装了个APK文件后 我的手机莫名发出娇喘声 关机都没用( 三 )

这个函数就是加载加密lua脚本的地方,其中对脚本进行了解密操作。

根据第四个参数我们可以区分目前加载的lua脚本名称,从而选择性地dump(即在函数开头下断点,查看第四个参数内容)luaL_loadbufferx函数伪代码如下:

装了个APK文件后 我的手机莫名发出娇喘声 关机都没用

首先对输入的字节数组进行判断,如果以1B开头,且第二位不是0C,则进行解密操作,否则直接调用j_lua_load加载lua脚本。

在第41行下断点即可获取到解密后的字节数组,从而dump。

在进行动态dump调试之后,通过分析得出之所以音量会自动调大并无法关闭,是因为lua脚本将其设定为放放音频和循环调整媒体音量的功能,并且拦截了返回键,禁止关机操作。

静音样本下载:

https://pan.baidu.com/s/1csqa3X86T8ebemZo2YXBrg

dump出来的lua:

推荐阅读