安全攻防

通常加固会在程序运行前完成对text的解密，所以脱壳可以通过 /proc/pid/mem或/proc/pid/pagemap或/proc/pid/maps，获取到壳解密后的代码内容。

安卓native下最流行的反调试方案是通过读取进程的status或stat来检测tracepid，它主要原理是调试状态下的进程tracepid不为0。

在apk应用的so文件中函数的指令都是固定，但是如果被下了软件断点，指令就会发生改变(断点地址被改写为bkpt断点指令)，检测函数是否被修改或 被下断

zygote注入的原理 zygote注入是属于全局注入的方式，它主要是依赖于fork()子进程方式进行注入的。 目前市面上比较成熟的注入工具xposed就是基于zygote的全局注入。

在反编译app中的dex文件代码的时候就需要用于dalvik指令，所以对dalvik的掌握和数据，有利于提高对反编译代码的阅读理解。

Selinux简介 SELinux(Security-Enhanced Linux) 是美国国家安全局（NSA）对于强制访问控制的实现，是 Linux历史上最杰出的新安全子系统。

现在的背景下对android个人隐私合规管控，越来越严格了，那么在开发app过程中，就需要对所使用的权限和收集的用户个人信息有个明确的目的和范围。

1.配置文件中设置权限 首先申请权限，需要在项目的AndroidManifest.xml配置文件中进行设置要申请的权限信息，至于要申请什么权限因项目需求而定。

(注意：以下的所有操作都是基于32位的夜神模拟器进行操作的) 1.选择合适用于通讯用的server文件 首先需要将要调试的ida目录下的dbgsrv 拷贝到模拟器的目录下

以下已某app中的libEnvRelayUpdate.so文件中的java_com_tq_my_myUpdateDialog_nativeOnConfirm 为例分析。

root背景 android环境下，刷机与Root是Android手机逆向爱好者最热衷的事情。即使国行手机的用户也不惜冒着失去保修的风险对Root手机乐此不疲。

单击事件监听 2.长按监听事件 3.触摸监听事件 4.键盘监听事件 5.焦点监听事件。对事件进行分析。

android.permission.ACCESS_CHECKIN_PROPERTIES 允许读写访问 “properties”表在checkin数据库中

GOT表其实包含了导入表和导出表，导出表指将当前动态库的一些函数符号保留，供外部调用，导入表中的函数实际是在该动态库中调用外部的导出函数

ARM64位参数调用规则遵循AAPCS64，规定堆栈为满递减堆栈。 寄存器调用规则如下： X0-X7：用于传递子程序参数和结果，使用时不需要保存，多余参数采用堆栈传递

ARM64系统中 共有31个通用寄存器和2个特殊寄存器。 31个通用寄存器用X0到X30表示，两个特殊寄存器是SP和ZR。

ADC 带进位加法指令，ADD 加法指令， AND 逻辑与指令， B 分支指令， BIC 位清零指令，BL 带返回的分支指令， BLX 带返回和状态却换的分支指令

ARM处理器共有32个寄存器，其中31个是通用寄存器，6个为状态寄存器。 ARM处理器支持7种模式： 1.用户模式，2.快速中断模式，3.外部中断模式，4.管理模式， 5.数据访问等等。

Frida是一款基于python + javascript 的hook框架，通杀android\ios\linux\win\osx等各平台，基于脚本的交互。

在逆向分析android的app时候动态调试是一个非常重要的一个步骤，所以分享下在动态调试时候会用到的一些步骤