首页
论坛
课程
招聘
[原创]逆向某4399分析过程
2022-2-18 10:47 26858

[原创]逆向某4399分析过程

2022-2-18 10:47
26858

1.抓包报⽂分析 

1.1.charles抓包分析报⽂ 

登录和注册 发送验证码  都带有⼀个sign字段

其他参数都为固定参数 ⽐如请求头中的

只有这个sign每次都是变化的,那我们就开始分析这个sign


2.⽼规矩 

1.先查apk是否加固 查询发现没加固 

2.直接上jdax打开apk,能正常反编译

3.发现⽹络框架使⽤的okhttp 


3.代码分析 

1.因为使⽤的okhttp框架 那么⾃然直接搜索OKhttpClient 在哪被初始化 jadx直接搜索到

看名字猜测应该是⽹络核⼼⽗类,接着按x找到相关引⽤类 找到

看名字就猜到了http相关的⼯具类,接着继续找关键字sign ,因为⽹络相关的类都在framework包下的 helper⼦⽬录中所有随便翻翻找到⼀个



打开⼀看找到app相关的native⽅法都在这类中定义 按x找到相关引⽤的类中 有⼀个

看⽅法名就猜到了应该是计算sign的⽅法,打开看果然是



计算⽅法为

1.调⽤buildSignRequestParams(str,map)⽅法将请求参数赋值给hashMap,并将hashMap中的值按照 key进⾏排序,重新赋值给map

2.遍历排序后的hashmap的取出value进⾏拼接传递给buildSignValue()⽅法,调⽤native⽅法 ⽤frida Hook这两个⽅法调⽤也证明了这两点:


3.接下来开始分析native⽅法 getServerApi() 找到使⽤的so 包为libNativeHelper.so


扔到ida看导出函数发现是jni动态注册没找到getServerApi()这个⽅法,接下来使⽤unidbg进⾏分析 call_jni_onload 后找到 偏移地址0x12795



idaG 跳转到偏移地址



查看sub_4DF0函数F5⽣成伪代码





阅读代码修改原有的字段名称。祭出⼤杀器unidbg Hookz

多次调⽤⽅法发现⼊参为⼀串固定字符串值,先暂定它为加密因⼦吧! hook伪代码中的

strcat(参数1,参数2);

参数1为之前调⽤java native⽅法中请求参数排序后的value 字符串,参数2位固定的加密因⼦ 将两个字 符串拼接后⽣成新的待加密串。 

接着分析 sub_4538(&v20)函数


这个4个常量 在结合sign的⻓度为32 很明显的可以猜到使⽤的MD5加密,具体在往下看。 分析sub_4564()函数;

hook函数sub45F4函数 得到的⼊参 为 md5标识和待加密串 接着点进去查看这个函数具体实现

最终hook这两个函数都没发现⽣成具体的sign值 加密串也没有最终被修改 于是随⼿拿之前得到的加密串去做个MD5发现直接就跟sign⼀样 所以⼤概得出这个sign算法就是标准的 MD5




【看雪培训】《Adroid高级研修班》2022年夏季班招生中!

收藏
点赞4
打赏
分享
打赏 + 80.00雪花
打赏次数 1 雪花 + 80.00
 
赞赏  Editor   +80.00 2022/03/23 恭喜您获得“雪花”奖励,安全圈有你而精彩!
最新回复 (7)
雪    币: 543
活跃值: 活跃值 (667)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
夜的静night 活跃值 2022-2-18 21:12
2
0
支持。。。
雪    币: 263
活跃值: 活跃值 (51)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
小嗨嗨 活跃值 2022-2-21 17:49
3
0
支持
雪    币: 1567
活跃值: 活跃值 (422)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
Tajang 活跃值 2022-3-3 16:39
4
0
大佬强啊
雪    币: 199
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
wx_洛玖川 活跃值 2022-3-8 14:48
5
0
666
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
‮eusy0r 活跃值 2022-3-8 20:56
6
0
666
雪    币: 20
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
‮dualC 活跃值 2022-3-8 21:32
7
0
666
雪    币: 244
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
LQ6H 活跃值 2022-3-23 22:57
8
0
666
游客
登录 | 注册 方可回帖
返回