某神奇App data加密算法解析(一)

一、目标

李老板：奋飞呀，我遇到一个超级牛掰的App，它请求的时候有个data参数加密，用尽了你介绍的所有的方法，都找不到它是如何加密的。

奋飞：子曾经曰过，老板的嘴，骗人的鬼。有这么牛掰的App，那么我们这帮兄弟早就失业了。

某神奇App v10.1.0 点社区→ 随便打开一篇有评论的文章

今天的目标就是这个 data

二、步骤

搜索特征字符串

目标是data，所以我们第一个搜索 "data"

一共有130多个结果，开始一个一个点开分析了，逆向木有那么酷，有很大一部分是苦力活。

比如这种 baidu 、 meizu 、tencent 、google 开头的类，大概率是第三方sdk用的。可以排除掉。

命中的原则就是， "data" 和 "timestamp" 在一起。

遗憾的是木有找到，也许是结果太多，眼花了，看漏了吧。

不死心，我们再尝试搜一下 "timestamp" 只要它和 "data"在一起，也算命中。

这次只有40个结果，一个一个认真的找过去，还是没找到。这下死心了，说明特征串搜索失败。

Hook Base64

这个data数据看上去超级像Base64，所以我们第一步是Hook Base64

var Base64Class = Java.use("android.util.Base64");
Base64Class.encodeToString.overload("[B", "int").implementation = function(a,b){
    var rc =  this.encodeToString(a,b);
    console.log(">>> Base64 " + rc);
    return rc;
}

frida跑起来，spawn 启动不了，要么说没有这个包名，用app名称也提示找不到。

算了，attach倒是成功了。

不过在意料之中，木有任何输出，李老板毕竟也和我们混了这么多期，肯定他也是试过Hook Base64的。

Hook java.lang.StringBuilder 字符串定位

在java层组装字符串，大概率是逃不过StringBuilder，我们观察一下data数据的特征。

他们没有一样的开头，但是他们有一样的身体，字符串里面都含有 +

var strCls = Java.use("java.lang.StringBuilder");
strCls.toString.implementation = function(){
    var result = this.toString();

    if(result.toString().indexOf("+") >= 0
        && result.toString().length > 150)
    {
        console.log(" >>> string " +result.toString());

        // var stack = threadinstance.currentThread().getStackTrace();
        // console.log("Rc Full call stack:" + Where(stack));

    }
    return result;
}

我们要匹配 + 并且字符串长度大于 150，我掰指头数了，data数据的长度大概是190多。

frida跑起来，Attach上，依然没有任何输出，有点不对劲，我们把 hook StringBuilder的所有输出打印下，结果还是没有任何输出。

可能Attach模式有问题，必须得 spawn 模式了。

Xcube

被我们冷落了许久的Xcube可以派上用场了，Xcube可以不使用 frida spawn模式启动，但提供spawn模式一样的效果，具体使用方法参见 http://91fans.com.cn/post/antifridaoper/。

配置好xcube.yaml 跑起来。

见鬼了，李老板这次没说错，居然还是没有任何输出。Xcube也不好使了。

换手机

真的，很多时候网友问我，为啥我 hook不上，为啥我启动不了，为啥我抓不了包。

这个真是玄学，换个手机也许就好了。

我手头有好几个测试机，分别装了不同的抓包软件，不同版本的Android系统。

终于在一台 google pixel 2xl 上成功的用 frida spawn模式启动了app，并且打印出了字符串信息。

当然打出了一堆base64数据，但是没有我们想要的数据。

hook_libart

java层hook不到数据，那么我们就去Native层

if (addrGetStringUTFChars != null) {
    Interceptor.attach(addrGetStringUTFChars, {
        onEnter: function (args) {},
        onLeave: function (retval) {
            if (retval != null) {
                var string = Memory.readCString(retval);
                if(string != null) {
                   if(string.toString().indexOf("+") >= 0
                       && string.toString().length > 150)
                    {
                        console.log("[GetStringUTFChars] result:" + string);
                    }
                }

            }
        }
    });
}

if (addrNewStringUTF != null) {
    Interceptor.attach(addrNewStringUTF, {
        onEnter: function (args) {
            if (args[1] != null) {
                var string = Memory.readCString(args[1]);
                if(string != null) {
                   if(string.toString().indexOf("+") >= 0
                      && string.toString().length > 150)
                    {
                        console.log("[NewStringUTF] bytes:" + string);
                    }
                }
            }
        },
        onLeave: function (retval) {}
    });
}

再跑一下，依然没有我们想要的数据。