首页
课程
问答
CTF
社区
招聘
峰会
发现
排行榜
知识库
工具下载
看雪20年
看雪商城
证书查询
登录
注册
首页
社区
课程
招聘
发现
问答
CTF
排行榜
知识库
工具下载
峰会
看雪商城
证书查询
社区
Android安全
发新帖
9
8
某app deviceinfo分析
发表于: 2022-10-15 21:32
13072
某app deviceinfo分析
我只是没人要
2022-10-15 21:32
13072
## 1、加密函数 com.***.***.***.***.***.JNICLibrary#doCommandNative方法，其中当序号为10400时为加密算法。 ## 2、快速分析 使用自制的trace工具，对序号为10400的执行流程进行trace。在trace文件中输入libart查看所有的libart调用。   可以看到输入是protobuf，输出是byte array。并且输入和输出相隔了40多w条指令。  ## 3、从输入流开始追踪 在trace文件中搜索0x2a  对应的c语言代码  经分析，该函数功能是对输入的byte arr进行字节转换。再往下   这是具体的加密函数，对输入的数据16位一组就是加密，末尾补pad个pad ```python pad = 0x10 - (input % 16) ``` 使用python还原一下   为减少干扰，删除已还原数据，搜索目标数据   经过分析，该函数为计算hash, 调用了两次，计算的hash值为  第二次计算的hash为结果串的前8个字节中的后四位。输入为:002a7b0a-7ae6-4000-93af-60c2d63176fe 继续搜索, 可以发现在0x13714位置，对数据进行了eor运算，eor结果即为输出的数据。 从0x20起，即为eor第一步中加密算法的结果。 前32位数据为:  未加注释的地方，由于trace工具对内存读写这方面的支持还不是很好，就鸽了，感兴趣的可以自己分析，基本上在这儿。  ## 4、结果串前8位分析  , 前面说到后四位是由第二次计算结果的值获得。那么前4位呢？  前两位固定，后两位是由一个数 ^ CDEF 而来  由于trace工具对内存读写还不太完善，具体没追这个值，不过大胆猜测这是该加密函数的调用次数，可以用frida验证下结果。 ## 5、最终结果异或值分析  0x35 0x79.......0x32 是0x10长度的salt，多次对app进行清空等操作，发现只有两组salt，分别为 5yPDTSC3rzXfpwN2 和 fGqSL6alaNcUyV9W，同样由于trace工具对内存读写访问的问题，不太容易跟踪，在此不得不感慨，unidbg的内存访问断点是真的好用。 哎有时间根据加密算法，还原下解密吧。
登录后可查看完整内容
冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
最后于
2022-10-15 21:57 被我只是没人要编辑 ，原因：
#逆向分析
收藏
・
9
点赞
・
8
打赏
分享
分享到微信
分享到QQ
分享到微博
赞赏记录
参与人
雪币
留言
时间
東陽不列山
为你点赞！
2025-12-2 03:47
螺丝兔
期待更多优质内容的分享，论坛有你更精彩！
2025-11-14 13:50
飘零丶
感谢你的贡献，论坛因你而更加精彩！
2025-5-1 02:27
心游尘世外
为你点赞！
2025-1-27 06:39
KeiVi233
+1
谢谢你的细致分析，受益匪浅！
2024-12-20 19:56
太岁又沐风
非常支持你的观点！
2024-12-13 20:11
伟叔叔
为你点赞~
2023-3-18 01:00
PLEBFE
为你点赞~
2023-1-11 14:45
查看更多
赞赏
×
1 雪花
5 雪花
10 雪花
20 雪花
50 雪花
80 雪花
100 雪花
150 雪花
200 雪花
支付方式：
微信支付
赞赏留言：
快捷留言
感谢分享～
精品文章～
原创内容～
精彩转帖～
助人为乐～
感谢分享～
最新回复
(
6
)
suuuuu
雪 币：
879
活跃值：
(5144)
能力值：
( LV2，RANK：10 )
在线值：
发帖
22
回帖
298
粉丝
8
关注
私信
suuuuu
2
楼
秀
2022-10-17 10:55
0
psych1
雪 币：
1283
活跃值：
(2227)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
38
粉丝
3
关注
私信
psych1
3
楼
秀
2022-10-27 18:22
0
mb_lxrwrcro
雪 币：
0
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_lxrwrcro
4
楼
有这个
算法吗
最后于
2024-12-13 18:20 被mb_lxrwrcro编辑 ，原因：
2024-12-13 18:19
0
mb_lxrwrcro
雪 币：
0
能力值：
( LV1，RANK：0 )
在线值：
发帖
0
回帖
2
粉丝
0
关注
私信
mb_lxrwrcro
5
楼
联系方式
2025-1-5 21:10
0
KeiVi233
雪 币：
273
活跃值：
(519)
能力值：
( LV2，RANK：10 )
在线值：
发帖
1
回帖
6
粉丝
2
关注
私信
KeiVi233
6
楼
大佬有研究sig4吗
2026-1-6 03:51
0
wx_ _126478
雪 币：
1
活跃值：
(177)
能力值：
( LV2，RANK：10 )
在线值：
发帖
0
回帖
7
粉丝
2
关注
私信
wx_ _126478
7
楼
6
2026-7-23 00:17
0
游客
登录
|
注册
方可回帖
回帖
表情
雪币赚取及消费
高级回复
返回
我只是没人要
8
发帖
31
回帖
60
RANK
关注
私信
他的文章
某app deviceinfo分析
13072
[原创]**手910版本sig3 48位算法逆向分析
69386
[原创]快手6.8版本sig3算法破解
74557
关于我们
联系我们
企业服务
看雪公众号
专注于PC、移动、智能设备安全研究及逆向工程的开发者社区
看原图
赞赏
×
雪币:
+
留言:
快捷留言
为你点赞！
返回
顶部
