ash12-elf-complete-flow

# Ash-12 类 ELF 完整处理分支 本子 skill 是 `elf-local-auth-patcher` 的按需参考分支。仅在遇到 Ash-12 类样本时加载；它不替代主 skill 的硬约束，只补充“脚本名像 `.sh`、实际是 Android ELF loader、尾部附加加密 payload”的完整处理路线。 ## 适用信号 同时出现以下多项时使用本分支： - 文件扩展名像 `.sh`，但 `file/readelf/elf-info` 显示为 Android AArch64 ELF64 ET_DYN/PIE。 - 外层 ELF 通过 `/proc/self/exe` 自读，尾部存在固定 magic、payload offset、payload size、重复 offset、reserved 字段。 - 外层包含远程卡密/授权字段，例如 `kami`、`markcode`、`sign`、`code`、`time`、`vip`，以及成功/失败提示。 - 成功路径会写入 `/data/local/tmp/card`，再解密 payload，并通过 `memfd_create`、`/proc/self/fd/%d` 或落地临时文件执行 payload。 - 内层 payload 字符串出现 `/proc/%d/mem`、`libUE4.so`、`.ko`、`/dev/*`、`ioctl`、`/dev/uinput` 等后续功能链线索。 ## 证据边界 只把当前轮实际读到的文件、反汇编、hash、stdout/logcat 作为事实。不要把过往真机连接调试后的记忆当作结论复用；动态验证必须重新采集 stdout、stderr、return code、logcat、设备文件状态。若没有新鲜动态证据，只能给出“静态 VERIFY_OK，动态待验证”。 ## 阶段流程 ### 1. 基线盘点 产物：`*_elf_info.json`、原始 SHA256、文件大小、entry、program headers、section 概况。 通过条件： - `Get-FileHash` 或等价 hash 已记录。 - `file/readelf/xg_elf_tool.py elf-info` 确认架构与 entry。 - 原文件只读分析，不覆盖。 ### 2. trailer 与 payload 范围恢复 产物：`*_payload_extract_report.json`。 处理要点： - 从文件尾部解析容器 trailer；Ash-12 样本的已验证结构为 0x28 字节：`magic`、`payload_offset`、`payload_size`、`duplicate_offset`、`reserved`。 - 验证 `magic`、重复 offset、reserved、payload_end、container_end。 - payload 区间与 trailer 是不可破坏区域；patch 默认只允许发生在外层 loader 代码段。 通过条件： - `payload_offset + payload_size == trailer_offset`。 - `payload_range_inside_container == true`。 - 后续 patch 前后 payload+trailer 字节完全一致。 ### 3. 外层字符串与 payload 解密复现 产物：`*_decoded_strings.json`、`*_payload_decrypted.elf`、解密脚本。 处理要点： - 优先定位外层字符串解密函数、索引表、record 表、cipher blob。 - 复现 payload key 派生和 RC4 KSA/PRGA，而不是只从运行态 dump。 - 解密后立即验证 ELF magic、架构、大小与 SHA256。 通过条件： - 解密 payload 头部为 `7f454c46`。 - 解密 payload 大小等于 trailer 中的 `payload_size`。 - patch 后重新提取 payload，SHA256 必须与 patch 前解密 payload 一致。 ### 4. 外层授权链定位 产物：授权函数与 main/dispatch 反汇编片段、xref 记录。 处理要点： - 从成功/失败提示、`/data/local/tmp/card`、`/proc/self/exe`、`memfd` 字符串反向找 main/dispatch。 - 从 `kami/markcode/sign/code/time/vip`、HTTP host/path、MAC 地址读取路径定位远程授权函数。 - patch 点优先选择“远程授权返回后、失败分支之前”的最小门控点，保留 argv/card 写入与 payload 执行链。 通过条件： - patch 点有上游授权调用、下游 success init/payload loader 证据。 - 不以“跳到程序退出/return”为成功路径。 ### 5. 等长 patch 产物：patch 脚本、patch report、patch 后 ELF。 Ash-12 已验证锚点（只作模式参考，复用前必须重新校验 expected bytes）： ```text VA 0x2e10 / FileOff 0x1e10: fe060094 -> 1f2003d5 ; bl auth -> nop VA 0x2e14 / FileOff 0x1e14: e0200035 -> 1f2003d5 ; cbnz fail -> nop VA 0x2e24 / FileOff 0x1e24: 21220054 -> 1f2003d5 ; b.ne fail -> nop ``` Ash-12 已验证文件锚点： ```text original SHA256: 3c57fbef8c2a8ac81efc398097370272f516003e87c5201e61785b42e2a75e69 patched SHA256: 4dac8f79e1ac3e69a72dbccabcea6581ec886ca4a6a21e6bbf601c6a6426ec65 payload SHA256: 290a82ee1df22c1d06e6e2d9df4404df8a878df137af814a3b449019075e7f86 trailer magic: AEDEVPK1 payload_offset: 0x63b8 payload_size: 0xb34240 ``` 通过条件： - expected bytes 完全匹配。 - patch 长度等长。 - 新文件输出，绝不覆盖原文件。 - ELF header、program headers、entry、file size、payload、trailer 全部 unchanged。 - patch 点反汇编显示为预期指令，例如 `nop`。 ### 6. patch 后重提取验证 产物：`*_patched_payload_extract_report.json`、patch 后反汇编片段。 通过条件： - patch 后 trailer 仍通过 magic/range/size 检查。 - patch 后解密 payload SHA256 与 patch 前一致。 - patch 后 auth gate 片段与预期一致。 ### 7. 真机动态验证（只使用新鲜证据） 产物：独立 `device_verify_<target>_<timestamp>/` 目录，至少包含设备基线、push hash、运行脚本、stdout、stderr、RC、logcat、pre/post state。 处理要点： - PowerShell/adb 复杂命令优先写成 `.sh` 推送到设备执行，避免 inline 引号误解析。 - 运行前记录设备型号、ABI、Android 版本、root context、SELinux、包路径、appops。 - push 后比较本地/远端 SHA256，再 `chmod 700`。 - 执行时显式传入测试 card 参数，捕获 stdout/stderr/RC。 - 若看到“验证成功”并进入 payload 初始化，只能说明外层授权 patch 与 loader 链已经走通；后续 target PID、UE4、driver、proc-mem、uinput 失败必须单独归类，不得反向否定外层授权 patch。 通过条件： - stdout/stderr/RC/logcat/post-state 文件实际存在。 - 结论逐条绑定到具体输出文件或设备状态。 - 没有真机证据时保持 `[DYNAMIC_UNVERIFIED]`。 ## 回滚条件 立即停止并回滚到对应阶段： - expected bytes 不匹配。 - VA 无法映射到 PT_LOAD。 - patch 导致 header/phdr/entry/file size 变化。 - payload/trailer 任一字节变化。 - patch 后无法重提取相同 payload。 - 动态运行 SIGSEGV 且无法证明发生在后续功能链。 - 只有 UI/前端成功，没有 ELF stdout/logcat/payload 证据。 ## 交付格式补充 在主 skill 的交付格式基础上，Ash-12 类样本额外列出： ```text Container: magic / payload_offset / payload_size / trailer_offset / checks Payload: encrypted SHA256 / decrypted SHA256 / decrypted ELF info Outer auth gate: auth function / main dispatch / patch VA+FileOff+old+new / disasm Boundary: STATIC_VERIFY_OK or STATIC_VERIFY_FAIL DYNAMIC_VERIFY_OK / DYNAMIC_VERIFY_FAIL / DYNAMIC_UNVERIFIED downstream chain status: target-pid / libUE4 / driver / proc-mem / input ```