LeadroyaL's website

以前全局搜字符串时候经常搜到support-v4/7/13的字符串，逆向时候烦的不行，写了一个轮子，专门删除dex里面的这部分代码。

MobSF框架是一个开源的自动app检测的框架，国内相关的技术也有，BAT三家都有。开源项目里MobSF做的应该是很好的了，链接是https://github.com/MobSF/Mobile-Security-Framework-MobSF。本文记录一下学习和改进的过程，大概用了一下午一晚上，毕竟代码不是很多。

由于特殊的需求，必须要用C来实现一个轮子，通过解析文件结构来获得一个ELF文件的依赖库的名字，IDA可以做到，那么我们也一定可以做到。造了一个简单的轮子，感谢小花椒和母鸡的科普。

17年10月仔细分析和利用了一个CVE，结果拖到现在才有空写出来，主要是讲一下android里的一个很常见的结构 “Vector”，如何使用堆溢出来尽可能做多的事情。网上没有查到过详细介绍Vector实现的文章，本文，算是先河么？

本文非技术文章，这段时间在准备表演，经常没法用电脑搬砖，出于兴趣和老朋友的推荐，读了这本书，让我这种死宅稍微添加了一点文艺的气息，整个过程不自主让我想起了无数个游戏的设计，分享一下感受，感觉还是很有意思的。

占坑

上篇介绍的是攻击者的思路，本文讲介绍如何从开发者的角度来防止自己的公开组件被攻击，分享一下自己平时见到的比较值得学习架构和自己开脑洞想出来的一些架构。

接触安卓应用层代码审计已经一年多了，期间分析过大量的APP，无论是厂商的还是企业的，保护程度参差不齐，本文从攻击者的角度，讲一些常见的组件攻击方式和思路。 下篇将从开发者的角度，如何保护自己的组件不被第三方APP进行调用，即使是出于业务需求必须要开放的，也可以保证安全性，同样也讲一些常见防御设计。

翻记录发现这题分类是 mobile，没人做出来过，《万箭穿心》writeup献给各位老铁。

周六下午听说有面向萌新的移动安全CTF，本来不想欺负小朋友，最后抱着去装个B的态度去做了一下最难的那个apk，质量不错，出题人还是很良心的。

还欠好几篇没发，刚好最近在搞某款手机，发现里面一个用c写的deamon进程，基本没有符号，比如open/read/strlen都没有，看起来很蛋疼。于是想办法恢复一下符号表，借助android里的libc.so，很快就可以完成，错误率还ok。

2017年打 mobile pwn2own 时分析过的2个洞，由于缺少条件，无法利用，后来就交掉了。写本文时候是2018年6月，时间过长，已经没有调试的环境了，只能靠记忆和静态分析来分析一下。

英雄联盟相关，不玩的不要点进来<<<<<<<

写在S7赛季末，这段时间经历了很多东西，LPL失利，RNG的遗憾久久缠绕在LOL玩家的心头，比赛的版本是7.18，香炉非常强势的版本，如果是7.19的话，小法师大概率会登上S7总决赛的舞台。

占坑

最近看0ctf2016的那道题，需要用到指定版本的oatdump工具，但各个API的oat magic是不一样的，导致oatdump无法使用，于是编译了从古至今所有的oatdump，方便自己和后人使用，记录一下遇到的坑，以及自己的一些常用alias。

经常编译aosp的时候发现每次repo init -b切换分支的时候，都要sync很久，浪费的时间加起来都够给长者续无数秒了，反正硬盘也很大，于是决定建立一个本地的aosp mirror，增加一下工作效率，也给周围的小伙伴提供一下方便。

WHCTF 2017，flappy大佬们出的题，感觉不错，两道apk，有一个拿了全场一血，分享一下writeup。拖了很久忘了发了，惭愧惭愧

转载请联系本人，否则作侵权处理。

相关文件链接：https://github.com/LeadroyaL/attachment_repo/tree/master/whctf2017/（FindMyMorse.apk, LoopCrpyto.apk）

google ctf 2017出了道安卓题，就一道，唉，拿了个三血。。。不难，从头到尾仔细分析了一遍。

转载请联系本人，否则作侵权处理。 相关文件链接：https://github.com/LeadroyaL/attachment_repo/tree/master/googlectf-food/

pwnhub出的第一道安卓题目，用偷鸡的方法做掉了，虽然拿了一血但没有完整地分析完整套流程，还是要脚踏实地！

转载请联系本人，否则作侵权处理。 相关文件链接：https://github.com/LeadroyaL/attachment_repo/tree/master/pwnhub-FindMyDex (FindMyDex.apk 和 real.dex)

一开始是flanker在微博上转发的，说是面向android hacker的ctf，那我肯定得参加一下，结果下来ak了，题目都不是很难，这国际版的ctf也是比较水，不知道主办方是什么心态。。。

转载请联系本人，否则作侵权处理。 相关文件链接：https://github.com/LeadroyaL/attachment_repo/tree/master/ahe17