小白第一次尝试清除root锁机 - 〖系统安全〗

z3960

级别: FLY版主

发帖: 786294

飞翔币: 209891

威望: 215717

飞扬币: 2613068

信誉值: 8

只看楼主更多操作 0 发表于: 2022-09-26

[font=-apple-system, BlinkMacSystemFont, &quot]偶然间看到一个求助帖：https://www.52pojie.cn/thread-762684-1-1.html[font=-apple-system, BlinkMacSystemFont, &quot]那么第一次破解经历就用它来练手。[font=-apple-system, BlinkMacSystemFont, &quot]用到的工具为笔记本Windows10 ，adb 工具，夜神模拟器（PS：逍遥模拟器锁机后，就连接不上adb了，不知为啥，猜测应该是病毒关闭了USB调试口）因为没有学过逆向分析，对Java不是很精通，只能做到清除病毒文件。个人能力有限。

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]常规流程，扔进Android Killer 里分析。

[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]出现这个提示就很尴尬了，束手无策[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]那就扔到模拟器里跑一下试试。

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]可以确定，这又是一个伪装成外挂的锁机软件。肯定需要root权限对设备进行控制。[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]赋予root权限后，设备自动重启。重启后进入锁机界面。

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]第一次发帖，不知道这个算不算留了联系方式。或者应该打个马赛克？？？[font=-apple-system, BlinkMacSystemFont, &quot]常规操作，adb 连接(需要先重启一下模拟器)

[font=-apple-system, BlinkMacSystemFont, &quot] [font=-apple-system, BlinkMacSystemFont, &quot]已经连接成功了[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]然后呢，走通用路线进入 adb shell 执行am force-stop XXXXX //强行停止XXX命令。[font=-apple-system, BlinkMacSystemFont, &quot]发现只能短暂的进入桌面后，再次回到锁机界面。[font=-apple-system, BlinkMacSystemFont, &quot]然后去百度，发现一个更好用的命令 kill pid xxx 杀掉进程。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]==以下就是自己研究可行的方式了==[font=-apple-system, BlinkMacSystemFont, &quot]（1） adb shell 命令[font=-apple-system, BlinkMacSystemFont, &quot]（2） ps 命令 // 查看当前进程项目，类似于Windows的任务管理器

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]在目录中可以找到一个奇怪的命名文件 android.liang.xia，按道理说这应该是Android的自带应用程序，但很奇怪，找到PID杀一下试试，反正是模拟器。[font=-apple-system, BlinkMacSystemFont, &quot]（3）kill pid xxx //杀进程命令，此处进程值为 706

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]执行kill pid 706 后，模拟器成功的进入了桌面

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]即使卸载这个App也没用，都知道的，只是一个外壳而已，并不是本体。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]（4）那就用另外一个命令 adb shell pm list packages -f // 获取设备安装列表和安装路径。[font=-apple-system, BlinkMacSystemFont, &quot]（PS：在执行这个命令前先exit 命令一下，退出Adb shell 模式）

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]然后就是个人的习惯了，不想一个一个找，全部复制到txt中，Ctrl F 一下

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot] 找到了那个奇怪的包名，前面的路径竟然指向另一个包。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]（5）那就用adb unintstall heiye.apk 命令删除，提示Failture。。。[font=-apple-system, BlinkMacSystemFont, &quot]应该是应用权限过高，若不是请各位指正。[font=-apple-system, BlinkMacSystemFont, &quot]那就用 re文件管理器或者其他的root管理器，进入system/app 目录中删除heiye.apk文件。我的设备提示操作失败但还是删除了。然后删除外面的那个外壳。重启系统。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]2018.7.12更新：[font=-apple-system, BlinkMacSystemFont, &quot]另外一种删除的方法，在adb shll 下，cd system/app/[font=-apple-system, BlinkMacSystemFont, &quot]然后，rm heiye.apk(病毒的父类文件)[font=-apple-system, BlinkMacSystemFont, &quot]病毒就被完全清除了。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]（6）重启设备后正常使用，执行第二、四步骤的命令，发现已经完全卸载干净了。[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]我深刻明白这并不是最好的解决方法，刷机才是最好的方法，或者这个方法对于实体机没有用。因为没有在实体机上测试过。此方法仅供参考。大佬勿喷！[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]==========[font=-apple-system, BlinkMacSystemFont, &quot]上面讲怎么清除所及文件，下面就开始聊聊如何去破解锁机密码[font=-apple-system, BlinkMacSystemFont, &quot]=============[font=-apple-system, BlinkMacSystemFont, &quot]7.13更新：[font=-apple-system, BlinkMacSystemFont, &quot]在程序释放病毒后，可以通过ADB pull 命令将病毒程序提取出来，具体使用为：[font=-apple-system, BlinkMacSystemFont, &quot]（1）adb pull system/app/heiye.apk D:test [font=-apple-system, BlinkMacSystemFont, &quot]// adb pull + Android 目录下的XX文件 + 空格 + 电脑目录（将要存放的地址，不能是磁盘下的根目录）[font=-apple-system, BlinkMacSystemFont, &quot]（2）将提取出来的程序扔进Android Killer里，查看入口。[font=-apple-system, BlinkMacSystemFont, &quot]（3）用压缩软件打开heiye.apk，将classes.dex提取出来，（我用的是7Zip），然后把这个文件扔到JEB[font=-apple-system, BlinkMacSystemFont, &quot]2中去。[font=-apple-system, BlinkMacSystemFont, &quot]PS：善意提醒，在CMD命令下检查java , javac 两个命令是否可用。此程序依赖Javac函数。

[font=-apple-system, BlinkMacSystemFont, &quot]

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]（4）找到入口函数后，右键选择Decompile 选项，就能把smail转化成为Java语句了，再去分析。如果你会Smail语句的话，就直接打开就行了，不需要转换。

[font=-apple-system, BlinkMacSystemFont, &quot][font=-apple-system, BlinkMacSystemFont, &quot]因为我对逆向根本不会，没有学过Android，主要从事Java，C和C++的学习和开发，所以更新较慢，在边学边做。不对的地方，请各位指正。