首页
论坛
课程
招聘
[原创] 听说最新版的某音大家都抓不到包,给大家一个方案
2021-8-23 15:34 28016

[原创] 听说最新版的某音大家都抓不到包,给大家一个方案

2021-8-23 15:34
28016

抓包

当你信心满满的吧抓包环境配置的非常完美,准备大干一场的时候. 发现某音apk用了SSLPinning
又当大家信心满满的把frida过SSLPinning 以及xposed的justtrustme安装到手机上的时候再次打开apk,发现某音apk用的竟然是非系统的的ssl库

 

以上就是我的经历,为了各位同学不必走我的弯路,今天带大家解决一下如何去除这种sslpinng方案


 

最新版的某音用上了sslpinng技术,而且还是so层,导致很多想要一窥究竟的小伙伴抓不到包,让人十分头大.

 

这里给大家带来一个不需要frida hook 抓最新版包的方案!

 

本文中以17.3 32位某音apk为例

 

首先感谢下来自3w班的同门
图片描述
教了俺定位到sslping的地方.

 

因为每次都frida hook libttboringssl.so 觉得十分繁琐,又想快速抓包.所以我用了Patch的方案

开工

打开某音的libsscronet.so 一顿乱找 然后根据关键字"SSL_CTX_set_custom_verify"找到
图片描述

 

根据老哥所说 第三个参数就是校验的地方 并且是个回调函数,那我们就进去看看那

 

ps:恕我直言,没有ollvm是真的爽,ida看起来真是太过瘾了

 

图片描述

 

首先找到ret的地方,动下小手按下X键 查找引用 找到了一个
图片描述

 

看返回值是1,但是经过查阅发现 返回值为0的时候才是 ssl_verify_ok
所以我们动下小手给他改成0 然后这种点位一共有4个 ,全部保存为0 然后save一下

 

然后拿出我们心爱的安卓手机
adb shell
su
一顿操作 找到自己的17.3apk的安装位置

 

图片描述

 

cp一下 然后
chgrp system libsscronet.so
chown system libsscronet.so
chmod 777 libsscronet.so

 

然后打开某音就会神奇的发现自己可以抓包啦,理论上所有版本通杀,只要找到关键字

 

如果不想动小手patch的同学,这里也有一份小弟搞好的32位的17.3版本的so 可以手动下载食用

 

记得流程哦 找到自己/data/data/下的某音安装目录 然后cp进去 设置个权限就可以愉快食用了哦


【公告】【iPhone 13、ipad、iWatch】11月15日中午12:00,看雪·众安 2021 KCTF秋季赛 正式开赛【攻击篇】!!!文末有惊喜~

最后于 2021-8-27 18:56 被至尊小仙侠编辑 ,原因:
上传的附件:
收藏
点赞12
打赏
分享
最新回复 (90)
雪    币: 191
活跃值: 活跃值 (131)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
BestToYou 活跃值 2021-8-23 16:07
2
0
学到了!
雪    币: 239
活跃值: 活跃值 (324)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
乐不思蜀1 活跃值 2021-8-23 17:53
3
0
学习
雪    币: 1558
活跃值: 活跃值 (474)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
乐活 活跃值 2021-8-23 19:08
4
0
学习了
雪    币: 1618
活跃值: 活跃值 (2829)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lhxdiao 活跃值 2021-8-23 22:27
5
2
不是说不想在这个地方加ollvm,而是这个地方加了ollvm以后,就手机这种破性能,能给你搞一大堆socket超时出来,所以、、、最后决定不加,别问我是怎么知道的。
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
She_949461 活跃值 2021-8-24 05:51
6
0
兄弟 能聊聊别的软件抓包吗,有偿我       QQ7520315
雪    币: 8684
活跃值: 活跃值 (1359)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tDasm 活跃值 2021-8-24 08:23
7
1
lhxdiao 不是说不想在这个地方加ollvm,而是这个地方加了ollvm以后,就手机这种破性能,能给你搞一大堆socket超时出来,所以、、、最后决定不加,别问我是怎么知道的。
加了ollvm也没用。这都是花架子。原理就不说了
雪    币: 344
活跃值: 活跃值 (754)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ogli324 活跃值 2021-8-24 09:08
8
2

@5楼

来自官方吐槽

最后于 2021-8-24 09:10 被ogli324编辑 ,原因:
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-24 09:35
9
1
高版本的手机里面,apk文件对齐之后,so不会解压。会直接mmap apk里面的so,这样自己改so就无法生效了
雪    币: 7197
活跃值: 活跃值 (5803)
能力值: (RANK:530 )
在线值:
发帖
回帖
粉丝
r0Cat 活跃值 6 2021-8-24 10:06
10
0
给力
雪    币: 8684
活跃值: 活跃值 (1359)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tDasm 活跃值 2021-8-24 10:33
11
1
virjar 高版本的手机里面,apk文件对齐之后,so不会解压。会直接mmap apk里面的so,这样自己改so就无法生效了

你这个说法有点......都root了,有用吗?安装完后替换apk中的so,再就是root的手机可以直接去掉apk安装时的sign效验。

最后于 2021-8-24 10:36 被tDasm编辑 ,原因:
雪    币: 261
活跃值: 活跃值 (208)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
fzyspark 活跃值 2021-8-24 11:29
12
0

抓包还可以直接hook java层的网络接口



最后于 2021-8-24 11:30 被fzyspark编辑 ,原因:
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-24 13:52
13
0
tDasm virjar 高版本的手机里面,apk文件对齐之后,so不会解压。会直接mmap apk里面的so,这样自己改so就无法生效了 你这个说法有点. ...
改包文件指纹变了,如果对apk文件本身进行修改,文件hash检测痕迹对抗难度大很多。或者说基本绕过不了。就算你改内核都不行
雪    币: 211
活跃值: 活跃值 (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
遮天锅锅 活跃值 2021-8-24 15:29
14
0
苹果版的可以吗
雪    币: 8684
活跃值: 活跃值 (1359)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tDasm 活跃值 2021-8-24 15:50
15
0
virjar 改包文件指纹变了,如果对apk文件本身进行修改,文件hash检测痕迹对抗难度大很多。或者说基本绕过不了。就算你改内核都不行
看来你的确没玩过。apk其它文件没变,就替换一个so。要检测只能在apk代码中检查so文件是否修改。
再说如果该apk代码中有检测so的完整性,那么这个帖子也不会存在了。
cp到某so文件目录,既然能过,为何cp到apk中替换so就不能过检测呢?

雪    币: 798
活跃值: 活跃值 (1519)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
。_879907 活跃值 2021-8-24 19:19
16
2
,可以看下我的贴子。。。
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-24 19:51
17
0
tDasm 看来你的确没玩过。apk其它文件没变,就替换一个so。要检测只能在apk代码中检查so文件是否修改。 再说如果该apk代码中有检测so的完整性,那么这个帖子也不会存在了。 cp到某so文件目录,既 ...
不,是你没玩儿过。不要和我怼,三年前你怼就没有怼过。我说的是apk本身的文件指纹,不要扯东扯西说so完整性问题。你说替换apk中的so,那肯定是apk文件被修改,和so有毛关系。
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-24 19:55
18
1
virjar 不,是你没玩儿过。不要和我怼,三年前你怼就没有怼过。我说的是apk本身的文件指纹,不要扯东扯西说so完整性问题。你说替换apk中的so,那肯定是apk文件被修改,和so有毛关系。
本人做改包和风控对抗三年多了,相关的资料也在看雪发过N次了。请道友们发言基于事实和理解发言,基于技术本身发言。。要不然我也是个刺头,等会儿这篇帖子又变成火贴了。
雪    币: 746
活跃值: 活跃值 (3519)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
至尊小仙侠 活跃值 2021-8-24 19:59
19
0
。_879907 [em_63],可以看下我的贴子。。。
我草 牛逼 
雪    币: 8684
活跃值: 活跃值 (1359)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tDasm 活跃值 2021-8-24 22:53
20
0
virjar 本人做改包和风控对抗三年多了,相关的资料也在看雪发过N次了。请道友们发言基于事实和理解发言,基于技术本身发言。[em_1]。要不然我也是个刺头,等会儿这篇帖子又变成火贴了。[em_1]

做风控的都以为是?其实是坐井观天,因为别人反风控也不会告诉你,你还自我感觉良好。
请你解释:cp到某so文件目录,既然能过,为何cp到apk中替换so就不能过检测呢?
怎么只有怼?没有任何技术含量。n年前也是无理取闹收场。

最后于 2021-8-24 22:55 被tDasm编辑 ,原因:
雪    币: 6773
活跃值: 活跃值 (995)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
gamehack 活跃值 2021-8-24 23:19
21
0
感谢分享,666
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
vvmm 活跃值 2021-8-25 02:14
22
0
除了替换还需要别的操作吗?那台手机试了下还是抓不到
雪    币: 630
活跃值: 活跃值 (169)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
萝卜炖羊肉 活跃值 2021-8-25 08:20
23
0
666
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-25 10:59
24
1
tDasm virjar 本人做改包和风控对抗三年多了,相关的资料也在看雪发过N次了。请道友们发言基于事实和理解发言,基于技术本身发言。[em_1]。要不然我 ...
1. 9楼,apk文件对齐,so不会被解压,而是直接通过mmap将apk文件映射到内存中,然后直接读取apk文件映射区域的so数据。导致不会出现so文件夹,故不存在cp so到so文件夹的说法。你所谓的cp到so目录能过的前提都不存在了,无根之飘。(本句话解释你的提问内容:“请你解释:cp到某so文件目录,既然能过,为何cp到apk中替换so就不能过检测呢?”)
2. 15楼:你的表达“看来你的确没玩过”,是不是你先无脑喷的?
3. n年前从头到尾都是你在乱喷。说话无逻辑,无条理。和你讨论A你说B,扯东扯西。无章法、无逻辑、无条理、人身攻击大过对技术的讨论。
4. N年前到现在,从我翻你的所有回帖记录来看,在我的判断中没法发现你的技术有长进。
  4.1 你还在说root可以过sign校验,sign校验是2015年以前研究的内容了。现在随便一个大厂app的校验,都不在时PackageManager那个简单的sign校验了。包括跨进程绕过hook,pm命令行绕过,apk文件自行解析绕过、native解析绕过,syscall直接读取文件绕过。你把so放到apk中,还想过掉sign是真的异想天开。
  4.2 我的描述本来就有限定,在高版本的Android系统中,如果apk文件进行了对齐。android系统为了节省系统资源,是不会释放so到lib目录,而是直接使用apk文件。在这种场景下楼主的方案可能失效。来回几个回合,你连我描述的基本约束都没用理解,还在一个劲儿的说so复制,说so放到apk文件中。我说so修改到apk文件中会导致apk文件指纹改变,你还在说so完整性问题。你对Android的研究,我可以毫不客气的说,你就在写一些xposed插件,用一用apktool的入门水平
  
雪    币: 1876
活跃值: 活跃值 (3052)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
virjar 活跃值 1 2021-8-25 11:03
25
0
关于:“做风控的都以为是?其实是坐井观天,因为别人反风控也不会告诉你,你还自我感觉良好”,很抱歉,至少目前我们业务上确实过了很多风控,这是给业务带来收益,所以这个可以论证我们不是坐井观天,而是你无知无畏。风控防守这一侧我们也做了不少工作,实操给公司减少了亏损。
游客
登录 | 注册 方可回帖
返回