[原创]对某旅行APP的检测以及参数计算分析【新手向-准备篇】（一）-Android安全-看雪安全社区

[原创]对某旅行APP的检测以及参数计算分析【新手向-准备篇】（一）

发表于: 2023-8-29 14:01 27898

[原创]对某旅行APP的检测以及参数计算分析【新手向-准备篇】（一）

我是红领巾

2023-8-29 14:01

27898

### 本文仅讨论技术，无其他引导意图
###### 本文新手小白入门向，欢迎各路大佬提出指导意见。

第二篇来了 [对某旅行APP的检测以及参数计算分析【新手向-Simplesign篇】（二）](https://bbs.kanxue.com/thread-280501.htm)

### 前言
本文预计共会写3到4篇文章，总结学习过程中遇到的问题与解决的思路。
涉及到的so主要有两个，一个是libmsaoaidsec.so 另一个是scmain.so
版本为今年过年期间的版本。
本篇主要会涉及到anti frida、socket抓包定位、simpxxxxxx参数的前置准备。
frida 版本: 16.1.0

#### 一、 浅说一下抓包的问题
- Socket
网上烂大街的方案，因为我使用的是M2的Mac，wireshark也没有办法使用，使用了肉丝的<a href="elink@5e2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5x3s2W2K6N6h3g2Q4x3V1k6J5x3r3y4S2M7s2c8#2M7X3f1`.">r0capture</a>,r0capture的功能性很强但是python运行会有一些问题，spawn启动对于目标app做了frida检测，检测放到后面说，我推荐比较省事的办法，将script.js摘出来，send改为console.log。配合frida的anti anti frida进行抓包（anti anti frida下面会说）。
- 定位
我们可以在r0capture中的hook java函数中加入打印调用栈的代码，我是用到了r0的打印调用栈配合jadx的搜索功能来定位的。
在jadx中打开目标app，搜索`Socket socket = `
 ![](upload/attach/202308/839701_KHVH8PCVD7MJT42.png)
我们推测，Socket一定是要循环来发送接收消息的，所以我们在搜索结果中优先定位在while循环中的Socket实例化的代码。有`run()`就优先找run函数
 ![](upload/attach/202308/839701_2S6HV9749S5YH98.png)
小技巧：优先看参数，参数是方法的点进去看有没有关联，确认过后再看外层的方法。
> f.a()
 ![](upload/attach/202308/839701_PETZQVV77FP3D4H.png)

继续深入，到一个接口类，可以用frida来查找实现类，也可以在jadx中搜索：`impelements f.b `
 ![](upload/attach/202308/839701_JRB7SGHAW9KWW86.png)
继续点,最后到这里
 ![](upload/attach/202308/839701_ZBH8NECHXHKTBMZ.png)
刚才我们说过，先看参数内容，发现第一个参数是一个函数，查看
 ![](upload/attach/202308/839701_WTCAR2A5EXAW2V2.png)
到此，我们基本定位好收发包的大体流程了。下一步对GzipUtil、SecurityUtil等类进行hook就可以把参数拼接过程找到，此app还用了protobuf，不过这些都可以自行解决了。Request也可以用此方式定位的到，包括压缩、解压、异或运算等。抓包内容到此告一段落，主要就是多hook，多分析就能找到。

#### 二、 Anti Anti Frida
- 对于libmsaoaidsec.so最近很多人已经发了文章说了绕过的方法了。我发一个我4月份在分析这个so时候做的思维导图，并没有特别完全，但是大体检测的结构总结了出来。见附件。
这个so在我分析的时候只在网上看到了NOP掉load此so的方式，但是并不适用于此app。主要检测了frida的各种字段，字符串等于，字符串比较等方式都有使用，还有prettyMethod检测，我曾尝试把这些检测的函数全部hook掉，可以通过检测，但是后续app会有很大几率卡住卡死，后续只能把线程函数nop掉。但是so中还有其他检测，对linker的操作动作很多，但是没有作为anti使用。猜测后续版本可能会出。
- NOP记得区分ARM版本（现版都是ARM64）
```javascript
function nop(addr) {
  Memory.patchCode(ptr(addr), 4, code => {
      const cw = new Arm64Writer(code, { pc: ptr(addr) });
      cw.putNop();
      cw.putNop();
      cw.putNop();
      cw.putNop();
      cw.flush();
  });
}
function antiPthread_create(){
  let module = Process.findModuleByName("libmsaoaidsec.so")
  nop(module.base.add(0x17FC8))
  nop(module.base.add(0x16EF4))
  nop(module.base.add(0x16A74))
}
```
将此代码放到`r0capture`的script.js中，hook init_array中以spawn启动.
```javascript

if (Process.pointerSize == 4) {
  var linker = Process.findModuleByName("linker");
} else {
  var linker = Process.findModuleByName("linker64");
}

var addr_call_function = null;
var addr_g_ld_debug_verbosity = null;
var addr_async_safe_format_log = null;
if (linker) {
  var symbols = linker.enumerateSymbols();
  for (var i = 0; i < symbols.length; i++) {
    var name = symbols[i].name;
    if (name.indexOf("call_function") >= 0) {
      addr_call_function = symbols[i].address;
    }
    else if (name.indexOf("g_ld_debug_verbosity") >= 0) {
      addr_g_ld_debug_verbosity = symbols[i].address;

ptr(addr_g_ld_debug_verbosity).writeInt(2);

} else if (name.indexOf("async_safe_format_log") >= 0 && name.indexOf('va_list') < 0) {

addr_async_safe_format_log = symbols[i].address;

}

}
}
if (addr_async_safe_format_log) {
  Interceptor.attach(addr_async_safe_format_log, {
    onEnter: function (args) {
      this.log_level = args[0];
      this.tag = ptr(args[1]).readCString()
      this.fmt = ptr(args[2]).readCString()
      if (this.fmt.indexOf("c-tor") >= 0 && this.fmt.indexOf('Done') < 0) {
        this.function_type = ptr(args[3]).readCString(), // func_type
          this.so_path = ptr(args[5]).readCString();
        var strs = new Array(); //定义一数组 
        strs = this.so_path.split("/"); //字符分割
        this.so_name = strs.pop();
        this.so_base_addr = Module.findBaseAddress(this.so_name);
        if (this.so_name.indexOf("libmsaoaidsec.so") != -1) {
          console.log("start hook!");
          //此处添加nop方法，后续我们对so进行frida trace也要在此处。
        }
      }
    },
    onLeave: function (retval) {
    }
  })
}
```

#### 三、 simpxxxxxx的前置
> IDA 7.7
> Library : libscmain.so
> Frida Stalker
> Frida Hook Libart : hook_RegisterNatives.js
> Target Parm : simpleSign

本篇文章暂时不对生成过程的细节做分析学习，先了解如何分析，怎么分析。
- 1. simpleSign是一个native函数生成的，所以我们可以使用yang神的脚本确定此函数在so中的偏移地址
- 2. 根据偏移，我们要使用ida pro去反汇编观察
 ![](upload/attach/202308/839701_AJZ8UMZF3GFXT8T.png)
第一眼我们遇到了花指令，一般情况下我个人喜欢先去trace汇编指令流，再去决定怎么去花。这时就是使用stalker的时候了。具体使用方法，可以看一下yang神的帖子[我是链接](https://bbs.kanxue.com/thread-276523.htm)
有一些花指令比如BR系列的，根据前后文即可推导出正确的跳转地址。
再比如某音的跳转方式，与此次的app大差不差。
因为篇幅的原因，更因为个人能力的原因，还是推荐去看一下龙哥的花指令教程，写的很详细。下面是去花后的反汇编
 ![](upload/attach/202308/839701_DD5FJYS629637KX.png)
frida trace的代码要记得在libscmain.so加载完成后开启，做一个计数器是最好的选择。
```javascript
 if(scmain_load_count > 4){
    console.log('set trace')
    ZY_trace_Stalker_begin('libscmain.so', 起始位置, 长度)
 }
```

#### 本篇结尾
第一次发分享内容，有一些东西可能有疏漏，欢迎指出。
下一篇分享分析simplesign 75位结果的前32位的生成过程。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-2-25 10:58 被我是红领巾编辑，原因：

#基础理论 #逆向分析

上传的附件：

libmsaoaidsec.so.pdf （193.67kb，206次下载）

收藏・32

点赞・9

打赏

最新回复 (21)
wx_太阳花田向日葵雪币： 199 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_太阳花田向日葵 2 楼 lz方便展开讲讲去花的过程么 2023-8-29 19:16 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 3 楼 wx_太阳花田向日葵 lz方便展开讲讲去花的过程么有时间会针对这个so讲一下 2023-8-30 17:35 1
mb_nqzvgcge 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_nqzvgcge 4 楼关注，后续没有更新了吗 2023-9-27 11:00 0
mb_nqzvgcge 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_nqzvgcge 5 楼请问是测试的什么版本，frida能正常hook吗，frida是什么版本？ 2023-9-27 11:02 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 6 楼 mb_nqzvgcge 请问是测试的什么版本，frida能正常hook吗，frida是什么版本？最近在找工作，没来得及更新，后续会按前32位和后32位算法还原更新，frida用的16，目标app是8.55.6 2023-10-11 11:08 0
Da_ 雪币： 474 活跃值： (1445) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 67 粉丝 20 关注私信	Da_ 7 楼大佬你好，请问bncode字段有看过嘛，什么时候能出篇文章，到时拜读 2023-10-23 16:41 0
mb_ddzpjlyg 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_ddzpjlyg 8 楼你好，可以付费求教不？ 2023-11-1 11:39 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 9 楼请问一下：龙哥的花指令教程，能给个地址吗，新人不知道龙哥是谁。。。 2023-12-7 11:00 0
Da_ 雪币： 474 活跃值： (1445) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 67 粉丝 20 关注私信	Da_ 10 楼你瞒我瞒请问一下：龙哥的花指令教程，能给个地址吗，新人不知道龙哥是谁。。。 https://bbs.kanxue.com/thread-278932.htm 这帖子最上面就是龙哥的星球 2023-12-8 18:41 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 11 楼 Da_ https://bbs.kanxue.com/thread-278932.htm 这帖子最上面就是龙哥的星球 3q 2023-12-11 09:12 0
top00zw 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	top00zw 12 楼可以付费咨询，留个联系方式吧 2023-12-22 11:02 0
mb_zlxfgili 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zlxfgili 13 楼是哪个App呢？ 2024-2-19 17:52 0
Analysts1981 雪币： 0 活跃值： (452) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 1 关注私信	Analysts1981 14 楼学习了，能否分享app 2024-3-2 19:22 0
mb_tfqctboq 雪币： 80 活跃值： (270) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_tfqctboq 15 楼可以付费咨询，能留个联系方式吧 2024-3-30 12:13 0
李啊啊雪币： 1 活跃值： (926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 1 关注私信	李啊啊 16 楼求付费咨询 2024-4-1 10:57 0
yccccc 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	yccccc 17 楼大佬附件还能给个新的下载链接吗 2024-4-1 11:22 0
mb_jwjrgqld 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_jwjrgqld 18 楼付费求教，大佬私信下我呢 2024-11-20 11:24 0
mb_vzsnpfhs 雪币： 728 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_vzsnpfhs 19 楼 666 最后于 2026-1-13 16:28 被mb_vzsnpfhs编辑，原因： 2025-5-22 14:11 0
mb_yyhwcdpc 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_yyhwcdpc 20 楼大佬，加个联系方式呗 2025-8-21 16:02 0
mb_caetdnha 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_caetdnha 21 楼试了，好像不行了 2026-5-27 23:25 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 22 楼 mb_caetdnha 试了，好像不行了宝贝，三年前的方案按照现在看肯定不行了，多hook一些检测点试试 2026-6-12 18:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

我是红领巾

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (21)
wx_太阳花田向日葵雪币： 199 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_太阳花田向日葵 2 楼 lz方便展开讲讲去花的过程么 2023-8-29 19:16 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 3 楼 wx_太阳花田向日葵 lz方便展开讲讲去花的过程么有时间会针对这个so讲一下 2023-8-30 17:35 1
mb_nqzvgcge 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_nqzvgcge 4 楼关注，后续没有更新了吗 2023-9-27 11:00 0
mb_nqzvgcge 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_nqzvgcge 5 楼请问是测试的什么版本，frida能正常hook吗，frida是什么版本？ 2023-9-27 11:02 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 6 楼 mb_nqzvgcge 请问是测试的什么版本，frida能正常hook吗，frida是什么版本？最近在找工作，没来得及更新，后续会按前32位和后32位算法还原更新，frida用的16，目标app是8.55.6 2023-10-11 11:08 0
Da_ 雪币： 474 活跃值： (1445) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 67 粉丝 20 关注私信	Da_ 7 楼大佬你好，请问bncode字段有看过嘛，什么时候能出篇文章，到时拜读 2023-10-23 16:41 0
mb_ddzpjlyg 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 1 关注私信	mb_ddzpjlyg 8 楼你好，可以付费求教不？ 2023-11-1 11:39 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 9 楼请问一下：龙哥的花指令教程，能给个地址吗，新人不知道龙哥是谁。。。 2023-12-7 11:00 0
Da_ 雪币： 474 活跃值： (1445) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 67 粉丝 20 关注私信	Da_ 10 楼你瞒我瞒请问一下：龙哥的花指令教程，能给个地址吗，新人不知道龙哥是谁。。。 https://bbs.kanxue.com/thread-278932.htm 这帖子最上面就是龙哥的星球 2023-12-8 18:41 0
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 11 楼 Da_ https://bbs.kanxue.com/thread-278932.htm 这帖子最上面就是龙哥的星球 3q 2023-12-11 09:12 0
top00zw 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	top00zw 12 楼可以付费咨询，留个联系方式吧 2023-12-22 11:02 0
mb_zlxfgili 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_zlxfgili 13 楼是哪个App呢？ 2024-2-19 17:52 0
Analysts1981 雪币： 0 活跃值： (452) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 1 关注私信	Analysts1981 14 楼学习了，能否分享app 2024-3-2 19:22 0
mb_tfqctboq 雪币： 80 活跃值： (270) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_tfqctboq 15 楼可以付费咨询，能留个联系方式吧 2024-3-30 12:13 0
李啊啊雪币： 1 活跃值： (926) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 1 关注私信	李啊啊 16 楼求付费咨询 2024-4-1 10:57 0
yccccc 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 0 关注私信	yccccc 17 楼大佬附件还能给个新的下载链接吗 2024-4-1 11:22 0
mb_jwjrgqld 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_jwjrgqld 18 楼付费求教，大佬私信下我呢 2024-11-20 11:24 0
mb_vzsnpfhs 雪币： 728 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_vzsnpfhs 19 楼 666 最后于 2026-1-13 16:28 被mb_vzsnpfhs编辑，原因： 2025-5-22 14:11 0
mb_yyhwcdpc 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_yyhwcdpc 20 楼大佬，加个联系方式呗 2025-8-21 16:02 0
mb_caetdnha 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_caetdnha 21 楼试了，好像不行了 2026-5-27 23:25 0
我是红领巾雪币： 101 活跃值： (1795) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 28 粉丝 56 关注私信	我是红领巾 22 楼 mb_caetdnha 试了，好像不行了宝贝，三年前的方案按照现在看肯定不行了，多hook一些检测点试试 2026-6-12 18:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复