Intro
360加固保可以针对ELF和DEX进行保护，360某些产品的ELF文件基本都使用了自家产品进行加壳，而这些正是我们感兴趣的东西。由于文件比较多，为了能够快速的拿到Payload，最近稍微总结了一些较为通用的方法。
大体流程
壳整个流程的目的是解密核心ELF文件到内存中，关键解密的地方有3处，均使用RC4。
- INIT_ARRAY：壳填充了结构，Linker在so加载完毕后会调用这个回调。这个函数被重命名为__gnu_armfini_26。其功能是进行一些反调试，并且解密JNI_Onload的代码。
- JNI_Onload：JNI_OnLoad负责解密核心ELF并加载。此时解密的ELF文件的入口代码没有解密。
- __gnu_Unwind_0：最后的步骤，解密核心ELF的入口代码。在不同的版本中解密入口代码的地方有所不同，一般的产品中在壳调用原始JNI_OnLoad之前会进行解密，360的某些产品则会通过Hook库函数的方式，在调用库函数之前再进行解密。
关键函数
外壳大部分函数名被修改成了伪库函数的名字，如图：