App逆向百例|13|某段子App参数分析

2023-09-17 254

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

密钥管理服务KMS，1000个密钥，100个凭据，1个月

简介： App逆向百例|13|某段子App参数分析

观前提示：

本文章仅供学习交流,切勿用于非法通途,如有侵犯贵司请及时联系删除

样本：aHR0cHM6Ly9wYW4uYmFpZHUuY29tL3MvMXl5N2Rtd1YtcEEtS1B3WmUtN3FRNlE/cHdkPWxpbm4=

0x1 抓包&定位

打开App可以直接抓包

可以看到链接的sign以及request data和response data都被加密需要分析

直接jadx-gui搜索sign=结果不多

跳转过来还不清楚传入内容是什么查找用例看调用处

从这里可知request data是AES加密后的密文 sign是对AES加密后的密文进行一个签名

从代码可知具体sign加密调用的是net_crypto.so的一个native方法

同样的实现AES加解密的是encodeAES和decodeAES

并且可知在加载so的时候调用了一次初始化方法

0x2 Unidbg黑盒调用

简简单单造轮子造完直接运行目前还未有需要补的环境

加载完后需要主动调用native_init方法

public void native_init() {
    ArrayList<Object> args = new ArrayList<>(3);
    args.add(vm.getJNIEnv());
    args.add(0);
    module.callFunction(emulator, 0x4a069, args.toArray());
}

开始报错提示缺少一些环境

根据报错把缺少环境补上即可

vm.resolveClass("android/content/Context").newObject(null)

补完这个初始化方法就不报错了

接着主动调用sign方法这里图方便直接将第二个传入参数改为了123456 只追求算法

public String sign() {
        ArrayList<Object> args = new ArrayList<>(3);
        args.add(vm.getJNIEnv());
        args.add(0);
        String str = "http://api.xxxxx.com/account/login";
        args.add(vm.addLocalObject(new StringObject(vm, str)));
        ByteArray byteArray = new ByteArray(vm, "123456".getBytes(StandardCharsets.UTF_8));
        args.add(vm.addLocalObject(byteArray));
        Number number = module.callFunction(emulator, 0x4a28d, args.toArray());
        String result = vm.getObject(number.intValue()).getValue().toString();
        return result;
    }

运行看报错接着补环境

case "android/content/Context->getClass()Ljava/lang/Class;": {
    return dvmObject.getObjectType();
}

case "java/lang/Class->getSimpleName()Ljava/lang/String;": {
    return new StringObject(vm, "AppController");
}

case "android/content/Context->getFilesDir()Ljava/io/File;": {
    return new StringObject(vm, "/data/user/0/cn.xxxx.tieba/files");
}

case "java/lang/String->getAbsolutePath()Ljava/lang/String;": {
    return new StringObject(vm, "/data/user/0/cn.xxxx.tieba/files");
}

case "android/os/Debug->isDebuggerConnected()Z": {
  return false;
}

case "android/os/Process->myPid()I": {
    return emulator.getPid();
}

补到这里成功出值可以为所欲为了

算法分析

sign

根据Unidbg输出的动态注册偏移跳转到0x4a28d

看到方法很多不知道都做了些什么

回到Unidbg 根据JNI输出可以得到很多信息

这里取了一些基本信息又进行了MD5 那可以猜测这里可能是进行签名验证

这里是对运行环境的一个检测前面补的环境就是Pass掉这些检测

往下看这里就出现了加密的结果根据偏移跳转过来

所以先把目光放在sub_4A9D8(v15, v17)

进入sub_4A9D8->sub_4AA00

看sub_4AAB4就是申请内存

由于样本被ollvm混淆过所以变得罗里吧嗦

整段下来其实就只是一个内存拷贝

回到上层现在关注的就是v17了

在0x4A9D8处下个console断点

根据代码可知这里的a2需要再偏移

这里已经存在有结果所以还得继续找

忽视那些检测代码剩下的代码并不多

而sub_4B458就是做一个拼接操作

byte_1C91B0对应的就是v2-

最后猜测具体的算法就在sub_655DC中

进入sub_655DC 只有俩方法先看sub_65540

这熟悉的数组实锤MD5

但是仔细观察这个md5的魔数和我们普通的貌似不一样

确实不一样实锤了魔改先尝试拿MD5修改看看能不能对应得上

和主动调用的对比确定了仅仅是改了魔数

在后在拼接上v2-就完成这一个sign的加密

encodeAES

先主动调用方便后面调试

public byte[] encodeAES() {
    ArrayList<Object> args = new ArrayList<>(3);
    args.add(vm.getJNIEnv());
    args.add(0);
    String str = "123456";
    args.add(vm.addLocalObject(new ByteArray(vm, str.getBytes(StandardCharsets.UTF_8))));
    Number number = module.callFunction(emulator, 0x4a0b9, args.toArray());
    Inspector.inspect((byte[]) vm.getObject(number.intValue()).getValue(), "AESencode");
    return (byte[]) vm.getObject(number.intValue()).getValue();
}

接着根据偏移跳转0x4a0b9

sub_67178作用为GetByteArrayElements

进入sub_5E0E0->sub_5E0F8

看到这是一个标准的AES\CBC\128加密那么接下来的目标就是找出KEY和IV

IV生成位置在sub_5D090中

进入sub_5D090发现就是一个随机方法

拿到随机IV后根据传入明文的长度进行计算出一个校验位放在第2位中

根据hook结果可得到验证

并且根据输出结果可知随机生成的iv拼接在了密文的前面传回服务器

接下来就是KEY 回到上层看到a2存在dword_1CC3F0中

拿到地址traceWrite

然后跳转偏移地址跳转过来是一个内存拷贝操作

还得继续回到上层找

sub_5D090

所以KEY和IV一样是随机生成的那么问题来了随机生成的KEY怎么能让服务器知道呢不像IV能拼接在密文前面

其实在native_init的时候就生成了随机的KEY 并且每次打开App都只生成一次后不变动

那猜测一定是在打开App的时候将KEY上传了

打开抓包并重新打开App 通过观察可以看到频繁出现了X-Xc-Proto-Req和X-Xc-Proto-Res

X-Xc-Proto-Req

X-Xc-Proto-Res

最终还得回到so分析

主动调用getProtocolKey

public void getProtocolKey() {
    ArrayList<Object> args = new ArrayList<>(2);
    args.add(vm.getJNIEnv());
    args.add(0);
    Number number = module.callFunction(emulator, 0x4a419, args.toArray());
    System.out.println(vm.getObject(number.intValue()).getValue().toString());
}