一文搞懂 SO 脱壳全流程：识别加壳、Frida Dump、原理深入解析
💡
原文中文，约9200字，阅读约需22分钟。
📝
内容提要
本文介绍了如何使用 Frida 工具快速判断和脱壳 Android SO 文件。通过 IDA 检测 SO 文件结构异常，利用 frida_dump 脱壳并修复文件，最终实现正常识别和分析。文章详细描述了操作步骤和代码实现。
🎯
关键要点
- 使用 IDA 检测 SO 文件结构异常，提示无法正确识别 ELF 文件结构。
- Frida Dump 是基于 Frida 的 SO 和 DEX 的脱壳工具。
- 通过 frida_dump 脱壳并修复文件，生成带有 _fix 后缀的 SO 文件。
- 使用 dump_so.js 脚本查找目标 SO 或打印所有 SO 信息。
- Frida 连接目标 Android 进程，加载 dump_so.js 脚本以获取 SO 文件的基地址和大小。
- 使用 SoFixer 工具修复转储的内存数据，重建 ELF 文件结构。
- Frida 通过 solist 找到内存中的 SO 信息，关键在于定位解密后的 .so 在内存中的地址和大小。
- solist 是 linker 中的静态变量，记录已加载的共享库信息。
- 文中技术信息仅供参考，读者需遵守相关法律法规，使用时需谨慎。
❓
延伸问答
如何判断一个 SO 文件是否加壳？
使用 IDA 打开 SO 文件，如果提示无法正确识别 ELF 文件结构，并出现红色的汇编代码块，可能说明该文件被加壳。
Frida Dump 是什么？
Frida Dump 是基于 Frida 的工具，用于脱壳 SO 和 DEX 文件，能够快速提取和修复文件。
如何使用 Frida 进行 SO 文件的脱壳？
首先连接目标 Android 进程，加载 dump_so.js 脚本，然后使用 frida_dump 脱壳并修复文件，生成带有 _fix 后缀的 SO 文件。
SoFixer 工具的作用是什么？
SoFixer 工具用于修复转储的内存数据，重建 ELF 文件结构，使得 IDA 可以正常识别文件。
如何查找目标 SO 文件的信息？
可以使用 dump_so.js 脚本，通过 Frida 连接目标进程，调用相关函数查找目标 SO 文件或打印所有已加载的 SO 信息。
Frida 如何定位内存中的 SO 信息？
Frida 通过枚举模块的方式，遍历 linker 内部维护的 soinfo 链表，获取已加载的 SO 文件的基地址和大小。
➡️
