CYRUS_STUDIO

Frida Stalker Frida Stalker 是 Frida 提供的一个强大的指令级追踪引擎，它能够在目标进程运行时，动态捕获每一条指令的执行情况。与传统的函数级...

前言 在移动应用的安全加固中，OLLVM（Obfuscator-LLVM） 是一种常见的代码混淆与保护手段。它通过控制流平坦化、虚假控制流、指令替换等方式，使逆向分析者很难...

前言 在 Android 的 Native 层，Java 中的 Object[] 类型参数会以 jobjectArray 的形式传递到 C/C++ 代码中。 与 JS 数组...

Android 线程相关命令 1. 获取 PID 2. 查看线程信息 方法一：进入 /proc//task 进入 adb shell 执行下面命令 这个目录中每一个子目录的...

利用 SIGTRAP 检测调试器 在 Linux 的进程管理中，信号（Signal） 是调试器与被调试进程沟通的核心机制。断点、单步执行、进程暂停与恢复等操作，背后都依赖于...

常见的反调试手段 在 Android 安全对抗中，反调试 几乎是 App 的标配。开发者往往会在关键逻辑中加入各种检测手段，只要发现进程被调试，就立即崩溃或退出，从而大幅增...

前言 在使用 Android NDK 编译 so 文件 时，默认情况下，所有 public C/C++ 函数都会被导出 。这意味着无论函数是否真正需要对外使用，它们的符号表...

前言 在 Android 应用的 Native so 中，C/C++ 字符串是最容易泄露的弱点 。只要用 IDA、Ghidra 等逆向工具打开 so，明文字符串往往一览无余...

前言 在 Android 应用安全中，Native 层 so 库往往是最容易被逆向分析的目标 。无论是游戏的核心逻辑，还是 App 的关键算法，一旦 so 被反编译，核心代...

前言 把 OLLVM 移植到 LLVM18 后，发现 -fla（控制流平坦化）不能正常使用。 关于移植过程参考这篇文章：OLLVM 移植 LLVM 18 实战，轻松实现 C...

OLLVM 简介 OLLVM（Obfuscator-LLVM）是基于 LLVM 编译器框架 的一个开源扩展项目，主要用于程序代码混淆与保护。 OLLVM 基于 LLVM 的...

前言 LLVM 是一个编译器框架 ，用来把 C/C++ 源码编译成目标文件，似乎和日常的 GCC、Clang 没什么两样。事实上，LLVM 的能力远不止于此。 相关文章：L...

1. LLVM 简介 LLVM（Low Level Virtual Machine）最初是一个编译器研究项目，如今已发展成一个模块化、可重用的编译器框架。 它包含前端（Fr...

前言 IDA Pro 作为静态分析神器，能快速反编译 so 库，展示清晰的函数结构和反汇编代码，但它对运行时行为却一无所知；而 Frida 能在设备上动态 Hook 任意函...

一、前言 在进行 Android 应用逆向分析时，很多时候仅靠静态分析（例如反编译 Java 代码或反汇编 so 库）是远远不够的。开发者常常会使用混淆、加壳、动态加载等技...

实现类似 AJM 壳的 FART 对抗功能 某视频 app 的壳在启动的时候会检测 FART 特征，日志输出如下： 使用的是 AJM 的壳，App 加载 so 文件，主动检...

前言 很多 Android 应用会把核心逻辑都写在 SO 层，并通过 RegisterNatives 动态注册 JNI 方法，把 Java 层的 native 方法和真实的...

strace 介绍 strace 是 Linux 下用于跟踪一个程序在运行时所发生的 系统调用（system calls） 和 信号（signals） 的调试工具。 它可以...

前言 FART 在默认模式下会对所有 App 执行全量脱壳： 每次 App 启动都会自动触发脱壳 对 App 内所有类进行主动调用 这种“全覆盖”方式虽然简单粗暴，但效率低...

open() 判断不严谨导致 dex 重复 dump 源码：https://github.com/CYRUS-STUDIO/FART/blob/master/fart10/...