首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. Android安全
    3. 发新帖
[原创]某手游完整性校验分析
发表于: 2023-11-2 23:16 18049

[原创]某手游完整性校验分析

wx_嗨 活跃值
2023-11-2 23:16
18049

只是普通的单机手游，广告比较多，所以分析处理了下，校验流程蛮有意思的，所以就分享出来了

样本进行了加固，对其dump出dex后重打包出现崩溃

ida分析地址发现为jni函数引起



利用Xposed直接替换该函数，崩溃问题解决

但是出现了新的问题，游戏卡在了加载页面



对该类的其他jni函数进行分析，发现supportVulkan很明显进行了签名读取，对其去除签名校验。

此处参考项目：ApkSignatureKillerEx

去除完签名校验后，游戏能正常进入主页面，但是点击游戏地图没有任何反应。

在对原包进行多次测试发现，在首次启动游戏时，如果断网也会出现无法正常进入地图的问题，怀疑是游戏首次启动进行了网络请求进行数据校验

经过抓包对比定位到可疑数据包

利用Frida的算法通杀脚本没有定位到相关内容，怀疑是so层进行了请求

通过调用栈可以很清晰看到请求是从unity引擎相关的so中发出的。

查阅资料，在unity中，网络请求主要通过UnityWebRequest 类来执行网络请求，利用frida-il2cpp-bridge对UnityWebRequest进行trace，打印调用栈得

在IDA中进行交叉引用分析定位到UnitySDKManager类

增加UnitySDKManager类重新对其trace（因为出现报错，把参数输出关了）

通过调用栈可以初步对校验流程进行了解，主要通过ServerVerifyApk函数进行校验，经过一系列字符串加解密，最后进行网络请求

对关键函数进行hook分析

发现之前抓包获得的请求体相对应，其中，appFileList还是密文，继续分析

与dump.cs中的函数进行对照发现v14 由字符串转hex转base64获得

hook HexStringToHex 函数获得参数

IDA继续查找调用发现其中字符串由GetFileInfoList函数获得

很明显，调用了libUnitySDK.so中的GetFileInfoList函数获得

FileInfoListStr在writeFileJson函数中被赋值，而writeFileJson则是由java函数上文中的IsHDR_DisplayBoot调用（该函数首个参数为base.apk路径）

很明显，ll11l1l1ll函数 对之前的明文字符串进行了加密，frida hook打印参数

其中 HashList 中文件对应的值为文件的 crc
至此，除了具体的字符串加密算法，游戏的校验流程已经很清晰

对该校验去除的思路：

ps.仅限于学习交流，切勿用于商业用途，若造成侵权，请联系作者处理。
样本链接：7cbK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5h3&6Q4x3X3g2T1j5h3W2V1N6g2)9J5k6h3y4G2L8g2)9J5c8Y4y4Q4x3V1j5I4j5i4N6i4h3f1y4r3x3X3&6f1y4e0m8I4f1q4u0B7z5q4)9#2k6V1y4d9N6q4)9J5k6p5q4Q4x3@1k6H3N6$3c8Q4x3@1c8V1z5s2N6F1

XposedHelpers.findAndHookMethod("com.unity3d.player.UnityPlayerActivity", classLoader, "IsHDR_DisplayBoot", java.lang.String.class, java.lang.String.class, new XC_MethodReplacement() {
    @Override
    protected Object replaceHookedMethod(MethodHookParam methodHookParam) throws Throwable {
        return null;
    }
});
XposedHelpers.findAndHookMethod("com.unity3d.player.UnityPlayerActivity", classLoader, "IsHDR_DisplayBoot", java.lang.String.class, java.lang.String.class, new XC_MethodReplacement() {
    @Override
    protected Object replaceHookedMethod(MethodHookParam methodHookParam) throws Throwable {
        return null;
    }
});
0x0247db9c ┌─UnityEngine.Networking.UnityWebRequest::.ctor(this = UnityEngine.Networking.UnityWebRequest, url = "b3eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2", method = "POST")
0x0247db00 │ ┌─UnityEngine.Networking.UnityWebRequest::set_url(this = UnityEngine.Networking.UnityWebRequest, value = "199K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2")
0x0247ef38 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl(this = UnityEngine.Networking.UnityWebRequest, url = "09cK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2")
0x0247ef38 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ ┌─UnityEngine.Networking.UnityWebRequest::set_method(this = UnityEngine.Networking.UnityWebRequest, value = "POST")
0x0247e4e0 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod(this = UnityEngine.Networking.UnityWebRequest, methodType = Post)
0x0247e4e0 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c └─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247db9c ┌─UnityEngine.Networking.UnityWebRequest::.ctor(this = UnityEngine.Networking.UnityWebRequest, url = "b3eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2", method = "POST")
0x0247db00 │ ┌─UnityEngine.Networking.UnityWebRequest::set_url(this = UnityEngine.Networking.UnityWebRequest, value = "199K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2")
0x0247ef38 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl(this = UnityEngine.Networking.UnityWebRequest, url = "09cK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5H3y4W2)9J5k6e0f1@1i4K6u0W2x3e0V1@1i4K6u0W2x3e0j5%4i4K6y4m8z5o6l9%4y4#2)9J5c8V1y4Z5k6h3y4C8g2i4m8V1j5i4c8W2")
0x0247ef38 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ ┌─UnityEngine.Networking.UnityWebRequest::set_method(this = UnityEngine.Networking.UnityWebRequest, value = "POST")
0x0247e4e0 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod(this = UnityEngine.Networking.UnityWebRequest, methodType = Post)
0x0247e4e0 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c └─UnityEngine.Networking.UnityWebRequest::.ctor
追踪调用定位到
class UnitySDK.UnitySDKManager.<PostData>d__25 : System.Object, System.Collections.Generic.IEnumerator<System.Object>, System.Collections.IEnumerator, System.IDisposable
    private Boolean MoveNext() { }
追踪调用定位到
class UnitySDK.UnitySDKManager.<PostData>d__25 : System.Object, System.Collections.Generic.IEnumerator<System.Object>, System.Collections.IEnumerator, System.IDisposable
    private Boolean MoveNext() { }
0x00b15b44 ┌─UnitySDK.UnitySDKManager::ServerVerifyApk
0x00b04b3c │ ┌─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b04b3c │ └─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b06ec0 │ ┌─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06ec0 │ └─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06204 │ ┌─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06204 │ └─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06278 │ ┌─UnitySDK.UnitySDKManager::HexStringToHex
0x00b06278 │ └─UnitySDK.UnitySDKManager::HexStringToHex
0x00b10fcc │ ┌─UnitySDK.UnitySDKManager::EncryptString
0x00b10fcc │ └─UnitySDK.UnitySDKManager::EncryptString
0x00b100a4 │ ┌─UnitySDK.UnitySDKManager::PostData
0x00a341fc │ │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00a341fc │ │ └─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00b100a4 │ └─UnitySDK.UnitySDKManager::PostData
0x00a3422c │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::MoveNext
0x00b12be4 │ │ ┌─UnitySDK.UnitySDKManager::GetUrl
0x00b12be4 │ │ └─UnitySDK.UnitySDKManager::GetUrl
0x0247db9c │ │ ┌─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247db00 │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_url
0x0247ef38 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247ef38 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_method
0x0247e4e0 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247e4e0 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c │ │ └─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247e0f4 │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_uploadHandler
0x0247e0f4 │ │ └─UnityEngine.Networking.UnityWebRequest::set_uploadHandler
0x0247dfdc │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_downloadHandler
0x0247dfdc │ │ └─UnityEngine.Networking.UnityWebRequest::set_downloadHandler
0x0247f66c │ │ ┌─UnityEngine.Networking.UnityWebRequest::SetRequestHeader
0x0247f66c │ │ └─UnityEngine.Networking.UnityWebRequest::SetRequestHeader
0x0247e42c │ │ ┌─UnityEngine.Networking.UnityWebRequest::Send
0x0247e430 │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::SendWebRequest
0x0247e42c │ │ │ └─UnityEngine.Networking.UnityWebRequest::Send
0x0247e430 │ │ └─UnityEngine.Networking.UnityWebRequest::SendWebRequest
0x00a3422c │ └─UnitySDK.UnitySDKManager.<PostData>d__25::MoveNext
0x00a34cd4 │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::System.Collections.IEnumerator.get_Current
0x00a34cd4 │ └─UnitySDK.UnitySDKManager.<PostData>d__25::System.Collections.IEnumerator.get_Current
0x00b15b44 └─UnitySDK.UnitySDKManager::ServerVerifyApk
0x00b15b44 ┌─UnitySDK.UnitySDKManager::ServerVerifyApk
0x00b04b3c │ ┌─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b04b3c │ └─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b06ec0 │ ┌─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06ec0 │ └─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06204 │ ┌─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06204 │ └─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06278 │ ┌─UnitySDK.UnitySDKManager::HexStringToHex
0x00b06278 │ └─UnitySDK.UnitySDKManager::HexStringToHex
0x00b10fcc │ ┌─UnitySDK.UnitySDKManager::EncryptString
0x00b10fcc │ └─UnitySDK.UnitySDKManager::EncryptString
0x00b100a4 │ ┌─UnitySDK.UnitySDKManager::PostData
0x00a341fc │ │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00a341fc │ │ └─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00b100a4 │ └─UnitySDK.UnitySDKManager::PostData
0x00a3422c │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::MoveNext
0x00b12be4 │ │ ┌─UnitySDK.UnitySDKManager::GetUrl
0x00b12be4 │ │ └─UnitySDK.UnitySDKManager::GetUrl
0x0247db9c │ │ ┌─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247db00 │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_url
0x0247ef38 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247ef38 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_method
0x0247e4e0 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247e4e0 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c │ │ └─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247e0f4 │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_uploadHandler

[招生]科锐逆向工程师培训(2025年3月11日实地，远程教学同时开班, 第52期)！

最后于 2023-11-2 23:33 被wx_嗨编辑 ，原因： 编辑标题
收藏
免费 ・17
支持
分享
最新回复 (17)
秋狝
雪    币： 4601
活跃值： (31316)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
感谢分享
2023-11-3 09:26
2
shinratensei
雪    币： 1695
活跃值： (215882)
能力值： ( LV4，RANK：40 )
在线值：
发帖
回帖
粉丝
私信
3 楼
tql
2023-11-3 10:36
1
Ruinv6
雪    币： 187
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
4 楼
感谢分享
2023-11-3 11:25
1
黑屏
雪    币： 4149
活跃值： (3754)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
tql
2023-11-3 13:25
1
你瞒我瞒
雪    币： 2578
活跃值： (11025)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
666
2023-11-9 09:08
1
夏男人
雪    币： 886
活跃值： (2510)
能力值： ( LV4，RANK：52 )
在线值：
发帖
回帖
粉丝
私信
7 楼
请问楼主样本还能分享一下吗
2023-11-13 22:35
1
wx_嗨
雪    币： 328
活跃值： (2548)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
8 楼
夏男人 请问楼主样本还能分享一下吗
误删了，已补
2023-11-14 11:48
2
万里星河
雪    币： 126
活跃值： (1067)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
支持一下
2023-11-17 16:19
1
FANGG3
雪    币： 129
活跃值： (2861)
能力值： ( LV2，RANK：15 )
在线值：
发帖
回帖
粉丝
私信
10 楼
感谢分享
2023-11-23 16:25
1
caolinkai
雪    币： 3836
活跃值： (4142)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
感谢分享
2023-12-2 11:07
1
mb_ldbucrik
雪    币： 10
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
12 楼
wx_嗨 误删了，已补
楼主，样本链接失效了，请问可以传论坛不
2024-1-4 09:42
1
zx_990497
雪    币： 27
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
13 楼
dddd
2024-1-4 16:53
1
wx_嗨
雪    币： 328
活跃值： (2548)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
14 楼
mb_ldbucrik 楼主，样本链接失效了，请问可以传论坛不
补了
2024-1-15 10:00
1
简单的简单
雪    币： 6742
活跃值： (5160)
能力值： ( LV5，RANK：70 )
在线值：
发帖
回帖
粉丝
私信
15 楼
这个案例很不错啊，值得学习
2024-1-15 11:41
1
mb_ldbucrik
雪    币： 10
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
16 楼
wx_嗨 补了
谢谢楼主
2024-1-19 22:32
1
zhonghuayi
雪    币： 150
活跃值： (1175)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
学习，新手能补下dump 和 frida脚本吗？新手想照做锻炼下
2024-10-22 01:28
0
bluegatar
雪    币： 84
活跃值： (1968)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
18 楼
支持学习了！！！
2024-10-28 00:11
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回