S1nec-1o's B1og

spHunter - Android 设备指纹采集工具前记新手练手项目：https://github.com/s1nec-1o/sphunter-x 📖 项目简介spHunter 是一个功能强大的 Android 设备指纹采集工具，能够从 Java 层和 Native 层全面收集设备指纹信息。该项目采用模块化架构设计，通过反射机制调用 Hidden API，并使用 JNI 技术访问底层系统信息，为设备识别和安全分析提供全面的数据支持。 ✨ 主要功能 Java 层指纹采集：通过 Android SDK API 和反射机制获取设备信息 Native 层指纹采集：通过 JNI 调用 C++ 代码直接访问系统底层信息 Hidden API 调用：使用反射机制绕过 Android 限制，访问隐藏的系统 API 数据清洗与结构化：将采集的原始数据清洗并格式化为 JSON 格式 安全分析：检测模拟器、Root、调试模式、Zygisk 注入等安全风险 🏗️ 项目架构123456789101112131415161718192021222324com.sheep.sphunter/├── ui/ ...

前言本文的项目来自于https://github.com/happylishang/AntiFakerAndroidChecker/ 模拟器检测MainActivity.java在demo中展示的就是检测模拟器的代码 onCreate1234super.onCreate(savedInstanceState);binding = ActivityMainBinding.inflate(getLayoutInflater());setContentView(binding.getRoot());mActivity = this; 设置mActivity为当前MainActivity的实例，方便调用 123456789101112131415161718/** * 子进程检测是否是模拟器，不影响UI线程 */binding.btnAsyncSimu.setOnClickListener(v -> EmuCheckUtil.checkEmulatorFromCache(getApplicationContext(), new EmuCheckUtil.CheckEmu ...

前言本文几乎都是来自于珍惜any大佬的文章，主要是作为小白的学习记录 原文： https://bbs.kanxue.com/thread-273838.htm https://bbs.kanxue.com/thread-273759.htm https://bbs.kanxue.com/thread-277402.htm https://bbs.kanxue.com/thread-277637.htm 其中一些较为难懂的（其实是我看不懂）的代码都做了分析的随笔（其实是AI） 基本概念设备指纹（Device Fingerprint） 设备指纹是应用用来识别你手机的一种技术，类似于给你的设备一个”身份证” 它会收集你的：IMEI、Android ID、MAC地址、设备型号、屏幕分辨率等信息 应用通过这些信息来识别是否是同一台设备，用于风控、防作弊等 Hook Binder Binder是Android的核心IPC（进程间通信）机制 应用获取设备信息时，都要通过Binder与系统服务通信 123应用 → Binder → 系统服务（获取IMEI等信息） ↑ Hook这里 ...

前言只做学习记录的备份，来自于 [原创]Android漏洞之战（11）——整体加壳原理和脱壳技巧详解 《安卓逆向这档事》 Android App启动流程 Zygote进程fork的第一个进程是：SystemServer进程，SystemServer进程主要进行以下的工作 Android APP安装1234· 系统启动时安装，没有安装界面· 第三方应用安装，有安装界面，也是我们最熟悉的方式· ADB命令安装，没有安装界面· 通过各类应用市场安装，没有安装界面 有这四种安装模式 但是都是通过PackgeManagerService服务来完成应用程序的安装的，而PackgeManagerService服务会与installed服务通信，发送具体的指令来执行应用程序的安装、卸载等工作 123456public static final IPackageManager main(Context context, Installer installer, boolean factoryTest, boolean onlyCore) { PackageMan ...

CVE-2024-35250分析前言原文链接：https://devco.re/blog/2024/08/23/streaming-vulnerabilities-from-windows-kernel-proxying-to-kernel-part1/ 本篇文章只做学习记录，对一些不理解的概念进行了补充 Kernel Streaming简单介绍Kernel Streaming（KS） 是指 Microsoft 提供的服务，这些服务支持流式处理数据的内核模式处理。 Kernel Streaming 中，提供了三种多媒体驱动模型：port class、AVStream 和 stream class。 这些类驱动程序在系统文件 portcls.sys、stream.sys 和 ks.sys （也称为 AVStream） 中作为导出驱动程序 （内核模式 DLL） 实现。 大多数用于PCI 和DMA 型音效装置的硬体驱动程式，它处理与音讯相关的数据传输，例如音量控制、麦克风输入等等，主要会使用到的元件函式库会是portcls.sys。 主要介绍port class 和AVStream Port ...

AFL-fuzz源码阅读perform_dry_run(use_argv);1234567891011121314151617181920212223242526272829303132333435363738static void perform_dry_run(char** argv) { struct queue_entry* q = queue; u32 cal_failures = 0; u8* skip_crashes = getenv("AFL_SKIP_CRASHES"); while (q) { u8* use_mem; u8 res; s32 fd; u8* fn = strrchr(q->fname, '/') + 1; ACTF("Attempting dry run with '%s'...", fn); fd = open(q->fname, O_RDONLY); if (fd < 0) P ...

afl-fuzz源码阅读12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364656667686970717273747576777879808182838485868788899091929394959697989910010110210310410510610710810911011111211311411511611711811912012112212312412512612712812913013113213313413513613713813914014114214314414514614714814915015115215315415515615715815916016116216316416516616716816917017117217317417517617717817918018118218318418518618718818919019119219319419519619719819 ...

基本概念basic block(基本块)、edge(边)、代码覆盖率 edge就被用来表示在基本块之间的跳转，知道了每个基本块和跳转的执行次数，就可以知道程序中的每个语句和分支的执行次数，从而获得比记录BB更细粒度的覆盖率信息 代码覆盖率是一种度量代码的覆盖程度的方式，也就是指源代码中的某行代码是否已执行；对二进制程序，还可将此概念理解为汇编代码中的某条指令是否已执行。 覆盖率劫持： 劫持汇编器（afl-gcc、afl-clang、afl-g++），通过识别跳转指令，然后在其中插入一段汇编用于与AFL之间的通信(__afl_maybe_log) clang内置，LLVM 内置了一个简单的代码覆盖率检测 （SanitizerCoverage），它在函数、基本块和边缘级别插入对用户定义函数的调用。提供了这些回调的默认实现，并实现了简单的覆盖率报告和可视化 编译器将在 -fsanitize-coverage=trace-pc-guard 每个边缘插入以下代码： 1__sanitizer_cov_trace_pc_guard(uint32_t* guard_variable) 每条边都有 ...

Protobuf (Protocol Buffers) 是谷歌开发的一款无关平台，无关语言，可扩展，轻量级高效的序列化结构的数据格式，用于将自定义数据结构序列化成字节流，和将字节流反序列化为数据结构。所以很适合做数据存储和为不同语言，不同应用之间互相通信的数据交换格式，只要实现相同的协议格式，即后缀为proto文件被编译成不同的语言版本，加入各自的项目中，这样不同的语言可以解析其它语言通过Protobuf序列化的数据。目前官方提供c++，java，go等语言支持。 使用首先定义一个.proto文件 12345678syntax = "proto2";message devicemsg{ required sint64 actionid = 1; required sint64 msgidx = 2; required sint64 msgsize = 3; required bytes msgcontent = 4;} 然后根据要通过c或者python来使用，来使用相应的命令 12protoc --c_out=. tes ...

windows堆基础知识win10的memory allocator基本上分为两种： Nt Heap 默认的memory allocator 后端管理器（Back-End） 前端管理器（Front-End） SegmentHeap Win10中全新的memory allocator机制 在LFH未启用时，我们call malloc 启用LFH后，第一次或LFH能用的空间都用完时，会先跟Back-End要一大块空间来管理 启用LFH之后分配相同大小时，会直接给Front-End管理 Nt HeapBack-End数据结构_HEAP_HEAP是每个堆的核心结构，用来管理该heap，每个Heap都有一个_HEAP在heap开头 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869//0x2c0 bytes (sizeof)struct _HEAP{ un ...