04|某听书App Signature分析-阿里云开发者社区

04|某听书App Signature分析

2023-09-17 91

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 04|某听书App Signature分析

样本：aHR0cHM6Ly93d3cuYWxpeXVuZHJpdmUuY29tL3MvbkFBcUhtcGFBczg=

观前提示：

本文章仅供学习交流,切勿用于非法通途,如有侵犯贵司请及时联系删除

0x1 抓包

打开抓包软件，发现app显示服务器连接失败，关闭抓包又正常了

基本可以考虑是证书验证了。

绕过方法网上很多，这里就不详细介绍。

绕过证书验证后就能正常抓包了

本文只分析signature这个字段的加密

0x2 加密位置分析

根据抓包信息搜索关键字很快就能找到关键点。

双击进来并找用例

跳转过来后就能看到signature的加密处了

进入LoginRequest.a方法

再继续进入b方法

可以看到这里就是加密处

进入a2.a方法后可以看到读取了map的内容拼接成字符串放进OvhrqNJCPF方法进行加密

进入OvhrqNJCPF方法

能看到是一个native方法，加载的是liblogin_encrypt.so

0x3 So分析

打开IDA，打开so文件。

搜Java可以看到出现了几个方法，其中也包含了本次分析的OvhrqNJCPF。

双击进来

发现需要等待挺久的，这是因为代码被混淆过了，体积膨胀了很多，加载需要点时间。

加载后能看到一堆框框，看到这个真是令人悲伤，又要爆肝了。

Tab看看伪代码发现字符串也被混淆了，并且可以使用Frida 一个一个dump数据。

只需要取so的地址再加上偏移地址就可以获取到正常的字符串了。

但是，字符串这么多需要挺大耐心的。

如下我曾经的分析记录

当然，还原字符串的方法不止这一个。

后面，我使用IDA动态调试dump出数据并配合010 Editor来替换数据，同样达成字符串还原的效果。(这里我比较懒,我就不详细说明流程了)

参考文章：
https://blog.csdn.net/wang_624/article/details/115066838
https://www.bilibili.com/video/BV1pa411w7Gz?from=search&seid=925396145472135392&spm_id_from=333.337.0.0

dump脚本

static main(void){
auto fp,dexAddress,end,size;
dexAddress=0xC5919000;
end=0xC591B000;
fp=fopen("I:\\liblogin_encrypt.so","wb");
for(;dexAddress<end;dexAddress++)
fputc(Byte(dexAddress),fp);
}