1. 项目概述为什么选择radare2进行移动端逆向分析在移动应用安全研究、漏洞挖掘和功能分析领域逆向工程是一项核心技能。无论是为了安全审计、恶意软件分析还是为了理解某个应用的内部工作机制我们都需要一套强大而灵活的工具来“打开”应用的黑盒。市面上工具众多从商业化的IDA Pro、Hopper到开源的Ghidra、Binary Ninja各有千秋。但如果你问我作为一名长期在移动安全一线摸爬滚打的从业者哪款工具最能兼顾深度、灵活性和零成本我的答案始终是radare2。radare2简称r2不是一个简单的图形化工具它是一个由命令行驱动的、模块化的逆向工程框架。这个定位决定了它的学习曲线相对陡峭但同时也赋予了它无与伦比的威力和自由度。对于Android的APK或AAB和iOS的IPAradare2提供了一套完整的分析链从文件解包、二进制提取、反汇编、反编译到动态调试几乎无所不包。它不依赖特定的操作系统在Linux、macOS甚至Windows通过WSL或Cygwin上都能良好运行这对于需要在不同环境间切换的研究者来说是个巨大优势。更重要的是radare2的脚本化能力通过r2pipe和可编程性允许你将分析流程自动化构建复杂的分析流水线。当你需要批量分析数百个样本或者实现一个自定义的分析逻辑时这种能力是图形化工具难以比拟的。因此这份指南旨在为你提供一个从零开始到能够熟练使用radare2对Android和iOS应用进行静态与动态分析的完整路径。无论你是刚入门的安全研究员还是想拓宽工具链的资深分析师相信都能从中找到实用的“干货”。2. 环境准备与radare2核心配置工欲善其事必先利其器。在开始分析之前一个稳定且功能完备的radare2环境是基础。这里我推荐在Linux或macOS上搭建能获得最原生的体验。2.1 radare2的安装与更新radare2的开发非常活跃直接从Git仓库安装是获取最新功能和修复的最佳方式。打开终端执行以下命令git clone https://github.com/radareorg/radare2.git cd radare2 sys/install.sh安装脚本会处理所有的依赖和编译过程。安装完成后通过r2 -v验证版本。我强烈建议你定期更新使用git pull拉取最新代码后再次运行sys/install.sh。注意在某些Linux发行版上可能会缺少一些编译依赖如git,gcc,make,pkg-config等。如果安装失败请根据错误提示使用包管理器如apt或yum安装相应的开发包。2.2 关键插件与增强功能安装纯净的radare2已经很强但一些社区插件能极大提升体验尤其是在反编译方面。r2ghidra-dec: 这是将Ghidra强大的反编译引擎集成到radare2中的插件。对于分析复杂的ARM或ARM64代码逻辑至关重要。r2pm init r2pm -ci r2ghidra安装后在r2中使用pdg命令即可对当前函数进行反编译视图堪比专业的反编译器。iaito: 如果你不习惯纯命令行iaito是radare2的官方图形化界面。它提供了更直观的交叉引用图、控制流图和数据结构查看。r2pm -ci iaito安装后直接在终端输入iaito即可启动。不过我建议先熟悉命令行操作因为很多高级操作和脚本化在CLI中更直接。2.3 移动端分析专项环境配置分析移动应用你还需要目标平台的工具链。对于Android:Android SDK/NDK: 主要用于获取adbAndroid调试桥和必要的库文件。你可以通过Android Studio的SDK Manager安装或者单独下载命令行工具。apktool: 用于解包和重打包APK文件获取其中的DEX字节码和资源文件。r2可以直接分析APK但apktool在需要修改资源或查看Manifest时更方便。jadx: 一个优秀的DEX到Java的反编译器。虽然r2可以分析DEX但jadx提供的Java代码可读性极高常与r2配合使用先用jadx理清框架再用r2深入分析Native层。配置adb环境变量确保可以在终端直接调用。对于iOS:越狱设备或模拟器: 分析App Store下载的应用IPA通常需要一台越狱的iOS设备以便解密和提取可执行文件。对于自己开发或从其他渠道获取的未加密IPA可以直接分析。otool class-dump: macOS自带的otool是分析Mach-O文件的利器。class-dump可以导出Objective-C类的头文件对于理解iOS应用结构帮助巨大。ios-deploy: 用于在未越狱设备上安装和调试应用需开发者证书。Frida: 一个动态插桩框架虽然独立于r2但结合使用通过r2的!命令调用外部脚本能实现强大的动态分析能力。将上述工具准备好你的移动端逆向“武器库”就算初步成型了。3. Android应用逆向全流程实战让我们从一个实际的Android APK分析开始。假设我们有一个名为target.apk的应用。3.1 初步侦察与文件解包首先不要急着用r2打开APK。先进行快速侦察了解应用的基本信息。# 使用 apktool 解包查看资源、AndroidManifest.xml 和 smali 代码 apktool d target.apk -o target_output # 使用 jadx 打开快速浏览Java代码逻辑 jadx-gui target.apk通过jadx你可以快速定位到感兴趣的活动Activity、服务Service或关键的业务逻辑类。记下这些类的名称和方法。同时检查AndroidManifest.xml中声明的权限、组件和android:debuggable标志如果为true则可以直接附加调试器。接下来检查APK中是否包含原生库Native Library# 解压APK或者进入 apktool 解包后的目录 unzip -l target.apk | grep \\.so$如果存在lib/armeabi-v7a/或lib/arm64-v8a/目录下的.so文件说明应用包含了C/C代码这部分将是逆向的难点和重点也是r2大显身手的地方。3.2 使用radare2进行静态分析3.2.1 分析DEX文件radare2可以直接对APK或DEX文件进行分析。我们以分析主DEX文件为例r2 -A classes.dex-A参数表示在打开文件后自动执行aaa命令分析所有引用、函数和字符串这是一个标准的初始分析流程。进入r2的交互界面后你可以使用一系列命令进行探索i 显示文件信息。查看文件类型、架构对于DEX会是dalvik、大小等。il 列出所有类Imports/Libraries。这对于理解应用依赖的框架和第三方库非常有用。iz 列出所有字符串。寻找硬编码的URL、API密钥、调试信息等。afl 列出所有分析出的函数。DEX中的函数通常对应Java方法。s sym.类名.方法名 跳转到特定的方法。例如如果你从jadx中得知有一个类com.example.app.MainActivity的onCreate方法很关键可以尝试s sym.com.example.app.MainActivity.onCreate。pdf 反汇编当前函数。对于DEX这会显示Dalvik字节码。VV 进入可视化图形模式。这是r2的杀手锏之一可以图形化显示函数的控制流图CFG对于理解复杂逻辑极其直观。按q退出图形模式。实操心得 对于DEX分析r2的文本反汇编pdf可能不如jadx反编译出的Java代码易读。我的常用工作流是用jadx进行快速的代码逻辑梳理和关键字搜索定位到关键方法当需要深入理解某些字节码层面的细节如混淆后的控制流、动态加载的类或需要计算某个跳转的精确偏移时再使用r2进行精细分析。两者互补效率最高。3.2.2 分析原生库.so文件这才是radare2真正的主场。假设我们提取出了libnative.so。r2 -A libnative.so同样的-A进行初始分析。由于是原生ELF文件分析会更深入。架构确认 输入i查看arch字段确认是arm还是arm64。这直接影响后续的反汇编和调试。符号表分析is 列出导入符号Imports。这告诉你这个库调用了哪些外部函数如libc的malloc、printf或Android NDK的JNI函数。iE 列出导出符号Exports。这通常是库暴露给外部的接口函数对于JNI库就是那些以Java_开头的函数它们是Java层调用Native层的桥梁。定位JNI函数 这是Android逆向的核心。JNI函数命名规则为Java_{包名}_{类名}_{方法名}。你可以用is~Java_来过滤查看所有JNI函数。直接跳转到目标函数进行分析s sym.Java_com_example_app_MainActivity_encryptString pdf高级静态分析技巧重命名函数和变量 使用afn命令给当前函数一个更有意义的名字例如afn encrypt_routine。使用afv重命名局部变量。这能极大提升分析代码的可读性。注释 使用CC命令在当前位置添加注释例如CC This is the key generation loop。数据类型定义 如果你通过分析知道了某个地址指向一个结构体可以使用td命令来定义类型帮助解析内存布局。脚本化分析 对于模式化的分析任务可以编写r2脚本.r2文件或使用Python通过r2pipe库进行交互。例如自动识别并标注所有JNIEnv-调用。3.3 动态调试Android应用静态分析只能看到代码“是什么”动态调试才能知道它“做什么”。动态调试分为Java层和Native层。3.3.1 准备调试环境确保应用可调试 如果AndroidManifest.xml中的android:debuggable不是true你需要用apktool修改后重打包并签名。对于非root设备这通常意味着你需要自己编译的应用。启动应用并等待调试器 在应用启动命令中加上-D等待调试器或通过adb shell am命令启动。更通用的方法是adb shell am start -D -n com.example.app/.MainActivity端口转发adb forward tcp:8700 jdwp:PID将设备的JDWP端口转发到本地。或者使用adb forward tcp:23946 tcp:23946为Native调试做准备。3.3.2 使用r2进行Native层动态调试这是r2的另一个强项。我们假设要调试libnative.so中的JNI_OnLoad函数。以调试模式启动r2r2 -d adb://设备IP:23946 com.example.app或者如果应用已启动获取其PID后附加r2 -d PID在r2内部也可以通过!adb forward tcp:23946 tcp:23946和!adb shell am start -D -n ...等命令来操作但分开操作更清晰。在r2中操作# 连接后先让程序继续运行到入口点 dc # 列出所有映射的模块 dm # 找到 libnative.so 的基地址 # 对目标函数下断点。需要计算偏移断点地址 模块基地址 函数在文件中的偏移 # 首先在静态分析中知道 JNI_OnLoad 在文件中的偏移例如 0x1234 db 基地址 0x1234 # 或者如果模块已加载可以直接按符号下断点如果符号表存在 db sym.JNI_OnLoad # 继续运行触发断点 dc # 断下后查看寄存器、内存、反汇编代码 dr pxw 32 r0 # 查看R0寄存器指向的32字节内存以字为单位 pd 10 # 反汇编接下来的10条指令单步执行与观察ds 单步步入Step into。dso 单步步过Step over。dcu 地址 运行直到指定地址。使用afvd命令在栈帧中显示局部变量的值需要先完成函数分析af。踩过的坑 在Android高版本特别是Android 11及以上上由于SELinux策略和分区限制直接调试系统应用或某些位置的应用可能会失败。解决方案通常包括使用debuggable版本的ROM、将应用移动到/data/local/tmp目录下执行、或者修改SELinux策略需要root权限。动态调试前务必确认环境可行。4. iOS应用逆向全流程实战iOS逆向的流程与Android类似但文件格式Mach-O、工具链和系统环境有所不同。核心挑战在于应用加密FairPlay DRM和系统保护。4.1 获取解密后的可执行文件从App Store下载的应用IPA其主二进制文件通常是Payload/xxx.app/xxx是经过加密的。直接在radare2中打开它你会看到一堆无意义的代码。因此第一步是解密。越狱设备 这是最直接的方式。在越狱设备上安装应用后使用诸如Clutch、frida-ios-dump或bfdecrypt等工具可以直接从运行中的内存里dump出解密后的可执行文件。# 使用 frida-ios-dump 示例 (需要在电脑和越狱设备上配置好Frida) python3 dump.py -u 设备UDID 应用BundleID模拟器 从模拟器获取的.app包中的可执行文件是未加密的可以直接用于分析。但模拟器是x86_64架构与真机的ARM64架构不同主要用于学习流程和部分逻辑分析。获取到解密后的Mach-O文件我们称之为decrypted_app后就可以开始分析了。4.2 使用radare2进行静态分析打开文件r2 -A decrypted_app文件信息i命令会显示这是一个Mach-O 64-bit文件架构为arm64或arm64e。入口点ie显示入口点地址。对于C/C程序通常是main函数对于Objective-C程序入口点会进行一系列运行时初始化。Objective-C分析 iOS应用大量使用Objective-C。r2对ObjC有很好的支持。iS~__objc 查看ObjC相关的段section如__objc_classlist。iZ 列出所有类名、方法名和协议名。这是快速了解应用结构的绝佳方式。iz~NSString 搜索字符串寻找UI文本、API端点等。定位关键函数如果你通过class-dump获得了头文件知道了关键的类和方法例如-[ViewController loginButtonClicked:]你可以在r2中搜索这个符号is~ViewController.loginButtonClicked。或者如果你在字符串中找到了一个关键的URL可以使用axt 字符串地址来查找交叉引用从而定位到使用该字符串的函数。实操心得 对于复杂的Objective-C应用单纯看反汇编pd可能会很吃力因为方法调用是通过objc_msgSend运行时派发的。这时结合iZ输出的方法名以及使用r2ghidra插件的pdg命令进行反编译能生成更易读的伪C代码极大提升分析效率。在反编译视图中objc_msgSend调用通常会被解析成类似(*((*v1)-class)-meth)(v1, methodName:, arg2)的形式结合方法名可以推断出逻辑。4.3 动态调试iOS应用动态调试iOS应用通常需要在越狱设备上进行并使用debugserver。准备debugserver 从设备上的/Developer/usr/bin/debugserver复制出来或者使用Xcode自动部署的版本。为了允许附加任意进程需要给debugserver添加--attach权限通过codesign命令。在设备上启动debugserver# 在设备的终端中执行 debugserver *:23946 --attachApp的PID在电脑上使用r2连接r2 -d gdb://设备IP:23946下断点与调试 流程与Android Native调试类似。你可以通过符号下断点如果存在或者通过计算地址下断点。# 在 r2 连接后 db sym.-[ViewController viewDidLoad] dc注意事项 iOS的ASLR地址空间布局随机化意味着每次启动模块的基地址都会变化。因此通过符号下断点db sym.xxx是最可靠的方式因为r2会自动处理重定位。如果必须用绝对地址需要在每次启动后重新计算模块基地址通过dm查看 函数文件偏移。使用Frida进行动态插桩 虽然r2内置了调试功能但Frida在Hook函数、批量追踪调用方面更加灵活高效。你可以在r2中通过!命令调用外部Frida脚本或者两者独立使用相互印证。例如用Frida快速枚举和Hook所有CC_SHA256的调用找到加密点再用r2在该地址下断点进行细致的寄存器、内存观察。5. 高级技巧与自动化分析当你能熟练完成基础静态和动态分析后以下技巧能让你事半功倍。5.1 使用r2脚本和r2pipe进行自动化手动点击和输入命令适合探索但重复性工作应该自动化。r2支持多种脚本语言.r2文件JavaScript via r2pipePython via r2pipe。示例自动提取所有JNI函数名和地址Python#!/usr/bin/env python3 import r2pipe r2 r2pipe.open(./libnative.so) r2.cmd(aaa) # 分析 # 获取所有符号 symbols r2.cmdj(isj) jni_funcs [] for sym in symbols: if name in sym and sym[name].startswith(Java_): jni_funcs.append({ name: sym[name], vaddr: sym[vaddr], paddr: sym[paddr] }) for func in jni_funcs: print(f{func[name]} at VA: 0x{func[vaddr]:x}, PA: 0x{func[paddr]:x}) r2.quit()这个脚本可以快速生成一个JNI函数映射表方便后续分析。5.2 复杂控制流与数据流分析面对高度混淆的代码控制流平坦化、虚假跳转等r2的图形化模式VV和反编译器pdg是破局关键。图形化梳理 在VV模式下即使代码被混淆基本的块Basic Block结构依然可见。你可以通过观察块之间的连接关系手动修复一些跳转目标或者识别出模式化的混淆器特征。使用反编译器pdgr2ghidra生成的反编译代码比原始汇编更容易识别高级语言结构如循环、条件判断。混淆常常在汇编层面增加冗余指令但在反编译后的伪C代码中其核心逻辑可能更清晰。污点分析Taint Analysis 这是一个高级话题。r2通过at系列命令提供了初步的污点分析能力。你可以标记一个输入如某个寄存器的值或内存区域为“污点源”然后追踪这个污点数据在程序中的传播路径直到它影响一个关键操作如条件跳转、网络发送。这对于追踪密钥生成、输入验证逻辑非常有效。5.3 固件与系统库分析有时你需要分析的逻辑不在应用本身而在系统库中如libc.so、libandroid_runtime.so或iOS的libsystem_kernel.dylib。radare2同样可以分析这些库。获取库文件 从设备中提取adb pull或越狱设备文件系统访问。对比分析 不同Android版本或iOS版本的同一系统库可能有差异。r2的差分分析功能radiff2可以帮助你快速找出两个二进制文件之间的不同这在分析安全补丁或寻找旧版本漏洞时非常有用。radiff2 -A libc_v1.so libc_v2.so6. 常见问题排查与实战心得在实际操作中你一定会遇到各种问题。这里记录一些典型场景和我的解决方案。问题1r2打开文件后aaa分析时间极长或者卡住。原因 文件可能非常大或者包含大量未定义的数据段导致分析器陷入循环。解决 不要一上来就用-A。先使用r2不加-A打开文件然后有选择性地进行分析。例如先aa分析函数入口点再对感兴趣的段.text使用af分析函数。或者使用更轻量级的分析命令aab。问题2动态调试时断点无法命中。可能原因及排查地址错误 确认断点地址是否正确。对于PIE位置无关可执行文件或ASLR一定要使用符号断点db sym.xxx或基于当前模块基址的偏移db 当前基址 文件偏移。使用dm确认模块加载基址。时机不对 断点下得太晚函数已经执行过了。尝试在程序入口如_start、main、JNI_OnLoad或库加载初始化函数如.init_array中的函数早期下断。多线程 目标函数可能在另一个线程中执行。确保你的调试器没有过滤线程。在r2中可以用dpt查看线程用dp tid切换线程上下文。代码动态生成/修改 某些壳或保护技术会动态解密或修改代码导致静态分析的地址与实际执行地址不符。需要先分析脱壳逻辑或在内存中搜索特征码下断点。问题3反编译视图pdg显示混乱或报错。原因 r2ghidra插件对某些不常见的指令模式或高度优化的代码支持可能不完美。解决确保你使用的是最新版本的r2和r2ghidra。尝试在运行pdg前对当前函数进行更彻底的分析af; afb。回到反汇编视图pd手动分析关键片段。有时结合图形视图VV和反汇编比依赖反编译器更可靠。问题4如何高效地搜索特定模式或漏洞模式使用r2的搜索命令/指令序列可以搜索汇编指令。例如搜索可能不安全的strcpy调用/a strcpy。编写脚本 对于复杂的模式如“寻找一个接收两个参数第一个参数被用作内存分配大小第二个参数被拷贝到分配出的缓冲区的函数”最好的方法是编写一个r2pipe脚本遍历所有函数分析其指令序列和数据流。利用社区脚本 radare2社区有许多现成的脚本例如用于寻找ROP gadget的/R命令用于漏洞模式匹配的脚本等。使用r2pm -s查看可安装的社区脚本包。个人体会 radare2的强大在于它的“元”特性——它不仅仅是一个工具更是一个可以按你需求塑造的平台。初期学习命令确实有门槛但一旦熟悉那种“一切尽在掌控”的感觉是图形化工具难以给予的。我的建议是从一个小目标开始比如“找出这个应用的注册码验证逻辑”强迫自己只用r2去完成遇到问题就查手册?或社区。几个项目下来你就会发现自己已经离不开这个瑞士军刀了。最后别忘了结合其他工具如jadx、Hopper、Frida没有哪个工具是万能的取长补短才是高效之道。
1. 项目概述为什么选择radare2进行移动端逆向分析在移动应用安全研究、漏洞挖掘和功能分析领域逆向工程是一项核心技能。无论是为了安全审计、恶意软件分析还是为了理解某个应用的内部工作机制我们都需要一套强大而灵活的工具来“打开”应用的黑盒。市面上工具众多从商业化的IDA Pro、Hopper到开源的Ghidra、Binary Ninja各有千秋。但如果你问我作为一名长期在移动安全一线摸爬滚打的从业者哪款工具最能兼顾深度、灵活性和零成本我的答案始终是radare2。radare2简称r2不是一个简单的图形化工具它是一个由命令行驱动的、模块化的逆向工程框架。这个定位决定了它的学习曲线相对陡峭但同时也赋予了它无与伦比的威力和自由度。对于Android的APK或AAB和iOS的IPAradare2提供了一套完整的分析链从文件解包、二进制提取、反汇编、反编译到动态调试几乎无所不包。它不依赖特定的操作系统在Linux、macOS甚至Windows通过WSL或Cygwin上都能良好运行这对于需要在不同环境间切换的研究者来说是个巨大优势。更重要的是radare2的脚本化能力通过r2pipe和可编程性允许你将分析流程自动化构建复杂的分析流水线。当你需要批量分析数百个样本或者实现一个自定义的分析逻辑时这种能力是图形化工具难以比拟的。因此这份指南旨在为你提供一个从零开始到能够熟练使用radare2对Android和iOS应用进行静态与动态分析的完整路径。无论你是刚入门的安全研究员还是想拓宽工具链的资深分析师相信都能从中找到实用的“干货”。2. 环境准备与radare2核心配置工欲善其事必先利其器。在开始分析之前一个稳定且功能完备的radare2环境是基础。这里我推荐在Linux或macOS上搭建能获得最原生的体验。2.1 radare2的安装与更新radare2的开发非常活跃直接从Git仓库安装是获取最新功能和修复的最佳方式。打开终端执行以下命令git clone https://github.com/radareorg/radare2.git cd radare2 sys/install.sh安装脚本会处理所有的依赖和编译过程。安装完成后通过r2 -v验证版本。我强烈建议你定期更新使用git pull拉取最新代码后再次运行sys/install.sh。注意在某些Linux发行版上可能会缺少一些编译依赖如git,gcc,make,pkg-config等。如果安装失败请根据错误提示使用包管理器如apt或yum安装相应的开发包。2.2 关键插件与增强功能安装纯净的radare2已经很强但一些社区插件能极大提升体验尤其是在反编译方面。r2ghidra-dec: 这是将Ghidra强大的反编译引擎集成到radare2中的插件。对于分析复杂的ARM或ARM64代码逻辑至关重要。r2pm init r2pm -ci r2ghidra安装后在r2中使用pdg命令即可对当前函数进行反编译视图堪比专业的反编译器。iaito: 如果你不习惯纯命令行iaito是radare2的官方图形化界面。它提供了更直观的交叉引用图、控制流图和数据结构查看。r2pm -ci iaito安装后直接在终端输入iaito即可启动。不过我建议先熟悉命令行操作因为很多高级操作和脚本化在CLI中更直接。2.3 移动端分析专项环境配置分析移动应用你还需要目标平台的工具链。对于Android:Android SDK/NDK: 主要用于获取adbAndroid调试桥和必要的库文件。你可以通过Android Studio的SDK Manager安装或者单独下载命令行工具。apktool: 用于解包和重打包APK文件获取其中的DEX字节码和资源文件。r2可以直接分析APK但apktool在需要修改资源或查看Manifest时更方便。jadx: 一个优秀的DEX到Java的反编译器。虽然r2可以分析DEX但jadx提供的Java代码可读性极高常与r2配合使用先用jadx理清框架再用r2深入分析Native层。配置adb环境变量确保可以在终端直接调用。对于iOS:越狱设备或模拟器: 分析App Store下载的应用IPA通常需要一台越狱的iOS设备以便解密和提取可执行文件。对于自己开发或从其他渠道获取的未加密IPA可以直接分析。otool class-dump: macOS自带的otool是分析Mach-O文件的利器。class-dump可以导出Objective-C类的头文件对于理解iOS应用结构帮助巨大。ios-deploy: 用于在未越狱设备上安装和调试应用需开发者证书。Frida: 一个动态插桩框架虽然独立于r2但结合使用通过r2的!命令调用外部脚本能实现强大的动态分析能力。将上述工具准备好你的移动端逆向“武器库”就算初步成型了。3. Android应用逆向全流程实战让我们从一个实际的Android APK分析开始。假设我们有一个名为target.apk的应用。3.1 初步侦察与文件解包首先不要急着用r2打开APK。先进行快速侦察了解应用的基本信息。# 使用 apktool 解包查看资源、AndroidManifest.xml 和 smali 代码 apktool d target.apk -o target_output # 使用 jadx 打开快速浏览Java代码逻辑 jadx-gui target.apk通过jadx你可以快速定位到感兴趣的活动Activity、服务Service或关键的业务逻辑类。记下这些类的名称和方法。同时检查AndroidManifest.xml中声明的权限、组件和android:debuggable标志如果为true则可以直接附加调试器。接下来检查APK中是否包含原生库Native Library# 解压APK或者进入 apktool 解包后的目录 unzip -l target.apk | grep \\.so$如果存在lib/armeabi-v7a/或lib/arm64-v8a/目录下的.so文件说明应用包含了C/C代码这部分将是逆向的难点和重点也是r2大显身手的地方。3.2 使用radare2进行静态分析3.2.1 分析DEX文件radare2可以直接对APK或DEX文件进行分析。我们以分析主DEX文件为例r2 -A classes.dex-A参数表示在打开文件后自动执行aaa命令分析所有引用、函数和字符串这是一个标准的初始分析流程。进入r2的交互界面后你可以使用一系列命令进行探索i 显示文件信息。查看文件类型、架构对于DEX会是dalvik、大小等。il 列出所有类Imports/Libraries。这对于理解应用依赖的框架和第三方库非常有用。iz 列出所有字符串。寻找硬编码的URL、API密钥、调试信息等。afl 列出所有分析出的函数。DEX中的函数通常对应Java方法。s sym.类名.方法名 跳转到特定的方法。例如如果你从jadx中得知有一个类com.example.app.MainActivity的onCreate方法很关键可以尝试s sym.com.example.app.MainActivity.onCreate。pdf 反汇编当前函数。对于DEX这会显示Dalvik字节码。VV 进入可视化图形模式。这是r2的杀手锏之一可以图形化显示函数的控制流图CFG对于理解复杂逻辑极其直观。按q退出图形模式。实操心得 对于DEX分析r2的文本反汇编pdf可能不如jadx反编译出的Java代码易读。我的常用工作流是用jadx进行快速的代码逻辑梳理和关键字搜索定位到关键方法当需要深入理解某些字节码层面的细节如混淆后的控制流、动态加载的类或需要计算某个跳转的精确偏移时再使用r2进行精细分析。两者互补效率最高。3.2.2 分析原生库.so文件这才是radare2真正的主场。假设我们提取出了libnative.so。r2 -A libnative.so同样的-A进行初始分析。由于是原生ELF文件分析会更深入。架构确认 输入i查看arch字段确认是arm还是arm64。这直接影响后续的反汇编和调试。符号表分析is 列出导入符号Imports。这告诉你这个库调用了哪些外部函数如libc的malloc、printf或Android NDK的JNI函数。iE 列出导出符号Exports。这通常是库暴露给外部的接口函数对于JNI库就是那些以Java_开头的函数它们是Java层调用Native层的桥梁。定位JNI函数 这是Android逆向的核心。JNI函数命名规则为Java_{包名}_{类名}_{方法名}。你可以用is~Java_来过滤查看所有JNI函数。直接跳转到目标函数进行分析s sym.Java_com_example_app_MainActivity_encryptString pdf高级静态分析技巧重命名函数和变量 使用afn命令给当前函数一个更有意义的名字例如afn encrypt_routine。使用afv重命名局部变量。这能极大提升分析代码的可读性。注释 使用CC命令在当前位置添加注释例如CC This is the key generation loop。数据类型定义 如果你通过分析知道了某个地址指向一个结构体可以使用td命令来定义类型帮助解析内存布局。脚本化分析 对于模式化的分析任务可以编写r2脚本.r2文件或使用Python通过r2pipe库进行交互。例如自动识别并标注所有JNIEnv-调用。3.3 动态调试Android应用静态分析只能看到代码“是什么”动态调试才能知道它“做什么”。动态调试分为Java层和Native层。3.3.1 准备调试环境确保应用可调试 如果AndroidManifest.xml中的android:debuggable不是true你需要用apktool修改后重打包并签名。对于非root设备这通常意味着你需要自己编译的应用。启动应用并等待调试器 在应用启动命令中加上-D等待调试器或通过adb shell am命令启动。更通用的方法是adb shell am start -D -n com.example.app/.MainActivity端口转发adb forward tcp:8700 jdwp:PID将设备的JDWP端口转发到本地。或者使用adb forward tcp:23946 tcp:23946为Native调试做准备。3.3.2 使用r2进行Native层动态调试这是r2的另一个强项。我们假设要调试libnative.so中的JNI_OnLoad函数。以调试模式启动r2r2 -d adb://设备IP:23946 com.example.app或者如果应用已启动获取其PID后附加r2 -d PID在r2内部也可以通过!adb forward tcp:23946 tcp:23946和!adb shell am start -D -n ...等命令来操作但分开操作更清晰。在r2中操作# 连接后先让程序继续运行到入口点 dc # 列出所有映射的模块 dm # 找到 libnative.so 的基地址 # 对目标函数下断点。需要计算偏移断点地址 模块基地址 函数在文件中的偏移 # 首先在静态分析中知道 JNI_OnLoad 在文件中的偏移例如 0x1234 db 基地址 0x1234 # 或者如果模块已加载可以直接按符号下断点如果符号表存在 db sym.JNI_OnLoad # 继续运行触发断点 dc # 断下后查看寄存器、内存、反汇编代码 dr pxw 32 r0 # 查看R0寄存器指向的32字节内存以字为单位 pd 10 # 反汇编接下来的10条指令单步执行与观察ds 单步步入Step into。dso 单步步过Step over。dcu 地址 运行直到指定地址。使用afvd命令在栈帧中显示局部变量的值需要先完成函数分析af。踩过的坑 在Android高版本特别是Android 11及以上上由于SELinux策略和分区限制直接调试系统应用或某些位置的应用可能会失败。解决方案通常包括使用debuggable版本的ROM、将应用移动到/data/local/tmp目录下执行、或者修改SELinux策略需要root权限。动态调试前务必确认环境可行。4. iOS应用逆向全流程实战iOS逆向的流程与Android类似但文件格式Mach-O、工具链和系统环境有所不同。核心挑战在于应用加密FairPlay DRM和系统保护。4.1 获取解密后的可执行文件从App Store下载的应用IPA其主二进制文件通常是Payload/xxx.app/xxx是经过加密的。直接在radare2中打开它你会看到一堆无意义的代码。因此第一步是解密。越狱设备 这是最直接的方式。在越狱设备上安装应用后使用诸如Clutch、frida-ios-dump或bfdecrypt等工具可以直接从运行中的内存里dump出解密后的可执行文件。# 使用 frida-ios-dump 示例 (需要在电脑和越狱设备上配置好Frida) python3 dump.py -u 设备UDID 应用BundleID模拟器 从模拟器获取的.app包中的可执行文件是未加密的可以直接用于分析。但模拟器是x86_64架构与真机的ARM64架构不同主要用于学习流程和部分逻辑分析。获取到解密后的Mach-O文件我们称之为decrypted_app后就可以开始分析了。4.2 使用radare2进行静态分析打开文件r2 -A decrypted_app文件信息i命令会显示这是一个Mach-O 64-bit文件架构为arm64或arm64e。入口点ie显示入口点地址。对于C/C程序通常是main函数对于Objective-C程序入口点会进行一系列运行时初始化。Objective-C分析 iOS应用大量使用Objective-C。r2对ObjC有很好的支持。iS~__objc 查看ObjC相关的段section如__objc_classlist。iZ 列出所有类名、方法名和协议名。这是快速了解应用结构的绝佳方式。iz~NSString 搜索字符串寻找UI文本、API端点等。定位关键函数如果你通过class-dump获得了头文件知道了关键的类和方法例如-[ViewController loginButtonClicked:]你可以在r2中搜索这个符号is~ViewController.loginButtonClicked。或者如果你在字符串中找到了一个关键的URL可以使用axt 字符串地址来查找交叉引用从而定位到使用该字符串的函数。实操心得 对于复杂的Objective-C应用单纯看反汇编pd可能会很吃力因为方法调用是通过objc_msgSend运行时派发的。这时结合iZ输出的方法名以及使用r2ghidra插件的pdg命令进行反编译能生成更易读的伪C代码极大提升分析效率。在反编译视图中objc_msgSend调用通常会被解析成类似(*((*v1)-class)-meth)(v1, methodName:, arg2)的形式结合方法名可以推断出逻辑。4.3 动态调试iOS应用动态调试iOS应用通常需要在越狱设备上进行并使用debugserver。准备debugserver 从设备上的/Developer/usr/bin/debugserver复制出来或者使用Xcode自动部署的版本。为了允许附加任意进程需要给debugserver添加--attach权限通过codesign命令。在设备上启动debugserver# 在设备的终端中执行 debugserver *:23946 --attachApp的PID在电脑上使用r2连接r2 -d gdb://设备IP:23946下断点与调试 流程与Android Native调试类似。你可以通过符号下断点如果存在或者通过计算地址下断点。# 在 r2 连接后 db sym.-[ViewController viewDidLoad] dc注意事项 iOS的ASLR地址空间布局随机化意味着每次启动模块的基地址都会变化。因此通过符号下断点db sym.xxx是最可靠的方式因为r2会自动处理重定位。如果必须用绝对地址需要在每次启动后重新计算模块基地址通过dm查看 函数文件偏移。使用Frida进行动态插桩 虽然r2内置了调试功能但Frida在Hook函数、批量追踪调用方面更加灵活高效。你可以在r2中通过!命令调用外部Frida脚本或者两者独立使用相互印证。例如用Frida快速枚举和Hook所有CC_SHA256的调用找到加密点再用r2在该地址下断点进行细致的寄存器、内存观察。5. 高级技巧与自动化分析当你能熟练完成基础静态和动态分析后以下技巧能让你事半功倍。5.1 使用r2脚本和r2pipe进行自动化手动点击和输入命令适合探索但重复性工作应该自动化。r2支持多种脚本语言.r2文件JavaScript via r2pipePython via r2pipe。示例自动提取所有JNI函数名和地址Python#!/usr/bin/env python3 import r2pipe r2 r2pipe.open(./libnative.so) r2.cmd(aaa) # 分析 # 获取所有符号 symbols r2.cmdj(isj) jni_funcs [] for sym in symbols: if name in sym and sym[name].startswith(Java_): jni_funcs.append({ name: sym[name], vaddr: sym[vaddr], paddr: sym[paddr] }) for func in jni_funcs: print(f{func[name]} at VA: 0x{func[vaddr]:x}, PA: 0x{func[paddr]:x}) r2.quit()这个脚本可以快速生成一个JNI函数映射表方便后续分析。5.2 复杂控制流与数据流分析面对高度混淆的代码控制流平坦化、虚假跳转等r2的图形化模式VV和反编译器pdg是破局关键。图形化梳理 在VV模式下即使代码被混淆基本的块Basic Block结构依然可见。你可以通过观察块之间的连接关系手动修复一些跳转目标或者识别出模式化的混淆器特征。使用反编译器pdgr2ghidra生成的反编译代码比原始汇编更容易识别高级语言结构如循环、条件判断。混淆常常在汇编层面增加冗余指令但在反编译后的伪C代码中其核心逻辑可能更清晰。污点分析Taint Analysis 这是一个高级话题。r2通过at系列命令提供了初步的污点分析能力。你可以标记一个输入如某个寄存器的值或内存区域为“污点源”然后追踪这个污点数据在程序中的传播路径直到它影响一个关键操作如条件跳转、网络发送。这对于追踪密钥生成、输入验证逻辑非常有效。5.3 固件与系统库分析有时你需要分析的逻辑不在应用本身而在系统库中如libc.so、libandroid_runtime.so或iOS的libsystem_kernel.dylib。radare2同样可以分析这些库。获取库文件 从设备中提取adb pull或越狱设备文件系统访问。对比分析 不同Android版本或iOS版本的同一系统库可能有差异。r2的差分分析功能radiff2可以帮助你快速找出两个二进制文件之间的不同这在分析安全补丁或寻找旧版本漏洞时非常有用。radiff2 -A libc_v1.so libc_v2.so6. 常见问题排查与实战心得在实际操作中你一定会遇到各种问题。这里记录一些典型场景和我的解决方案。问题1r2打开文件后aaa分析时间极长或者卡住。原因 文件可能非常大或者包含大量未定义的数据段导致分析器陷入循环。解决 不要一上来就用-A。先使用r2不加-A打开文件然后有选择性地进行分析。例如先aa分析函数入口点再对感兴趣的段.text使用af分析函数。或者使用更轻量级的分析命令aab。问题2动态调试时断点无法命中。可能原因及排查地址错误 确认断点地址是否正确。对于PIE位置无关可执行文件或ASLR一定要使用符号断点db sym.xxx或基于当前模块基址的偏移db 当前基址 文件偏移。使用dm确认模块加载基址。时机不对 断点下得太晚函数已经执行过了。尝试在程序入口如_start、main、JNI_OnLoad或库加载初始化函数如.init_array中的函数早期下断。多线程 目标函数可能在另一个线程中执行。确保你的调试器没有过滤线程。在r2中可以用dpt查看线程用dp tid切换线程上下文。代码动态生成/修改 某些壳或保护技术会动态解密或修改代码导致静态分析的地址与实际执行地址不符。需要先分析脱壳逻辑或在内存中搜索特征码下断点。问题3反编译视图pdg显示混乱或报错。原因 r2ghidra插件对某些不常见的指令模式或高度优化的代码支持可能不完美。解决确保你使用的是最新版本的r2和r2ghidra。尝试在运行pdg前对当前函数进行更彻底的分析af; afb。回到反汇编视图pd手动分析关键片段。有时结合图形视图VV和反汇编比依赖反编译器更可靠。问题4如何高效地搜索特定模式或漏洞模式使用r2的搜索命令/指令序列可以搜索汇编指令。例如搜索可能不安全的strcpy调用/a strcpy。编写脚本 对于复杂的模式如“寻找一个接收两个参数第一个参数被用作内存分配大小第二个参数被拷贝到分配出的缓冲区的函数”最好的方法是编写一个r2pipe脚本遍历所有函数分析其指令序列和数据流。利用社区脚本 radare2社区有许多现成的脚本例如用于寻找ROP gadget的/R命令用于漏洞模式匹配的脚本等。使用r2pm -s查看可安装的社区脚本包。个人体会 radare2的强大在于它的“元”特性——它不仅仅是一个工具更是一个可以按你需求塑造的平台。初期学习命令确实有门槛但一旦熟悉那种“一切尽在掌控”的感觉是图形化工具难以给予的。我的建议是从一个小目标开始比如“找出这个应用的注册码验证逻辑”强迫自己只用r2去完成遇到问题就查手册?或社区。几个项目下来你就会发现自己已经离不开这个瑞士军刀了。最后别忘了结合其他工具如jadx、Hopper、Frida没有哪个工具是万能的取长补短才是高效之道。
双梁正问题 【 torch 实战】（Python代码实现）)
