1. 项目概述从游戏玩家到逆向工程师的探索作为一名在游戏开发和逆向分析领域摸爬滚打了十多年的老手我经常遇到一些有趣的场景比如某个Unity开发的Android手游里有一个非常酷的特效或者一个被服务器验证的逻辑你想在单机环境下复现或者研究它又或者你想为游戏制作一个辅助性的Mod但核心功能被编译成了原生的C代码传统的C#反射手段完全失效。这时候摆在面前的就是那个让人又爱又恨的libil2cpp.so文件。Unity的IL2CPP技术将C#代码编译成C再生成原生库虽然提升了性能和安全性但也给动态分析和调用带来了巨大的挑战。今天我就以Android平台的libil2cpp.so为例带你走一遍完整的实战流程看看如何用逆向工程的“瑞士军刀”IDA Pro结合对il2cpp运行时API的理解动态定位并调用游戏内的C#方法。这不是一个简单的“找地址、调函数”的过程而是一次对Unity运行时机制、内存布局和跨语言调用的深度探险。无论你是想深入理解游戏机制的安全研究员还是渴望为爱发电的Mod开发者这套方法都能为你打开一扇新的大门。2. 核心思路与工具链解析2.1 为什么是IDA Pro il2cpp API面对一个黑盒的libil2cpp.so我们的目标是在不拥有源代码的情况下调用其中的C#方法。最直接的想法是找到编译后的C函数地址然后直接调用。但问题在于IL2CPP的编译过程抹去了几乎所有C#的元数据如类名、方法名、参数类型函数名都变成了类似il2cpp_codegen_xxx的晦涩符号。盲目地在IDA Pro的数以万计的函数中寻找目标无异于大海捞针。这里的关键突破口在于il2cpp运行时API。Unity的IL2CPP运行时本身提供了一套用于反射的C API例如il2cpp_class_from_name,il2cpp_class_get_method_from_name,il2cpp_runtime_invoke等。这些API函数一定被链接到了libil2cpp.so中。我们的核心思路就是定位运行时API在libil2cpp.so中找到这些关键的API函数地址。重建元数据利用这些API结合从游戏内存或辅助工具如Il2CppDumper提取的元数据信息在运行时动态地获取类、方法等对象。动态调用最后使用il2cpp_runtime_invoke来安全地调用目标C#方法。IDA Pro在其中扮演的角色至关重要。它不仅是静态分析.so文件、定位API函数地址的利器其强大的脚本引擎IDAPython和调试能力还能让我们交互式地探索内存状态、验证偏移量、甚至编写自动化脚本来完成繁琐的查找工作。这套组合拳将静态的二进制分析与动态的运行时操纵完美结合。2.2 工具链准备与环境搭建工欲善其事必先利其器。开始之前你需要准备好以下环境目标环境一台已Root的Android设备或模拟器如Genymotion、官方模拟器。Root权限是访问进程内存、注入代码的必要条件。同时确保目标游戏APK已安装。分析环境IDA Pro建议使用7.7或更高版本已配置好Python环境。这是我们的主战场。Android SDK主要用到adb(Android Debug Bridge) 工具用于与设备通信、推送文件、转发端口等。Python本地需要安装Python用于编写IDAPython脚本以及一些辅助脚本。关键辅助工具Il2CppDumper这是一个开源神器。它需要游戏的libil2cpp.so文件和对应的global-metadata.dat文件通常位于APK的assets/bin/Data/Managed/Metadata/目录下。运行后它能生成一个包含所有C#类、方法、字段信息的Dump.cs文件以及一个重要的script.json。这个JSON文件包含了关键符号的偏移量是我们连接静态二进制和运行时元数据的桥梁。Frida或GameGuardian可选用于动态调试、内存搜索和验证。Frida功能更强大适合复杂交互GameGuardian上手简单适合快速搜索和修改。注意获取游戏的libil2cpp.so和global-metadata.dat文件通常需要解包APK。你可以使用任何标准的APK解包工具如apktool。请确保你的行为仅用于学习与研究遵守相关软件的使用条款和法律法规。3. 实战第一步静态分析与API地址定位拿到libil2cpp.so后第一步是用IDA Pro打开它进行静态分析。这个过程可能比较耗时因为文件通常很大几十MB到上百MB。3.1 初始分析与字符串检索IDA加载完成后首先让它完成自动分析。然后我们可以从字符串入手。虽然C#符号名没了但il2cpp运行时内部的某些字符串、错误信息、日志标签可能还在。尝试在字符串窗口ShiftF12搜索il2cpp_你可能会发现一些有趣的字符串比如il2cpp_init、il2cpp_shutdown甚至是il2cpp_class_from_name这样的完整函数名残留。这能给我们一些信心确认文件未被过度混淆。不过更可靠的方法是直接利用Il2CppDumper的输出。运行Il2CppDumper后你会得到一个script.json文件。用文本编辑器打开它搜索Address:或il2cpp。这个文件里可能包含了il2cpp_init、il2cpp_domain_get等关键函数的文件偏移量File Offset或相对虚拟地址RVA。例如你可能会找到这样一条记录{ Name: il2cpp_class_from_name, Address: 0x123456 }这里的0x123456很可能就是该函数在libil2cpp.so文件中的偏移量。在IDA中按下G键跳转到地址输入这个偏移量IDA通常会带你到该函数的起始位置。如果跳转后看到的是一堆数据而非代码可能需要检查偏移量是RVA还是文件偏移或者尝试加上.so文件加载的基地址在动态调试时更重要。3.2 识别关键API函数特征即使没有Il2CppDumper的提示我们也可以手动寻找。il2cpp的API函数有一些共同特征。在IDA的导出函数表CtrlE里虽然看不到C#方法但可以看到一些动态链接的符号。更重要的是我们可以通过函数调用关系来定位。一个典型的思路是寻找il2cpp_runtime_invoke。这个函数是动态调用的核心它的参数列表非常固定MethodInfo* method, void* obj, void** params, void** exc。在反汇编代码中你可能会看到它被一个包装函数调用而这个包装函数内部有大量的参数处理和错误检查逻辑。通过交叉引用Xrefs to找到调用il2cpp_runtime_invoke的函数再向上追溯就可能找到il2cpp_class_get_method_from_name等函数。另外关注JNI_OnLoad函数。很多Android原生库都有这个入口点il2cpp运行时也可能在这里进行初始化。在这个函数附近你经常能看到对il2cpp_init的调用。3.3 使用IDAPython脚本自动化查找手动查找效率低下编写IDAPython脚本是专业逆向工程师的必备技能。我们可以基于函数签名、字符串引用或模式匹配来编写脚本。假设我们已经从script.json或其它途径知道了il2cpp_class_from_name的函数签名在ARM64上它可能有两个参数一个指向Il2CppImage的指针和一个表示名称字符串的指针。我们可以写一个脚本遍历所有函数寻找符合特定指令模式的代码片段。一个更简单实用的方法是利用字符串引用。我们可以搜索包含il2cpp的字符串然后找出所有引用了这个字符串地址的函数再结合函数名如果还有的话或周边代码逻辑来判断。import idautils import idaapi import idc # 查找包含“il2cpp”的字符串地址 il2cpp_str_addr None for s in idautils.Strings(): if “il2cpp” in str(s): il2cpp_str_addr s.ea print(f“Found string at 0x{il2cpp_str_addr:x}: {str(s)}”) # 不一定只找一个可以收集到一个列表里 if il2cpp_str_addr: # 获取所有引用这个字符串地址的代码位置 for ref in idautils.DataRefsTo(il2cpp_str_addr): print(f“Data referenced at 0x{ref:x}”) # 找到引用处的函数 func idaapi.get_func(ref) if func: print(f“ Belongs to function at 0x{func.start_ea:x}”) # 可以进一步反汇编这个函数看看它是不是我们要找的API这个脚本能帮你快速缩小范围。找到候选函数后需要人工介入分析其参数传递、返回值等以确认其身份。4. 实战第二步动态调试与地址验证静态分析找到的地址在游戏进程实际运行时可能会因为地址空间布局随机化ASLR而发生变化。因此我们必须进入动态调试阶段获取API函数在目标游戏进程中的实际内存地址绝对地址。4.1 附加进程与计算基址使用adb转发调试端口adb forward tcp:23946 tcp:23946 # IDA的默认Android调试端口在IDA中选择调试器Debugger - Select debugger - Remote ARM Linux/Android debugger。附加进程Debugger - Process options 输入目标游戏的进程名如com.example.game。附加成功后IDA会暂停进程。获取模块基址这是最关键的一步。在IDA的模块窗口View - Open subviews - Modules中找到libil2cpp.so。记下它的基址Base例如0x70000000。计算绝对地址假设通过静态分析我们确定il2cpp_class_from_name在libil2cpp.so文件内的偏移量是0x123456。那么它在游戏进程中的绝对地址就是绝对地址 模块基址 文件偏移量 0x70000000 0x123456 0x70123456这个0x70123456就是我们在后续代码注入中需要使用的真实地址。4.2 使用Frida进行快速验证在编写复杂的注入代码前可以用Frida写一个简单的脚本来验证我们计算的地址是否正确以及API是否可用。// frida_verify.js Java.perform(function() { // 假设我们已经计算好了地址 var il2cpp_base Module.findBaseAddress(“libil2cpp.so”); var offset_class_from_name 0x123456; // 你的偏移量 var addr_class_from_name il2cpp_base.add(offset_class_from_name); console.log(“[*] libil2cpp.so base: ” il2cpp_base); console.log(“[*] il2cpp_class_from_name estimated at: ” addr_class_from_name); // 尝试将其声明为一个NativeFunction来调用 // 首先需要知道函数原型。假设它返回指针接受两个指针参数。 var il2cpp_class_from_name new NativeFunction( addr_class_from_name, ‘pointer’, [‘pointer’, ‘pointer’], // 返回类型参数类型列表 ‘abi’ ); // 为了调用我们还需要获取 Il2CppImage* 和 字符串。 // 这通常需要更多逆向工作来找到默认的Image指针如 il2cpp_domain_get()-assemblies[0]-image。 // 这里仅作地址有效性演示。 console.log(“[*] Function pointer seems valid.”); // 更实际的验证可以Hook这个函数看看它什么时候被调用参数是什么。 Interceptor.attach(addr_class_from_name, { onEnter: function(args) { console.log(“il2cpp_class_from_name called!”); console.log(“Arg0 (Image*): ” args[0]); console.log(“Arg1 (name char*): ” args[1].readCString()); // 读取字符串 }, onLeave: function(retval) { console.log(“Returned class pointer: ” retval); } }); });使用命令frida -U -l frida_verify.js com.example.game来运行脚本。如果Hook成功并看到输出说明地址计算正确函数可访问。你甚至能看到游戏运行时在查找哪些类这是一个宝贵的信息源。5. 实战第三步构建动态调用链验证了关键API的地址后我们就可以着手构建完整的动态调用链了。这个过程本质上是在Native层C/C手动重现C#反射调用。5.1 关键API函数原型与作用我们需要用到以下几个核心API函数指针il2cpp_domain_get(): 获取当前的Il2CppDomain。这是所有操作的起点。il2cpp_domain_get_assemblies(domain, count): 获取Domain中所有的程序集Assembly。il2cpp_class_from_name(image, namespace_cstr, name_cstr): 根据命名空间和类名从指定的Il2CppImage中获取Il2CppClass结构指针。Image通常来自Assembly。il2cpp_class_get_method_from_name(klass, method_name_cstr, args_count): 从类中根据方法名和参数个数获取MethodInfo指针。il2cpp_runtime_invoke(method, obj, params, exception): 最终的执行者。传入MethodInfo、对象实例静态方法则为nullptr、参数数组和异常指针。我们的任务就是按顺序获取这些函数的地址然后像拼图一样把它们组合起来。5.2 编写Native注入代码C/C示例在实际操作中我们通常会将调用逻辑写在一个独立的.so库中然后通过LD_PRELOAD或ptrace注入到游戏进程。这里给出一个概念性的C代码框架展示核心逻辑。// injector.c #include stdio.h #include stdlib.h #include string.h #include unistd.h #include dlfcn.h // 声明函数指针类型 typedef void* (*t_il2cpp_domain_get)(); typedef void** (*t_il2cpp_domain_get_assemblies)(void* domain, size_t* size); typedef void* (*t_il2cpp_class_from_name)(void* image, const char* namespaze, const char* name); typedef void* (*t_il2cpp_class_get_method_from_name)(void* klass, const char* name, int argsCount); typedef void* (*t_il2cpp_runtime_invoke)(void* method, void* obj, void** params, void** exc); // 全局函数指针 t_il2cpp_domain_get il2cpp_domain_get NULL; t_il2cpp_domain_get_assemblies il2cpp_domain_get_assemblies NULL; t_il2cpp_class_from_name il2cpp_class_from_name NULL; t_il2cpp_class_get_method_from_name il2cpp_class_get_method_from_name NULL; t_il2cpp_runtime_invoke il2cpp_runtime_invoke NULL; // 初始化函数指针 void init_il2cpp_functions() { void* handle dlopen(“libil2cpp.so”, RTLD_LAZY); if (!handle) { // 如果dlopen失败可能是已经加载。尝试从当前进程获取地址。 // 这里我们假设已经通过其他方式如计算偏移得到了绝对地址。 // 将绝对地址强制转换为函数指针。 il2cpp_domain_get (t_il2cpp_domain_get)(0x70000000 0xABCD00); // 示例地址 il2cpp_class_from_name (t_il2cpp_class_from_name)(0x70000000 0x123456); // ... 初始化其他函数指针 } else { // 如果dlopen成功可以直接dlsym但游戏主so可能已经加载这种方式不一定可靠 il2cpp_domain_get (t_il2cpp_domain_get)dlsym(handle, “il2cpp_domain_get”); // ... 其他函数 dlclose(handle); } } void call_target_method() { // 1. 获取Domain void* domain il2cpp_domain_get(); if (!domain) { printf(“Failed to get domain\n”); return; } // 2. 获取程序集列表这里简化处理取第一个 size_t count 0; void** assemblies il2cpp_domain_get_assemblies(domain, count); if (count 0 || !assemblies) { printf(“No assemblies found\n”); return; } void* first_assembly assemblies[0]; // 通常需要通过Assembly获取Image这里假设first_assembly可以直接作为Image或能找到Image指针。 // 实际情况需要逆向il2cpp::Assembly结构。这里用first_assembly代替image。 void* image first_assembly; // **注意这是简化假设** // 3. 获取目标类 (例如命名空间“MyGame”类名“PlayerController”) void* target_class il2cpp_class_from_name(image, “MyGame”, “PlayerController”); if (!target_class) { printf(“Class not found\n”); return; } // 4. 获取目标方法 (例如方法名“Heal”参数个数1) void* target_method il2cpp_class_get_method_from_name(target_class, “Heal”, 1); if (!target_method) { printf(“Method not found\n”); return; } // 5. 准备参数 void* params[1]; int heal_amount 100; params[0] heal_amount; // 假设Heal方法接受一个int参数 void* exception NULL; // 6. 调用方法 (假设是静态方法obj传NULL) void* result il2cpp_runtime_invoke(target_method, NULL, params, exception); if (exception) { printf(“Invoke failed with exception\n”); // 处理异常... } else { printf(“Method invoked successfully!\n”); } } __attribute__((constructor)) void main_entry() { printf(“[Injector] Loaded\n”); init_il2cpp_functions(); // 可以在这里直接调用或者创建一个线程循环调用 call_target_method(); }这段代码是一个高度简化的示例。真实场景中最大的挑战在于获取正确的Il2CppImage指针il2cpp_class_from_name需要一个Image*参数。你需要遍历所有Assembly找到包含目标类的那个并获取其Image。这需要你逆向Il2CppAssembly和Il2CppImage的结构关系。参数传递il2cpp_runtime_invoke的params是一个指向指针数组的指针。每个参数必须是一个指向实际数据的指针。对于值类型int, float, struct需要分配内存并拷贝值对于引用类型需要传递正确的对象指针。处理返回值和异常result和exception需要根据具体类型进行解析。5.3 使用Il2CppDumper的元数据辅助Il2CppDumper生成的Dump.cs和script.json是宝贵的参考资料。Dump.cs告诉你完整的类结构、方法签名。script.json中的Address字段可能直接给你关键API的偏移甚至一些重要静态变量如s_Il2CppMetadataRegistration的偏移这些变量持有所有类型、方法信息的指针表是另一种定位类和方法的方式有时比遍历Assembly更直接。你可以编写一个IDAPython脚本读取script.json自动在IDA中重命名函数、添加注释甚至根据元数据信息尝试恢复部分C#类结构这能极大提升静态分析效率。6. 常见问题、踩坑记录与进阶技巧6.1 地址偏移不准或API不可用问题计算出的绝对地址无效访问时导致崩溃。排查确认基址动态调试时多次重启游戏观察libil2cpp.so的基址是否变化ASLR。确保你的偏移量计算基于正确的基址。验证偏移量使用IDA静态分析在疑似API函数的起始位置查看其文件偏移量在IDA状态栏或按AltT计算。与Il2CppDumper或自己计算的值对比。检查Thumb模式ARM架构有Thumb和ARM两种指令集。如果函数地址是奇数如0x123457说明它是Thumb模式调用时可能需要将地址1。在IDA中按AltG将T寄存器值设为1可以正确反汇编Thumb代码。API签名错误你找到的函数可能不是你以为的那个。仔细分析其参数和返回值与il2cpp运行时头文件可从Unity源码或社区找到中的声明对比。6.2 获取不到类或方法问题il2cpp_class_from_name或il2cpp_class_get_method_from_name返回NULL。排查命名空间和类名确保大小写完全正确。使用Il2CppDumper生成的Dump.cs核对。Image指针错误这是最常见的原因。你不能随便用一个Assembly指针当作Image。需要找到Il2CppAssembly结构体中的image字段偏移。通过逆向或查阅开源il2cpp逆向项目如Il2CppInspector来获取结构定义。方法参数个数il2cpp_class_get_method_from_name的第三个参数是参数个数不包括隐含的this参数对于实例方法。重载方法需要通过参数类型来区分仅靠参数个数可能无法定位。泛型类/方法处理泛型非常复杂需要先构造具体的泛型实例。对于初学者建议先从非泛型的普通类和方法入手。6.3 调用时游戏崩溃问题il2cpp_runtime_invoke导致游戏闪退。排查参数错误检查params数组的构建。确保每个参数都是指向正确数据的指针。对于string类型需要传递Il2CppString*对象不能直接传char*。对象实例调用实例方法时obj参数必须是一个有效的该类的实例指针。你需要先找到或创建一个对象实例。对于静态方法obj应为NULL。GC问题如果你自己构造了Il2CppString等托管对象需要确保它们被GC正确管理否则可能被意外回收导致崩溃。复杂对象操作建议深入研究il2cpp的GC API。线程安全确保你的注入代码在合适的线程上下文中执行。某些Unity API或游戏逻辑可能要求在主线程调用。6.4 进阶技巧与优化使用Frida进行快速原型验证在编写复杂的C注入库之前先用Frida JS脚本验证你的思路。Frida可以方便地调用NativeFunction、读写内存、Hook函数是动态探索的绝佳工具。Hookil2cpp_runtime_invoke本身通过Hook这个函数你可以监控游戏内部所有通过反射进行的调用了解其调用模式、参数和返回值这对于理解游戏逻辑和寻找目标方法非常有帮助。利用Il2CppMetadataRegistration这个全局结构体包含了所有类型、方法、字段的指针表。通过Il2CppDumper的script.json找到它的地址你可以直接遍历这些表来查找类和方法有时比调用API更高效。关注il2cpp_thread_attach/il2cpp_thread_detach如果你的注入代码运行在非托管线程如自己创建的pthread在调用任何il2cpp API前需要先调用il2cpp_thread_attach将线程附加到il2cpp域调用结束后再il2cpp_thread_detach以避免崩溃。结构化你的注入代码将地址查找、API封装、游戏逻辑分离。可以设计一个简单的“Il2Cpp Helper”模块封装好常用的查找和调用功能使主逻辑更清晰。逆向和动态调用libil2cpp.so是一个需要耐心、细心和大量实践的过程。每一个游戏都可能因为Unity版本、编译选项、代码混淆等因素而有所不同。没有放之四海而皆准的脚本但掌握本文所述的思路和工具链你将拥有解决这类问题的通用能力。从静态分析定位关键点到动态调试验证地址再到构建完整的调用链每一步都充满了挑战和发现的乐趣。记住每一次崩溃的logcat输出每一个IDA中分析出的结构体都是通往最终目标的阶梯。
1. 项目概述从游戏玩家到逆向工程师的探索作为一名在游戏开发和逆向分析领域摸爬滚打了十多年的老手我经常遇到一些有趣的场景比如某个Unity开发的Android手游里有一个非常酷的特效或者一个被服务器验证的逻辑你想在单机环境下复现或者研究它又或者你想为游戏制作一个辅助性的Mod但核心功能被编译成了原生的C代码传统的C#反射手段完全失效。这时候摆在面前的就是那个让人又爱又恨的libil2cpp.so文件。Unity的IL2CPP技术将C#代码编译成C再生成原生库虽然提升了性能和安全性但也给动态分析和调用带来了巨大的挑战。今天我就以Android平台的libil2cpp.so为例带你走一遍完整的实战流程看看如何用逆向工程的“瑞士军刀”IDA Pro结合对il2cpp运行时API的理解动态定位并调用游戏内的C#方法。这不是一个简单的“找地址、调函数”的过程而是一次对Unity运行时机制、内存布局和跨语言调用的深度探险。无论你是想深入理解游戏机制的安全研究员还是渴望为爱发电的Mod开发者这套方法都能为你打开一扇新的大门。2. 核心思路与工具链解析2.1 为什么是IDA Pro il2cpp API面对一个黑盒的libil2cpp.so我们的目标是在不拥有源代码的情况下调用其中的C#方法。最直接的想法是找到编译后的C函数地址然后直接调用。但问题在于IL2CPP的编译过程抹去了几乎所有C#的元数据如类名、方法名、参数类型函数名都变成了类似il2cpp_codegen_xxx的晦涩符号。盲目地在IDA Pro的数以万计的函数中寻找目标无异于大海捞针。这里的关键突破口在于il2cpp运行时API。Unity的IL2CPP运行时本身提供了一套用于反射的C API例如il2cpp_class_from_name,il2cpp_class_get_method_from_name,il2cpp_runtime_invoke等。这些API函数一定被链接到了libil2cpp.so中。我们的核心思路就是定位运行时API在libil2cpp.so中找到这些关键的API函数地址。重建元数据利用这些API结合从游戏内存或辅助工具如Il2CppDumper提取的元数据信息在运行时动态地获取类、方法等对象。动态调用最后使用il2cpp_runtime_invoke来安全地调用目标C#方法。IDA Pro在其中扮演的角色至关重要。它不仅是静态分析.so文件、定位API函数地址的利器其强大的脚本引擎IDAPython和调试能力还能让我们交互式地探索内存状态、验证偏移量、甚至编写自动化脚本来完成繁琐的查找工作。这套组合拳将静态的二进制分析与动态的运行时操纵完美结合。2.2 工具链准备与环境搭建工欲善其事必先利其器。开始之前你需要准备好以下环境目标环境一台已Root的Android设备或模拟器如Genymotion、官方模拟器。Root权限是访问进程内存、注入代码的必要条件。同时确保目标游戏APK已安装。分析环境IDA Pro建议使用7.7或更高版本已配置好Python环境。这是我们的主战场。Android SDK主要用到adb(Android Debug Bridge) 工具用于与设备通信、推送文件、转发端口等。Python本地需要安装Python用于编写IDAPython脚本以及一些辅助脚本。关键辅助工具Il2CppDumper这是一个开源神器。它需要游戏的libil2cpp.so文件和对应的global-metadata.dat文件通常位于APK的assets/bin/Data/Managed/Metadata/目录下。运行后它能生成一个包含所有C#类、方法、字段信息的Dump.cs文件以及一个重要的script.json。这个JSON文件包含了关键符号的偏移量是我们连接静态二进制和运行时元数据的桥梁。Frida或GameGuardian可选用于动态调试、内存搜索和验证。Frida功能更强大适合复杂交互GameGuardian上手简单适合快速搜索和修改。注意获取游戏的libil2cpp.so和global-metadata.dat文件通常需要解包APK。你可以使用任何标准的APK解包工具如apktool。请确保你的行为仅用于学习与研究遵守相关软件的使用条款和法律法规。3. 实战第一步静态分析与API地址定位拿到libil2cpp.so后第一步是用IDA Pro打开它进行静态分析。这个过程可能比较耗时因为文件通常很大几十MB到上百MB。3.1 初始分析与字符串检索IDA加载完成后首先让它完成自动分析。然后我们可以从字符串入手。虽然C#符号名没了但il2cpp运行时内部的某些字符串、错误信息、日志标签可能还在。尝试在字符串窗口ShiftF12搜索il2cpp_你可能会发现一些有趣的字符串比如il2cpp_init、il2cpp_shutdown甚至是il2cpp_class_from_name这样的完整函数名残留。这能给我们一些信心确认文件未被过度混淆。不过更可靠的方法是直接利用Il2CppDumper的输出。运行Il2CppDumper后你会得到一个script.json文件。用文本编辑器打开它搜索Address:或il2cpp。这个文件里可能包含了il2cpp_init、il2cpp_domain_get等关键函数的文件偏移量File Offset或相对虚拟地址RVA。例如你可能会找到这样一条记录{ Name: il2cpp_class_from_name, Address: 0x123456 }这里的0x123456很可能就是该函数在libil2cpp.so文件中的偏移量。在IDA中按下G键跳转到地址输入这个偏移量IDA通常会带你到该函数的起始位置。如果跳转后看到的是一堆数据而非代码可能需要检查偏移量是RVA还是文件偏移或者尝试加上.so文件加载的基地址在动态调试时更重要。3.2 识别关键API函数特征即使没有Il2CppDumper的提示我们也可以手动寻找。il2cpp的API函数有一些共同特征。在IDA的导出函数表CtrlE里虽然看不到C#方法但可以看到一些动态链接的符号。更重要的是我们可以通过函数调用关系来定位。一个典型的思路是寻找il2cpp_runtime_invoke。这个函数是动态调用的核心它的参数列表非常固定MethodInfo* method, void* obj, void** params, void** exc。在反汇编代码中你可能会看到它被一个包装函数调用而这个包装函数内部有大量的参数处理和错误检查逻辑。通过交叉引用Xrefs to找到调用il2cpp_runtime_invoke的函数再向上追溯就可能找到il2cpp_class_get_method_from_name等函数。另外关注JNI_OnLoad函数。很多Android原生库都有这个入口点il2cpp运行时也可能在这里进行初始化。在这个函数附近你经常能看到对il2cpp_init的调用。3.3 使用IDAPython脚本自动化查找手动查找效率低下编写IDAPython脚本是专业逆向工程师的必备技能。我们可以基于函数签名、字符串引用或模式匹配来编写脚本。假设我们已经从script.json或其它途径知道了il2cpp_class_from_name的函数签名在ARM64上它可能有两个参数一个指向Il2CppImage的指针和一个表示名称字符串的指针。我们可以写一个脚本遍历所有函数寻找符合特定指令模式的代码片段。一个更简单实用的方法是利用字符串引用。我们可以搜索包含il2cpp的字符串然后找出所有引用了这个字符串地址的函数再结合函数名如果还有的话或周边代码逻辑来判断。import idautils import idaapi import idc # 查找包含“il2cpp”的字符串地址 il2cpp_str_addr None for s in idautils.Strings(): if “il2cpp” in str(s): il2cpp_str_addr s.ea print(f“Found string at 0x{il2cpp_str_addr:x}: {str(s)}”) # 不一定只找一个可以收集到一个列表里 if il2cpp_str_addr: # 获取所有引用这个字符串地址的代码位置 for ref in idautils.DataRefsTo(il2cpp_str_addr): print(f“Data referenced at 0x{ref:x}”) # 找到引用处的函数 func idaapi.get_func(ref) if func: print(f“ Belongs to function at 0x{func.start_ea:x}”) # 可以进一步反汇编这个函数看看它是不是我们要找的API这个脚本能帮你快速缩小范围。找到候选函数后需要人工介入分析其参数传递、返回值等以确认其身份。4. 实战第二步动态调试与地址验证静态分析找到的地址在游戏进程实际运行时可能会因为地址空间布局随机化ASLR而发生变化。因此我们必须进入动态调试阶段获取API函数在目标游戏进程中的实际内存地址绝对地址。4.1 附加进程与计算基址使用adb转发调试端口adb forward tcp:23946 tcp:23946 # IDA的默认Android调试端口在IDA中选择调试器Debugger - Select debugger - Remote ARM Linux/Android debugger。附加进程Debugger - Process options 输入目标游戏的进程名如com.example.game。附加成功后IDA会暂停进程。获取模块基址这是最关键的一步。在IDA的模块窗口View - Open subviews - Modules中找到libil2cpp.so。记下它的基址Base例如0x70000000。计算绝对地址假设通过静态分析我们确定il2cpp_class_from_name在libil2cpp.so文件内的偏移量是0x123456。那么它在游戏进程中的绝对地址就是绝对地址 模块基址 文件偏移量 0x70000000 0x123456 0x70123456这个0x70123456就是我们在后续代码注入中需要使用的真实地址。4.2 使用Frida进行快速验证在编写复杂的注入代码前可以用Frida写一个简单的脚本来验证我们计算的地址是否正确以及API是否可用。// frida_verify.js Java.perform(function() { // 假设我们已经计算好了地址 var il2cpp_base Module.findBaseAddress(“libil2cpp.so”); var offset_class_from_name 0x123456; // 你的偏移量 var addr_class_from_name il2cpp_base.add(offset_class_from_name); console.log(“[*] libil2cpp.so base: ” il2cpp_base); console.log(“[*] il2cpp_class_from_name estimated at: ” addr_class_from_name); // 尝试将其声明为一个NativeFunction来调用 // 首先需要知道函数原型。假设它返回指针接受两个指针参数。 var il2cpp_class_from_name new NativeFunction( addr_class_from_name, ‘pointer’, [‘pointer’, ‘pointer’], // 返回类型参数类型列表 ‘abi’ ); // 为了调用我们还需要获取 Il2CppImage* 和 字符串。 // 这通常需要更多逆向工作来找到默认的Image指针如 il2cpp_domain_get()-assemblies[0]-image。 // 这里仅作地址有效性演示。 console.log(“[*] Function pointer seems valid.”); // 更实际的验证可以Hook这个函数看看它什么时候被调用参数是什么。 Interceptor.attach(addr_class_from_name, { onEnter: function(args) { console.log(“il2cpp_class_from_name called!”); console.log(“Arg0 (Image*): ” args[0]); console.log(“Arg1 (name char*): ” args[1].readCString()); // 读取字符串 }, onLeave: function(retval) { console.log(“Returned class pointer: ” retval); } }); });使用命令frida -U -l frida_verify.js com.example.game来运行脚本。如果Hook成功并看到输出说明地址计算正确函数可访问。你甚至能看到游戏运行时在查找哪些类这是一个宝贵的信息源。5. 实战第三步构建动态调用链验证了关键API的地址后我们就可以着手构建完整的动态调用链了。这个过程本质上是在Native层C/C手动重现C#反射调用。5.1 关键API函数原型与作用我们需要用到以下几个核心API函数指针il2cpp_domain_get(): 获取当前的Il2CppDomain。这是所有操作的起点。il2cpp_domain_get_assemblies(domain, count): 获取Domain中所有的程序集Assembly。il2cpp_class_from_name(image, namespace_cstr, name_cstr): 根据命名空间和类名从指定的Il2CppImage中获取Il2CppClass结构指针。Image通常来自Assembly。il2cpp_class_get_method_from_name(klass, method_name_cstr, args_count): 从类中根据方法名和参数个数获取MethodInfo指针。il2cpp_runtime_invoke(method, obj, params, exception): 最终的执行者。传入MethodInfo、对象实例静态方法则为nullptr、参数数组和异常指针。我们的任务就是按顺序获取这些函数的地址然后像拼图一样把它们组合起来。5.2 编写Native注入代码C/C示例在实际操作中我们通常会将调用逻辑写在一个独立的.so库中然后通过LD_PRELOAD或ptrace注入到游戏进程。这里给出一个概念性的C代码框架展示核心逻辑。// injector.c #include stdio.h #include stdlib.h #include string.h #include unistd.h #include dlfcn.h // 声明函数指针类型 typedef void* (*t_il2cpp_domain_get)(); typedef void** (*t_il2cpp_domain_get_assemblies)(void* domain, size_t* size); typedef void* (*t_il2cpp_class_from_name)(void* image, const char* namespaze, const char* name); typedef void* (*t_il2cpp_class_get_method_from_name)(void* klass, const char* name, int argsCount); typedef void* (*t_il2cpp_runtime_invoke)(void* method, void* obj, void** params, void** exc); // 全局函数指针 t_il2cpp_domain_get il2cpp_domain_get NULL; t_il2cpp_domain_get_assemblies il2cpp_domain_get_assemblies NULL; t_il2cpp_class_from_name il2cpp_class_from_name NULL; t_il2cpp_class_get_method_from_name il2cpp_class_get_method_from_name NULL; t_il2cpp_runtime_invoke il2cpp_runtime_invoke NULL; // 初始化函数指针 void init_il2cpp_functions() { void* handle dlopen(“libil2cpp.so”, RTLD_LAZY); if (!handle) { // 如果dlopen失败可能是已经加载。尝试从当前进程获取地址。 // 这里我们假设已经通过其他方式如计算偏移得到了绝对地址。 // 将绝对地址强制转换为函数指针。 il2cpp_domain_get (t_il2cpp_domain_get)(0x70000000 0xABCD00); // 示例地址 il2cpp_class_from_name (t_il2cpp_class_from_name)(0x70000000 0x123456); // ... 初始化其他函数指针 } else { // 如果dlopen成功可以直接dlsym但游戏主so可能已经加载这种方式不一定可靠 il2cpp_domain_get (t_il2cpp_domain_get)dlsym(handle, “il2cpp_domain_get”); // ... 其他函数 dlclose(handle); } } void call_target_method() { // 1. 获取Domain void* domain il2cpp_domain_get(); if (!domain) { printf(“Failed to get domain\n”); return; } // 2. 获取程序集列表这里简化处理取第一个 size_t count 0; void** assemblies il2cpp_domain_get_assemblies(domain, count); if (count 0 || !assemblies) { printf(“No assemblies found\n”); return; } void* first_assembly assemblies[0]; // 通常需要通过Assembly获取Image这里假设first_assembly可以直接作为Image或能找到Image指针。 // 实际情况需要逆向il2cpp::Assembly结构。这里用first_assembly代替image。 void* image first_assembly; // **注意这是简化假设** // 3. 获取目标类 (例如命名空间“MyGame”类名“PlayerController”) void* target_class il2cpp_class_from_name(image, “MyGame”, “PlayerController”); if (!target_class) { printf(“Class not found\n”); return; } // 4. 获取目标方法 (例如方法名“Heal”参数个数1) void* target_method il2cpp_class_get_method_from_name(target_class, “Heal”, 1); if (!target_method) { printf(“Method not found\n”); return; } // 5. 准备参数 void* params[1]; int heal_amount 100; params[0] heal_amount; // 假设Heal方法接受一个int参数 void* exception NULL; // 6. 调用方法 (假设是静态方法obj传NULL) void* result il2cpp_runtime_invoke(target_method, NULL, params, exception); if (exception) { printf(“Invoke failed with exception\n”); // 处理异常... } else { printf(“Method invoked successfully!\n”); } } __attribute__((constructor)) void main_entry() { printf(“[Injector] Loaded\n”); init_il2cpp_functions(); // 可以在这里直接调用或者创建一个线程循环调用 call_target_method(); }这段代码是一个高度简化的示例。真实场景中最大的挑战在于获取正确的Il2CppImage指针il2cpp_class_from_name需要一个Image*参数。你需要遍历所有Assembly找到包含目标类的那个并获取其Image。这需要你逆向Il2CppAssembly和Il2CppImage的结构关系。参数传递il2cpp_runtime_invoke的params是一个指向指针数组的指针。每个参数必须是一个指向实际数据的指针。对于值类型int, float, struct需要分配内存并拷贝值对于引用类型需要传递正确的对象指针。处理返回值和异常result和exception需要根据具体类型进行解析。5.3 使用Il2CppDumper的元数据辅助Il2CppDumper生成的Dump.cs和script.json是宝贵的参考资料。Dump.cs告诉你完整的类结构、方法签名。script.json中的Address字段可能直接给你关键API的偏移甚至一些重要静态变量如s_Il2CppMetadataRegistration的偏移这些变量持有所有类型、方法信息的指针表是另一种定位类和方法的方式有时比遍历Assembly更直接。你可以编写一个IDAPython脚本读取script.json自动在IDA中重命名函数、添加注释甚至根据元数据信息尝试恢复部分C#类结构这能极大提升静态分析效率。6. 常见问题、踩坑记录与进阶技巧6.1 地址偏移不准或API不可用问题计算出的绝对地址无效访问时导致崩溃。排查确认基址动态调试时多次重启游戏观察libil2cpp.so的基址是否变化ASLR。确保你的偏移量计算基于正确的基址。验证偏移量使用IDA静态分析在疑似API函数的起始位置查看其文件偏移量在IDA状态栏或按AltT计算。与Il2CppDumper或自己计算的值对比。检查Thumb模式ARM架构有Thumb和ARM两种指令集。如果函数地址是奇数如0x123457说明它是Thumb模式调用时可能需要将地址1。在IDA中按AltG将T寄存器值设为1可以正确反汇编Thumb代码。API签名错误你找到的函数可能不是你以为的那个。仔细分析其参数和返回值与il2cpp运行时头文件可从Unity源码或社区找到中的声明对比。6.2 获取不到类或方法问题il2cpp_class_from_name或il2cpp_class_get_method_from_name返回NULL。排查命名空间和类名确保大小写完全正确。使用Il2CppDumper生成的Dump.cs核对。Image指针错误这是最常见的原因。你不能随便用一个Assembly指针当作Image。需要找到Il2CppAssembly结构体中的image字段偏移。通过逆向或查阅开源il2cpp逆向项目如Il2CppInspector来获取结构定义。方法参数个数il2cpp_class_get_method_from_name的第三个参数是参数个数不包括隐含的this参数对于实例方法。重载方法需要通过参数类型来区分仅靠参数个数可能无法定位。泛型类/方法处理泛型非常复杂需要先构造具体的泛型实例。对于初学者建议先从非泛型的普通类和方法入手。6.3 调用时游戏崩溃问题il2cpp_runtime_invoke导致游戏闪退。排查参数错误检查params数组的构建。确保每个参数都是指向正确数据的指针。对于string类型需要传递Il2CppString*对象不能直接传char*。对象实例调用实例方法时obj参数必须是一个有效的该类的实例指针。你需要先找到或创建一个对象实例。对于静态方法obj应为NULL。GC问题如果你自己构造了Il2CppString等托管对象需要确保它们被GC正确管理否则可能被意外回收导致崩溃。复杂对象操作建议深入研究il2cpp的GC API。线程安全确保你的注入代码在合适的线程上下文中执行。某些Unity API或游戏逻辑可能要求在主线程调用。6.4 进阶技巧与优化使用Frida进行快速原型验证在编写复杂的C注入库之前先用Frida JS脚本验证你的思路。Frida可以方便地调用NativeFunction、读写内存、Hook函数是动态探索的绝佳工具。Hookil2cpp_runtime_invoke本身通过Hook这个函数你可以监控游戏内部所有通过反射进行的调用了解其调用模式、参数和返回值这对于理解游戏逻辑和寻找目标方法非常有帮助。利用Il2CppMetadataRegistration这个全局结构体包含了所有类型、方法、字段的指针表。通过Il2CppDumper的script.json找到它的地址你可以直接遍历这些表来查找类和方法有时比调用API更高效。关注il2cpp_thread_attach/il2cpp_thread_detach如果你的注入代码运行在非托管线程如自己创建的pthread在调用任何il2cpp API前需要先调用il2cpp_thread_attach将线程附加到il2cpp域调用结束后再il2cpp_thread_detach以避免崩溃。结构化你的注入代码将地址查找、API封装、游戏逻辑分离。可以设计一个简单的“Il2Cpp Helper”模块封装好常用的查找和调用功能使主逻辑更清晰。逆向和动态调用libil2cpp.so是一个需要耐心、细心和大量实践的过程。每一个游戏都可能因为Unity版本、编译选项、代码混淆等因素而有所不同。没有放之四海而皆准的脚本但掌握本文所述的思路和工具链你将拥有解决这类问题的通用能力。从静态分析定位关键点到动态调试验证地址再到构建完整的调用链每一步都充满了挑战和发现的乐趣。记住每一次崩溃的logcat输出每一个IDA中分析出的结构体都是通往最终目标的阶梯。
