SO逆向实战：Unidbg模拟执行中的JNI上下文补全与初始化函数追踪

1. Unidbg模拟执行中的JNI上下文问题解析

第一次用Unidbg模拟执行SO文件时，很多朋友都会遇到一个经典问题：明明代码逻辑完全正确，但调用目标函数时却莫名其妙崩溃退出。这种情况十有八九是因为JNI上下文环境缺失导致的。就像你去参加考试却忘了带准考证，考场保安肯定不会放你进去。

在实际案例中，我们遇到一个典型的SO文件保护场景。目标函数main203需要传入两个参数：一个是整数203，另一个是包含三个元素的对象数组。按照常规思路搭建Unidbg环境后直接调用，结果却立即崩溃退出。通过Frida动态追踪发现，真实App在调用main203之前，会先调用一个参数为111的main函数（我们称之为main111），这个函数就是关键的初始化函数。

2. 动态追踪与初始化函数定位

2.1 Frida与JNItrace的黄金组合

要找出隐藏的初始化函数，Frida和JNItrace是最佳拍档。我习惯先用spawn模式启动目标应用，然后在SO加载的瞬间注入检测代码：

var android_dlopen_ext = Module.findExportByName(null, "android_dlopen_ext"); Interceptor.attach(android_dlopen_ext, { onEnter: function(args) { var soName = args[0].readCString(); if(soName.indexOf("libtarget.so") !== -1) { this.targetSo = true; } }, onLeave: function(retval) { if(this.targetSo) { var jniOnload = Module.findExportByName("libtarget.so", "JNI_OnLoad"); Interceptor.attach(jniOnload, { onLeave: function(retval) { hookAllNativeMethods(); } }); } } });

这个技巧的关键点在于：在JNI_OnLoad执行完毕后立即hook所有native方法，这样就能捕捉到SO加载后的初始调用序列。

2.2 初始化函数验证方法

通过以下三步可以准确定位初始化函数：

1. 在JNI_OnLoad之后立即调用目标函数，确认是否返回null
2. Hook所有native方法，在每个方法调用后尝试执行目标函数
3. 对比前后调用结果变化，确定关键转折点

在我们的案例中，发现当main111执行后，main203就能返回有效结果。这就像玩游戏要先完成新手任务才能解锁主线关卡一样，main111就是那个"新手任务"。

3. JNI环境补全实战

3.1 Java上下文补全技巧

Unidbg模拟环境中缺失的Java上下文主要包括：

• 应用上下文（Application Context）
• 包信息（PackageInfo）
• 签名信息（Signature）
• 设备信息（Build.VERSION等）

补全方法是通过继承AbstractJni类并重写相关方法：

@Override public DvmObject<?> callStaticObjectMethodV(BaseVM vm, DvmClass dvmClass, String signature, VaList vaList) { switch(signature) { case "com/example/NBridge->getAppContext()Landroid/content/Context;": return vm.resolveClass("android/content/Context").newObject(null); case "com/example/NBridge->getVersion()Ljava/lang/String;": return new StringObject(vm, "1.0.0"); } return super.callStaticObjectMethodV(vm, dvmClass, signature, vaList); }

3.2 文件系统重定向方案

当SO需要读取特定文件时（如apk自身路径），可以通过两种方式解决：

方法一：物理文件部署

unidbg-android └── src └── test └── java └── com └── target ├── data │ └── app │ └── com.target │ └── base.apk └── libtarget.so

方法二：代码动态重定向

public class MyResolver extends AbstractJni implements IOResolver { @Override public FileResult resolve(Emulator<?> emulator, String pathname, int oflags) { if(pathname.equals("/data/app/com.target/base.apk")) { return FileResult.success(new SimpleFileIO(oflags, new File("unidbg/test/resources/target.apk"), pathname)); } return null; } }

4. 完整调用链构建

4.1 初始化函数调用实现

确定了main111是初始化函数后，需要在Unidbg中正确实现其调用：

public void initialize() { List<Object> list = new ArrayList<>(); list.add(vm.getJNIEnv()); list.add(0); // jclass list.add(111); // 初始化函数标识 // 构造空对象数组 DvmObject<?> obj = vm.resolveClass("java/lang/Object").newObject(null); ArrayObject array = new ArrayObject(obj); list.add(vm.addLocalObject(array)); module.callFunction(emulator, 0x5A38D, list.toArray()); }

4.2 目标函数调用注意事项

成功调用初始化函数后，调用目标函数时还需要注意：

1. 参数类型必须严格匹配
2. Java对象需要正确添加到VM上下文
3. 返回结果需要适当类型转换

public String executeTarget() { List<Object> args = new ArrayList<>(); args.add(vm.getJNIEnv()); args.add(0); args.add(203); // 函数标识 // 构造参数数组 StringObject strParam = new StringObject(vm, "param1"); ByteArray byteParam = new ByteArray(vm, "param2".getBytes()); DvmInteger intParam = DvmInteger.valueOf(vm, 3); vm.addLocalObject(strParam); vm.addLocalObject(byteParam); vm.addLocalObject(intParam); ArrayObject params = new ArrayObject(strParam, byteParam, intParam); args.add(vm.addLocalObject(params)); Number result = module.callFunction(emulator, 0x5A38D, args.toArray())[0]; return vm.getObject(result.intValue()).getValue().toString(); }

5. 常见问题排查指南

5.1 段错误(Segmentation Fault)分析

遇到段错误时，可以按照以下步骤排查：

1. 检查JNI环境是否完整初始化
2. 验证所有Java对象是否正确添加到VM
3. 确认native函数地址是否正确
4. 检查参数类型和数量是否匹配

5.2 JNI方法调用失败处理

当JNI方法调用返回异常时，建议：

1. 开启Unidbg的verbose日志
2. 对比真实设备上的JNItrace日志
3. 检查方法签名是否完全一致
4. 验证参数传递方式是否正确

vm.setVerbose(true); // 开启详细日志

6. 性能优化建议

6.1 缓存优化策略

频繁调用的JNI方法可以缓存结果：

private Map<String, DvmObject<?>> methodCache = new HashMap<>(); public DvmObject<?> cachedCall(String methodSig) { if(!methodCache.containsKey(methodSig)) { DvmObject<?> result = //... 实际调用逻辑 methodCache.put(methodSig, result); } return methodCache.get(methodSig); }

6.2 多线程调用注意事项

在Unidbg中使用多线程时需要注意：

1. 每个线程需要独立的JNIEnv
2. 共享对象需要加锁保护
3. 避免同时修改VM状态

public void threadSafeCall() { synchronized(vm) { // 线程安全的方法调用 } }

7. 扩展应用场景

掌握了JNI上下文补全技术后，可以应对更复杂的场景：

1. 多个SO文件的交叉调用
2. 动态注册的JNI方法处理
3. 依赖Android系统服务的场景
4. 需要特定设备信息的场景

在实际项目中，我曾遇到一个需要模拟GPS位置的案例。通过补全LocationManager相关上下文，最终成功让SO获取到了预设的位置信息。这就像给虚拟人物伪造身份证件，虽然信息是假的，但系统会认为是真的。