送給最好的Ta軟件

《送給最好的TA》是9月27號(hào)才崛起的惡搞軟件，聽(tīng)說(shuō)這款軟件可以發(fā)出領(lǐng)大家臉紅的聲音，甚至有很多同學(xué)為了阻止此聲音把手機(jī)都折了。下面小編帶大家一起來(lái)看一下這款軟件到底有什么神奇之處吧！

2019年9月27號(hào)，很多大學(xué)里面都發(fā)生了一件大事，一款名為《送給最好的TA》的軟件整潔了整個(gè)大學(xué)校園，據(jù)說(shuō)這款軟件非常的神奇，非常的惡搞，能夠讓手機(jī)發(fā)出那種讓人臉紅、羞羞的聲音，很多學(xué)生上課開(kāi)會(huì)的時(shí)候出現(xiàn)了這種聲音，這稱為9.27事件始末，其實(shí)，今天群里有人傳了個(gè)apk文件，名字叫送給最好的TA。這是一個(gè)整人app，安裝并打開(kāi)會(huì)播放一段音頻，并循環(huán)調(diào)節(jié)媒體音量，維持最大值。從后臺(tái)劃掉/卸載/關(guān)機(jī)都可以停止該程序。

《送給最好的Ta》軟件詳情

在中招后，不僅無(wú)法減小音量，不能鎖屏，也沒(méi)法關(guān)機(jī)，唯一能讓它停下的方法只有破壞手機(jī)。目前已經(jīng)有很多名同學(xué)受其所害，更可怕的是有部分人處于看熱鬧不怕事大的心理將該APP改名后繼續(xù)傳播。

最慘的還屬下面這位同學(xué)，因?yàn)樵诜浅Ｖ匾闹v座上突然發(fā)生了這種事情，據(jù)他本人透露，目前他已經(jīng)被學(xué)校記大過(guò)并遭到停學(xué)處分。同學(xué)當(dāng)初發(fā)給他時(shí)只是為了惡作劇，卻可能直接毀了他的未來(lái)。該事件真實(shí)性有待確認(rèn)，但是大家千萬(wàn)要當(dāng)心不能再上當(dāng)了，否則你的下場(chǎng)可能真的是這樣的。

《送給最好的Ta》相關(guān)新聞

在往常一樣的普通課堂上，響亮的嬌喘聲打破了原本的寧?kù)o，一場(chǎng)惡作劇正在個(gè)高高校上演。一款名為“送給最好的TA”的手機(jī)APP在安裝后，會(huì)自動(dòng)播放嬌喘聲音，且無(wú)法調(diào)音量，無(wú)法關(guān)機(jī)。最終有同學(xué)為了保全名譽(yù)，只能當(dāng)場(chǎng)掰斷手機(jī)。因?yàn)槭录l(fā)生在9月27日，因此這一些列事件被大家稱之為“927事件”。

不止出于何種目的，9月27日一款名為“送給最好的TA”的手機(jī)APP在各大高校間。由于好奇心的驅(qū)使，不少同學(xué)在安裝并打開(kāi)立刻意識(shí)到自己就要身敗名裂了。因?yàn)樵幃惖囊纛l流氓軟件在打開(kāi)之后會(huì)讓你的手機(jī)失去控制，以最大音量不斷的播放嬌喘聲，此外還會(huì)持續(xù)截圖盜取信息。

《送給最好的Ta》小編點(diǎn)評(píng)

各位用戶如果有該軟件的話，一定不要在課堂或者人多的地方使用，危險(xiǎn)系數(shù)非常之大。

《送給最好的Ta》使用說(shuō)明

有人傳了個(gè)apk文件，名字叫送給最好的TA。這是一個(gè)整人app，安裝并打開(kāi)會(huì)播放一段音頻，并循環(huán)調(diào)節(jié)媒體音量，維持最大值。從后臺(tái)劃掉/卸載/關(guān)機(jī)都可以解決

apk分析

拿到樣本之后，別急著安裝運(yùn)行，先看看它的目錄結(jié)構(gòu)。

打開(kāi)assets文件夾，看到有一個(gè)mp3文件以及兩個(gè)加密后的lua腳本：

運(yùn)行app后會(huì)自動(dòng)播放這個(gè)音頻文件，先對(duì)它進(jìn)行替換。

這里使用AU對(duì)該mp3進(jìn)行了靜音處理。

(其實(shí)可以替換成自己想要播放的音頻，重打包簽名即可)。

找到加載lua的關(guān)鍵函數(shù)

眾所周知，lua腳本需要加載，而在加載之前肯定是要先解密的，所以只要找到解密函數(shù)，然后就可以把解密后的lua腳本dump出來(lái)。

使用IDA打開(kāi)libluajava.so，經(jīng)過(guò)分析找到函數(shù)luaL_loadbufferx

luaL_loadbufferx的第二個(gè)參數(shù)是加密的字節(jié)數(shù)組，第三個(gè)參數(shù)是大小，第四個(gè)參數(shù)是lua文件位置。

這個(gè)函數(shù)就是加載加密lua腳本的地方，其中對(duì)腳本進(jìn)行了解密操作。

根據(jù)第四個(gè)參數(shù)我們可以區(qū)分目前加載的lua腳本名稱，從而選擇性地dump

(即在函數(shù)開(kāi)頭下斷點(diǎn)，查看第四個(gè)參數(shù)內(nèi)容)

luaL_loadbufferx函數(shù)偽代碼如下：

首先對(duì)輸入的字節(jié)數(shù)組進(jìn)行判斷，如果以1B開(kāi)頭，且第二位不是0C，則進(jìn)行解密操作，否則直接調(diào)用j_lua_load加載lua腳本

在第41行下斷點(diǎn)即可獲取到解密后的字節(jié)數(shù)組，從而dump

動(dòng)態(tài)調(diào)試進(jìn)行dump

IDA在第41行斷下之后，運(yùn)行python腳本dump即可

import idaapidata = idaapi.dbg_read_memory(0xf4daff00, 0x3000)fp = open('d:dump.lua', 'wb')fp.write(data)fp.close()

此處的0xf4daff00, 0x3000需要替換成起始地址和長(zhǎng)度

長(zhǎng)度寫(xiě)大一點(diǎn)也沒(méi)事，可以再用010Editor刪除(所以我這寫(xiě)的0x3000)

分析lua

由于解密出來(lái)的lua也不是源碼形式，而是字節(jié)碼，所以腳本邏輯看起來(lái)沒(méi)那么輕松，但也不是不能理解。

主要功能在main.lua中完成:

大致看了一下，其實(shí)就是播放音頻和循環(huán)調(diào)節(jié)媒體音量，并攔截了返回鍵。

主要功能其實(shí)跟以前那個(gè)叫目力的app差不多。(不過(guò)今天這個(gè)apk的音頻就太那啥了...)

相關(guān)資訊

原音頻據(jù)說(shuō)是橋本有菜的美腳女老師。。。

再再次更新。

給這位同學(xué)點(diǎn)贊，完美實(shí)踐了“科技向善”。

更新，我發(fā)現(xiàn)有的同學(xué)太社會(huì)了。

怕這軟件被認(rèn)出來(lái)，有人改名字發(fā)到群里忽悠人，有人改程序大小坑人。

佩服佩服。

牛逼軟件，憑借yin叫聲攻破了北清復(fù)交浙大華科同濟(jì)哈工大等諸多國(guó)內(nèi)知名高校。

一舉活躍了中國(guó)各大高校課堂氣氛(尤其我們學(xué)校上思修近綱之類的水課)，讓下載好點(diǎn)開(kāi)的勇士名垂青史。

注:頭鐵的各位，覺(jué)得床叫聲滿足不了的話，可以試試盧本偉sb的那個(gè)病毒軟件，以及送給親愛(ài)的她那個(gè)嚇人軟件。

首先，希望大家不要下載、不要傳播這個(gè) app。

結(jié)論：從所使用的框架（看起來(lái)比較小眾）、lua 源碼來(lái)看，作者并沒(méi)有收集用戶信息并上傳的意思，只是簡(jiǎn)單的惡搞行為。大家只需要將應(yīng)用卸載就行了，不必上升到格式化和重裝手機(jī)，畢竟現(xiàn)在的安卓安全性也沒(méi)那么差。

高贊的那些反編譯截圖與解讀其實(shí)是有點(diǎn)問(wèn)題的，大家冷靜一下。反編譯出來(lái)的文件里并沒(méi)有高贊里傳的 B 站 up 主的信息，不知道那個(gè)圖從何而來(lái)？

不知道開(kāi)發(fā)這個(gè) app 的開(kāi)發(fā)者有沒(méi)有涉嫌違法，還請(qǐng)法律人士來(lái)解答一下。（已經(jīng)大規(guī)模傳播并造成了惡劣影響）

下面給大家分析一下這個(gè) apk 里有點(diǎn)什么，同時(shí)也教大家如何自己動(dòng)手粗略看一下這個(gè) apk 里有些啥。我得到的是那個(gè)大小為 741707 字節(jié)，MD5 為 9819f3fa458129d7ca092c32839b7f38，應(yīng)用名為 <送給最好的TA> 的 apk。

首先打開(kāi)http://www.javadecompilers.com/apk/，將這個(gè) apk 上傳，然后下載反編譯后的壓縮包。

解壓后你就可以在sources/文件夾里查看代碼，在resources/文件夾里找到一些資源信息?，F(xiàn)在我來(lái)給大家分析一下。

先看一下文件resources/AndroidManifest.xml，可以看到里面有文件寫(xiě)入的權(quán)限，也有網(wǎng)絡(luò)訪問(wèn)的權(quán)限（難道真的會(huì)收集信息？），還可以發(fā)現(xiàn)啟動(dòng)的是com.androlua.Welcome這個(gè)Activity，在sources文件夾將其找到，打開(kāi)看了一下，像是一個(gè)龐大的項(xiàng)目。不過(guò)第 213 行有一句代碼

textView.setText(new String("Powered by AndoLua+"));

很可能AndoLua+是一個(gè)框架，搜索之，然后得到這樣的一個(gè)結(jié)果

看了一下這個(gè)框架，似乎是國(guó)人開(kāi)發(fā)的一個(gè) lua 寫(xiě)安卓應(yīng)用的框架，在貼吧里翻了下，似乎受眾都是一群想快速開(kāi)發(fā) app 的小白？

然后在resources/assets文件夾里找到了main.lua，但是發(fā)現(xiàn)似乎是編譯后的字節(jié)碼，無(wú)法直接查看其源碼。同時(shí)該文件夾下還有一個(gè)init.lua，在resources/lua文件夾下還有幾個(gè)lua文件。根據(jù)大佬的教導(dǎo)，得先對(duì)這些 lua 文件解密，然后再反編譯。

相關(guān)推薦

927事件？如何看待高校927事件？

高校927軟件事件怎么回事？