某android游戏逆向小记各各他

apktool解包，jdgui查看jar发现代码非常少。查看代码发现它动态加载了一个he.jar。这个jar实际上是一个dex文件。这个dex文件用dex2jar反编译后发现里面代码仍然非常的少。

重新打包后打manifest.xml里面设置成debug标志为true。

重新打包后发现一直出现签名校验错误。提示到官网下载apk。于是采用ida调试so文件。最重要的so文件是libhegame.so。最重要的东西都是在这个so里面。用ida在里面跟踪，被搞的很惨，因为绕来绕去总是在lua里面。度娘后才知道lua是一个脚本语言。原来在IDA里绕的都是lua的运行平台。在解压缩包里发现assets\src里面发现大量.lua加密过的文件。看来真正的游戏是运行在lua环境里面的。在IDA里调试的时候，一个偶然的机会发现一个重要的函数load_lua。(其实也不是偶然，因为lua内容加载有几个函数，有从文件加载的，有从内存加载的，在从内存加载的地方断点，即可找到load_lua函数)，这个函数是破解的关键。它用于加载所有加密的assets\src下面的所有lua加密文件。ida的f5查看C代码，再加上静态分析手段。基本上能看到它循环读取文件，并使用密钥解密lua密文的过程。它采用的是openssl的EVP_aes_128_cbc加密方式。密钥静态分析都能得到。再加上动态调试，可以拿到所有lua文件的明文。

有一点需要特别注意的是解密时使用的，iv初始向量。它位于lua密文的前16个字节。这个不用修改。密文内容从第16个字节偏移才是真正的加密内容。openssl解密后仍然是乱码。跟踪后发现是正确的。不过是压缩过了。解压缩即可。

使用上面的函数遍历一遍lua目录，即可拿到所有lua脚本。改lua脚本就比较快了。对比签名是在SignatureUtil.lua里面，让verifysignature全返回true即可。lua修改后需要先压缩，压缩完了再加密，加密完成后再把解密前密文的前16个字节，是初始向量添加在文件的开头。再重新打包签名，即可。