基本启动流程

jvm在指定-agentpath:./.so后，会先加载此so文件，然后运行此入口函数：

1	JNIEXPORT jint JNICALL Agent_OnLoad(JavaVM vm,char options,void *reserved)

参考：Java Agent机制 · 攻击Java Web应用-[Java Web安全]
容易推测，jvm会先通过此入口函数进行初始化，包括实现一个Loader，其在运行时会对Class文件进行解密。

so脱壳

拖入IDAPro对so文件进行分析，从导出表进入查看其代码，发现被加密，其他函数也是加密状态：

很明显so本身也加壳，并且未能确定so壳类型。由于so在加载时，操作系统会调用其_init_proc函数。于是查看此函数，发现未被加密：

可推测此函数进行了so的解密流程。于是手动编写加载程序test.c：

#include <stdio.h>
#include <dlfcn.h>

int main(int argc, char* argv[]) {
        void * handle;
        char * error;
    
        handle = dlopen(argv[1], RTLD_NOW);
        if (handle == NULL) {
                printf("Open library *s error: *s\n", argv[1], dlerror());
                return -1;
        }
        printf("Open success! %x %s\n", handle, argv[1]);
        while (1) {}
    
        return 0;
}

编译后通过ida进行远程调试，待so被加载后查看其内存段：

进入可执行段，修复ida的函数声明。其中解密后的函数相对段基址的偏移不变，因此可以对照原so对虚拟基址的偏移确定解密后段中函数的位置。
由于dump（参考Android so层怎么去脱壳）后需要修复虚拟地址等，于是直接在此进程中进行分析。为方便分析应使用ctrl+F9导入jni.h头文件（参考ida导入jni.h）