复杂的功能。一个示意性代码如下：

void * handle = dlopen("libXXX.so", RTLD_NOW);

void * func_addr = dlsym(handle_legacy, "xxx");

func_addr(arg);

// 恢复目标进程上下文

Restore Regs

进程注入的一般过程如下：



大多数过程都是使用ptrace()函数实现，只是使用的request参数不同，对应关系如下：



使用mmap()函数申请一块内存也是通过ptrace()函数在目标进程调用mmap()函数来实现的。

示意性效果，在一个不断打印“I’mA.”的程序中插入”I’m CCCCCCCC.”



3. 参考资料

[1] ptrace：http://man7.org/linux/man-pages/man2/ptrace.2.html

[2] ARM Teaching Material ：http://www.arm.com/zh/files/ppt/ARM_Teaching_Material.ppt

[3] 进击的Android注入术：/article/7709821.html

[4] LibInject：http://bbs.pediy.com/showthread.php?t=141355