首页
论坛
课程
招聘
[原创]星巴克APP sign逆向
2022-8-3 17:57 3211

[原创]星巴克APP sign逆向

2022-8-3 17:57
3211

抓包发现有加密

没壳,直接jadx反编译,关键加密

hook看看入参


HOOK这个方法


看看入参跟返回值,false说明他走了initSign(getAppBffPrivateKey())这个方法,走了代理类



跟这些有关

直接cyberchef解一下验证下我们猜想:

发现已经解出来了。



看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

最后于 2022-8-3 17:57 被那年没下雪编辑 ,原因:
收藏
点赞2
打赏
分享
打赏 + 1.00雪花
打赏次数 1 雪花 + 1.00
 
赞赏  Tajang   +1.00 2022/08/03 太叼了,坤哥带我
最新回复 (10)
雪    币: 2081
活跃值: 活跃值 (943)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mb_rjdrqvpa 活跃值 2022-8-3 19:16
2
0
图片太模糊了
雪    币: 1920
活跃值: 活跃值 (534)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
Tajang 活跃值 2022-8-3 19:20
3
0
牛哇牛哇,您写的这篇文章,如行云流水,徜徉恣肆。
文章构思新颖,题材独具匠心,段落清晰,情节诡异,跌宕起伏,主线分明,引人入胜,平淡中显示出不凡的文学功底,可谓是字字珠玑,句句经典,是我辈应当学习之典范。
雪    币: 441
活跃值: 活跃值 (1084)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
王麻子本人 活跃值 2022-8-3 21:59
4
0
太水了吧
雪    币: 4220
活跃值: 活跃值 (1380)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
D-t 活跃值 2022-8-4 02:04
5
0
body也是本地的aes加密 太简单了 难点是abcdef这些参数
雪    币: 4220
活跃值: 活跃值 (1380)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
D-t 活跃值 2022-8-4 02:07
6
0
成品代码:

public class xbk {
    public static String signSha256WithRSA(String value) {
        try {
            Signature signature = Signature.getInstance("SHA256withRSA");
            String key = "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";
            signature.initSign(KeyFactory.getInstance("RSA").generatePrivate(new PKCS8EncodedKeySpec(Base64.getDecoder().decode(key))));
            signature.update(value.getBytes());
            return Base64.getEncoder().encodeToString(signature.sign());
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "";
    }

    public static void main(String[] args) {
        System.out.println(signSha256WithRSA("11"));
    }
}
最后于 2022-8-4 02:09 被D-t编辑 ,原因:
雪    币: 363
活跃值: 活跃值 (182)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
月影小子 活跃值 2022-8-4 13:13
7
0
大兄弟,牛
雪    币: 30
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
TrumpWY 活跃值 2022-8-5 09:25
8
0
观摩学习了
雪    币: 3211
活跃值: 活跃值 (1310)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
木志本柯 活跃值 2022-8-5 09:43
9
0
拿到sign干嘛用的
雪    币: 30
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
TrumpWY 活跃值 2022-8-6 14:53
10
0
header除了 x-signature还有一堆参数啊  比如x-bs-device-id、X-XHPAcpXq-f、.........., 但是后面app-bff-lgc/auth/user这个接口 抓包的时候  502了   (就是登录操作login后面的接口)
雪    币: 1050
活跃值: 活跃值 (2678)
能力值: ( LV5,RANK:75 )
在线值:
发帖
回帖
粉丝
那年没下雪 活跃值 1 2022-8-6 18:02
11
0
额,只是水一篇。。。这玩意的协议拿来也没用。。。
游客
登录 | 注册 方可回帖
返回