-
-
[原创]某动画APP分析
-
发表于: 2020-4-2 21:03
-
用了这个APP很久了，网上找的修改版都然并卵——测试时发现只改了本地几个功能，不支持嘀哩源和超清源播放——最重要的功能被阉割了。
无聊做一下分析，APP是官网的最新版v4.6（防止日后更新失效，已上传附件）。
反编译后发现APP的类名和方法名都做了混淆，发现smali中的source文件名并未被as去除，可以修复类名混淆。这里为了调试，暂时不修改APP。
载入JEB，定位到关键类info.zzjian.dididh.mvp.model.entity.UserInfo，在getExpire方法下断：
打开APP，JEB调试器附加该进程：
点击APP内头像，成功断下，可以在右边看到此时的局部变量：
双击值可修改，将expire改成 2100-01-01 ，恢复断点并运行：
成功显示会员提示。
回溯定位到另一个方法，该方法判断了是否登录以及VIP是否到期，可以看到许多功能的执行都由该方法决定：
因此只需让该方法返回true，即可免登录使用会员功能。
hook这两个方法即可破解，frida脚本如下：
经测试各种源均正常使用——用frida注入未引起异常，说明APP对签名做了校验。
APP重签名后安装运行，提示如下：
消息是从服务器返回的，抓包看看：
协议头的imei引起注意，找找在哪：
IDA载入libnative-lib.so，定位函数Java_info_zzjian_dididh_util_CheckUtils_getV：
首先从ActivityThread.currentApplication()获取到了Application对象，接着调用Application.getApplicationInfo().className.hashCode()和Application.getPackageManager().getPackageInfo(Application.getPackageName(),0x40).signatures[0].hashCode()，通过计算后拼接字符串返回给了java层。
计算结果也同传给native的参数有关，用frida打印下参数及返回值：
输出如下：
传入的参数为时间戳，dt8re和rt9ws只参与连接，总共有三处数据的计算。
指定下参数为0：
输出如下：
拆分字符串后得到native中三组数据的校验值。
用java重写该校验类，固定住原版数据，算法如下：
将该类编译后放入包名对应的文件夹内，用dx转为dex，再用baksmali转为smali。
这里提供个自己写的java类转为smali的shell脚本，java类不能引入外部包：
执行后会在源码同目录生成该类对应的smali：
将其替换原来的CheckUtils.smali，重新打包签名，测试一下：
成功过native层校验，该so的功能已被取代。
测试后发现不完美，会员的搜索源有6个，我们的只有3个，数据是从服务器返回的，抓会员的包后回溯：
定位到如下两个方法，分别为保存搜索源到SharedPreferences，以及从pref读搜索源：
修改读搜索源的方法，将会员数据patch进去：
退出登录，一切功能均正常使用。
[峰会]看雪.第八届安全开发者峰会10月23日上海龙之梦大酒店举办！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
用的是Charles |
|
|
签名计算是在so里生成，在服务器校验的，协议头的imei就是计算的结果。把计算的方法重写一下就可以
最后于 2020-4-3 14:58
被Fireeye编辑
，原因：
|
|
|
好奇怪，我也是Charles，但是没有抓到那个返回“软件被恶意修改....”的包，再次感谢大佬分享
|
|
|
登录或者点击标题，切换到嘀哩源或者超清源就能看到了
最后于 2020-4-3 15:12
被Fireeye编辑
，原因：
|
|
|
受教了，感谢答疑解惑 |
|
|
|
|
|
public String getV(long ts) {
long hash1 = -1916912749L;
long hash2 = 1344359219L;
long check1_ = ts * 2 + hash1 + 15821486092L;
ts += 15821486092L;
long check2_ = ts;
ts += hash2;
long check3_ = ts;
String check1 = Long.toHexString(check1_);
String check2 = Long.toHexString(check2_);
String check3 = Long.toHexString(check3_);
return check1 + "dt8re" + check2 + "rt9ws" + check3;
}
结果是一样的。
最后于 2020-4-4 08:51
被Fireeye编辑
，原因：
|
|
|
至于加的那一串数字，经测试是开发者的手机号(；一_一) |
|
|
|
|
|
用的是国外大神分享的https://forum.reverse4you.org/t/jeb-3-7-0-merry-xmas-edition-by-dimitarserg/11035
最后于 2020-4-4 10:27
被Fireeye编辑
，原因：
|
|
|
好的，谢谢大佬。又学会一招，才知道JEB可以逆so，我再理理。  大佬，我用jeb打开so，怎么没有你截图的那种效果？是你自己修改了变量名么？我在jeb里还是没有找到那几串数字。是需要设置哪里么？求指教。
最后于 2020-4-4 18:35
被ZvLoveL编辑
，原因：
|
|
|
是要改变量名。JEB里只会有15821486092L这一串数字，另外两串是这一串数字同hashcode计算得出来的 |
|
|
好的，谢谢大佬，我自己在研究琢磨下。 |
|
|
|
|
|
|
|
|
学到了啊，感谢大佬
|
|
|
|
Fireeye
