首页
论坛
专栏
课程

[原创]某刷步软件接口分析

2020-3-22 10:37 1811

[原创]某刷步软件接口分析

2020-3-22 10:37
1811
首先和大家道歉先,由于Mac不会装jadx-gui,分析的时候显示效果有点差,请大家见谅一下。
小白第一次发帖,大佬请勿喷!
无聊的时候看到一款刷步数的软件,可以刷 微信支付宝QQ 步数。
挺强哈,那我就抓包看看。发现抓包失败了。

那么软件肯定 禁止抓包了,所以我们另谋出路吧。
先看看软件。发现软件被加固了,需要脱壳下,这里就不演示脱壳过程了。
(论坛上有大佬分享的脱壳机,大家可以去尝试下 如fdex2 反射大师)

脱壳完,通过分析com包下的e4aruntime 发现这是一款E4A编写的安卓软件。

原谅我Mac不会装jadx-gui,暂时用mt看下代码吧。
通过清单文件,我们发现在代码存储在jshare.steps下
所以我们看下主窗口的源代码





通过代码分析,我们可以很清晰的知道,确实调用了方法,禁止了抓包。
而且还有sign值,且通过Apputils下的encode方法进行加密sign值后提交到服务器。
而sign值 是通过 apputils类下的decode方法加密的 传入的值 为 jin.encode() + 账号 + 密码 + 步数 +  jin.encode()
加密的代码在so层。我也不会看so层呀  (继续看后面的操作)
因为java层 有传输 encode() 我们可以知道这个值。
而请求地址也是加密的。而且调用了其他类进行解密。我们单单分析源代码页可以解密出来。

但是,今天我讲一个另类的解密
我们可以这样。因为E4A是一个封装化的软件。所有代码都是封装在e4aruntime中。
所以我们只需要通过Xposed Hook 神器 对这些命令进行hook,就可以知道参数和返回值啦。
但是还有一个点,软件加固了,是腾讯的加固。我们需要hook到这个类加载器才可以hook这些方法成功。
这里告诉大家一个技巧 如何快速找类加载器的方法,通常类加载器的方法下有system.loadlibrary命令,因为加固后都是调用so文件的。
现在最新的 腾讯加固类加载器在  com.stub.StubApp下的attachBaseContext方法
我们通过上图,可以得知这些命令分别是 开始取网页源码,开始发送网络数据4  Authcode加密 我们找下方法。



那么我们hook这个 com.e4a.runtime.加密操作  和 apputils 的加解密方法
代码给大家贴一下
 //hook e4a 发送网络数据4
                XposedBridge.hookAllMethods(XposedHelpers.findClass("com.e4a.runtime.网络操作", classLoader),
                        "发送网络数据4",
                        new XC_MethodHook() {

                            protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {


                                String  data = (String) param.args[0];
                                String  key = (String) param.args[1];

                                Log.d("pianpu",  "=========================发送网络请求参数========================" );
                                Log.d("pianpu", "data:" +data);
                                Log.d("pianpu", "key:" +key);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "url:" +data + "\n" + "data:" +key;
                                tools.writefilebefore(path,data2,"发送网络数据4");

                            }
                            protected void afterHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String result = ""+ (String) param.getResult();
                                Log.d("pianpu", "result:" +result);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "result:" +result ;
                                tools.writefileafter(path,data2,"发送网络数据4");
                            }
                        });
                //hook e4a 取网页源码
                XposedBridge.hookAllMethods(XposedHelpers.findClass("com.e4a.runtime.网络操作", classLoader),
                        "取网页源码",
                        new XC_MethodHook() {

                            protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {


                                String  data = (String) param.args[0];
                                String  key = (String) param.args[1];

                                Log.d("pianpu",  "=========================取网页源码========================" );
                                Log.d("pianpu", "data:" +data);
                                Log.d("pianpu", "key:" +key);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "url:" +data + "\n" + "data:" +key;
                                tools.writefilebefore(path,data2,"取网页源码");

                            }
                            protected void afterHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String result = ""+ (String) param.getResult();
                                Log.d("pianpu", "result:" +result);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "result:" +result ;
                                tools.writefileafter(path,data2,"取网页源码");
                            }
                        });

                //e4a Authcode 加密获得的数据
                XposedBridge.hookAllMethods(XposedHelpers.findClass("com.e4a.runtime.加密操作", classLoader),
                        "Authcode加密",
                        new XC_MethodHook() {

                            protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String  data = (String) param.args[0];
                                String  key = (String) param.args[1];
                                Log.d("pianpu",  "|=========================Authcode加密========================|" );
                                Log.d("pianpu", "data:" +data);
                                Log.d("pianpu", "key:" +key);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "data:" +data + "\n" + "key:" +key;
                                tools.writefilebefore(path,data2,"Authcode加密");
                            }
                            protected void afterHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String result = ""+ (String) param.getResult();
                                Log.d("pianpu", "result:" +result);

                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "result:" +result ;
                                tools.writefileafter(path,data2,"Authcode加密");
                            }
                        });

                //e4a Authcode 解密获得的数据
                XposedBridge.hookAllMethods(XposedHelpers.findClass("com.e4a.runtime.加密操作", classLoader),
                        "Authcode解密",
                        new XC_MethodHook() {

                            protected void beforeHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String  data = (String) param.args[0];
                                String  key = (String) param.args[1];
                                Log.d("pianpu",  "|=========================Authcode解密========================|" );
                                Log.d("pianpu", "data:" +data);
                                Log.d("pianpu", "key:" +key);
                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "data:" +data + "\n" + "key:" +key;
                                tools.writefilebefore(path,data2,"Authcode解密");
                            }
                            protected void afterHookedMethod(XC_MethodHook.MethodHookParam param) throws Throwable {
                                String result = ""+ (String) param.getResult();
                                Log.d("pianpu", "result:" +result);

                                String path = "/sdcard/PP_Hook/"+  packagename + "/Decrypt.txt";
                                String data2 = "result:" +result ;
                                tools.writefileafter(path,data2,"Authcode解密");
                            }
                        });


我们只需要hook这4个就行。其中无论他咋加密,我们都不需要去管他。只需要看过程 和 加密类型 方法即可。
运行后,我们可以看到已经把核心代码hook下来且输出到本地文件了。



因为我不会so层分析,所以暂时对这个sign值没方法获取加密方法。(最近正在学习frida hook so层的)
据此,sign值,我确实不知道咋加密的,但是看上去像是md5加密。刚好测试了一下,这个md5没有另外的加盐处理。嘻嘻
明文的sign =Jni.encode()  + 账号 + 密码 + 步数 +   Jni.encode()  例子就是  jshare6661234561234568888jshare666
其中jshare666 是在java层传输,我们可以知道。其中的是账号 密码 步数。所以我们md5加密一下看看,与这个sign值一样不。

测试了一下,sign值是相同的,被我猜中了。属实是运气好。
这个作者也不在so层 再次加盐了。以至于被我们猜中。
那么这些提交的网址 数据 sign 我们都知道了,且加密类型 密码我们都知道。就可以调用啦。
可以看出,提交后返回的密文,进行了解密,再次返回一个链接,我们访问看看

因为我们是乱写的参数,所以自然登陆失败。


可以看到,进行一些列网页请求后返回提示给app。
据此 分析完毕。
小白首次发贴,大佬请勿喷!
有正在研究so层的,可以一起交流学习下。




2020安全开发者峰会(2020 SDC)议题征集 中国.北京 7月!

最后于 2020-3-26 14:19 被pianpu编辑 ,原因: 贴错代码
最新回复 (2)
koop 2020-3-26 08:56
2
0
请问你用的什么模拟器?
pianpu 2020-3-26 09:55
3
0
我这是mac版本的网易模拟器。兼容性比较好。
游客
登录 | 注册 方可回帖
返回