后端课：FART脱壳王学习心得

用户567107239904
185 阅读6分钟

e154002750821088-71e3ab359484f62f-001a543899a04393235752fea8e15a50_副本.jpg

FART脱壳王实战指南：从原理到实战的加固应用逆向全流程

FART(Function-level Automatic Reconstructing Tool)作为ART环境下最强大的动态脱壳工具之一，已成为逆向工程师突破各类Android应用加固方案的利器。本文将系统性地介绍FART从核心原理到实战操作的全流程技术体系。

一、FART技术背景与核心优势

1. FART的定位与发展

FART诞生于Android安全研究领域对抗加固技术的需求，其核心价值体现在：

  • 全类型对抗：能有效处理整体型(一代)、抽取型(二代)及VMP型(三代)加固方案，特别是针对360加固等商业壳的代码抽取保护
  • 动态脱壳机制：通过主动调用触发壳程序解密，在内存中捕获原始Dex代码，相比静态脱壳更适应现代加固技术
  • 完整代码还原：不仅能导出Dex文件，还能通过CodeItem回填修复被nop指令占位的函数体，解决抽取型壳的核心痛点

2. 技术对比优势

与其他脱壳工具相比，FART具有显著优势：

  • 与Frida-DexDump对比：FART基于ART源码修改，能更底层地捕获函数体代码，而Frida-DexDump依赖内存扫描可能遗漏抽取的函数
  • 与Youpk对比：FART的主动调用体系更完善，能处理VMP保护的代码，而Youpk更侧重快速脱壳
  • 环境适应性：通过修改可支持Android 6.0到最新版本，覆盖更广的设备范围

二、FART核心技术原理剖析

1. 脱壳三阶段模型

FART的脱壳过程建立在Android运行时机制之上，包含三个关键阶段：

Hook点选择阶段：

  • 重点监控Application.attachBaseContext和onCreate方法，这是加固壳获取执行权的首要入口
  • 通过修改ART源码插入脱壳点，在类初始化时自动捕获内存中的DexFile结构
  • 关键Hook点包括：DexFile::OpenCommon、ClassLinker::LoadClass等ART核心方法

主动调用体系：

  • 遍历目标应用的所有类方法，强制触发代码解密流程
  • 对VMP保护的方法，结合Frida动态插桩获取虚拟机解释执行的中间码
  • 采用广度优先策略调用类方法，确保覆盖所有可能路径

数据重组流程：

  • 将捕获的CodeItem二进制数据(.bin文件)按偏移量回填至对应Dex位置
  • 自动修复Dex头校验和等元数据信息
  • 校验修复后的Dex文件有效性，确保可被反编译工具正常解析

2. 类加载机制深度利用

FART充分利用Android的类加载机制实现深度脱壳：

  • 双亲委派机制：通过监控PathClassLoader和DexClassLoader的加载链条，定位真实业务代码
  • 动态加载处理：拦截DexClassLoader调用链捕获运行时注入的代码
  • 多DEX支持：并行监控多个Dex文件的加载过程，确保完整覆盖

三、FART环境搭建全指南

1. 模拟器环境配置（推荐新手）

雷电模拟器方案：

  1. 安装雷电模拟器(建议选择Android 9.0镜像)
  2. 通过内置的Xposed安装器部署Xposed框架
  3. 下载FART模块并推送到模拟器安装
  4. 配置存储重定向解决沙箱限制（关键步骤）

环境验证：

  • 检查/data/local/tmp目录写入权限
  • 监控logcat输出确认脱壳线程正常启动
  • 测试样本建议选择已知加固方案的应用(如360加固免费版)

2. 真机环境配置（高版本适配）

小米真机方案：

  1. 申请官方Bootloader解锁（需小米账号绑定）
  2. 刷入Magisk获取ROOT权限（注意选择稳定版本）
  3. 使用LSPosed替代传统Xposed框架（兼容Android 11+）
  4. 修改FART输出路径绕过Scoped Storage限制

关键调整：

  • 修改FART模块包名和类名，避免被壳程序特征检测
  • 使用Frida脚本临时禁用ptrace反调试机制
  • 注入延时逻辑绕过时间差校验

四、FART实战脱壳全流程

1. 标准三步脱壳法

步骤1：环境准备

  • 安装目标APK并授予存储权限（必须步骤）
  • 确认FART模块已激活并针对目标包名
  • 准备adb工具和文件管理环境

步骤2：执行脱壳

  • 启动目标应用并遍历主要界面（触发代码加载）
  • 监控logcat输出，等待"fart run over"提示
  • 对于复杂应用，保持运行状态2-3分钟确保完整脱壳

步骤3：结果导出

  • 通过adb pull导出/sdcard/fart/[包名]目录
  • 检查dex和bin文件的完整性和时间戳
  • 使用jadx-gui验证反编译结果质量

2. 复杂场景处理技巧

多DEX应用处理：

  • 延长监控窗口至5分钟以上，确保所有插件DEX加载完成
  • 检查每个dex文件的完整性，可能存在部分抽取情况
  • 合并多个dex时注意类冲突问题

VMP加固对抗：

  • 结合Frida进行动态插桩，捕获解释执行流
  • 调整主动调用频率（建议100-200ms间隔）
  • 重点分析native层so文件的保护逻辑

函数级抽取修复：

  • 检查bin文件与dex的对应关系
  • 使用FART配套的修复工具进行CodeItem回填
  • 验证关键类（如Application、MainActivity）的完整性

五、FART进阶应用与源码定制

1. 源码级修改策略

核心代码结构：

  • Hooker.java：包含关键Hook点实现
  • DexFileDumper：负责内存dex提取
  • MethodExecutor：实现主动调用逻辑

常用定制方案：

  • 修改输出路径适配Android 11+： 
    // 修改Constants.java中的DEFAULT_DUMP_DIR
public static final String DEFAULT_DUMP_DIR = "/sdcard/Android/data/[包名]/cache/fart/";
  • 过滤特定包名： 
    // 在Hooker中添加包名检查
if(!targetPackage.equals("com.target.package")) return;
  • 优化主动调用策略： 
    // 调整MethodExecutor中的调用间隔
Thread.sleep(150); // 毫秒

2. 与其他工具协同工作

Frida组合技：

  • 使用Frida脚本绕过反调试： 
    Interceptor.attach(Module.findExportByName("libc.so", "ptrace"), {
  onEnter: function(args) {
    this.retval = -1;
  }
});
  • 动态修改类加载行为： 
    Java.perform(function() {
  var DexClassLoader = Java.use("dalvik.system.DexClassLoader");
  DexClassLoader.loadClass.overload('java.lang.String').implementation = function(name) {
    console.log("Loading class: " + name);
    return this.loadClass.call(this, name);
  };
});

Xposed模块增强：

  • 监控Application生命周期： 
    XposedHelpers.findAndHookMethod("android.app.Application", 
  lpparam.classLoader, "onCreate", new XC_MethodHook() {
    protected void afterHookedMethod(MethodHookParam param) {
      // 触发脱壳逻辑
    }
  });

六、典型问题分析与解决

1. 常见问题排查

脱壳不完整：

  • 现象：部分类或方法缺失
  • 解决方案：增加主动调用时间，检查反调试绕过是否生效

dex文件损坏：

  • 现象：jadx无法解析
  • 解决方案：使用010 Editor手动修复dex头，或重新脱壳

应用崩溃：

  • 现象：脱壳过程中目标应用闪退
  • 解决方案：调整Hook点，减少侵入性，或使用沙箱环境

2. 性能优化建议

  • 针对大型应用（>100MB）：

    • 增加JVM堆内存：-Xmx4g
    • 分模块脱壳策略
    • 使用SSD存储加速文件操作

  • 长期运行优化：

    • 实现增量脱壳机制
    • 添加异常恢复逻辑
    • 日志分级输出控制

通过掌握FART从原理到实战的完整技术体系，逆向工程师能够有效突破市面上90%以上的Android加固方案，为安全分析和漏洞挖掘奠定基础。建议结合具体加固方案特点，灵活调整脱壳策略，并持续关注FART社区的最新发展。

avatar
文章
阅读
粉丝