[原创]某手游完整性校验分析-Android安全-看雪安全社区

## 前言
只是普通的单机手游，广告比较多，所以分析处理了下，校验流程蛮有意思的，所以就分享出来了
## 1.重打包崩溃处理

样本进行了加固，对其dump出dex后重打包出现崩溃

![](./upload/attach/202311/953698_NKYB9D4PCBB6DUE.png)

ida分析地址发现为jni函数引起

![](./upload/attach/202311/953698_39CAXT3R593WARQ.webp)
![](upload/attach/202311/953698_UNCQUWBCRBN9CKP.webp)
利用Xposed直接替换该函数，崩溃问题解决

```java
XposedHelpers.findAndHookMethod("com.unity3d.player.UnityPlayerActivity", classLoader, "IsHDR_DisplayBoot", java.lang.String.class, java.lang.String.class, new XC_MethodReplacement() {
    @Override
    protected Object replaceHookedMethod(MethodHookParam methodHookParam) throws Throwable {
        return null;
    }
});
```

## 2.卡加载界面处理

但是出现了新的问题，游戏卡在了加载页面

![](upload/attach/202311/953698_VWGJFF9UQ37PMK3.webp)
 ![](upload/attach/202311/953698_VHKXD3WYQ4JEE9Z.webp)
对该类的其他jni函数进行分析，发现supportVulkan很明显进行了签名读取，对其去除签名校验。

此处参考项目：**<a href="elink@1a2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3i4K6u0V1d9V1W2z5b7V1W2z5i4K6u0r3b7i4m8C8f1$3W2Y4L8X3q4@1N6i4u0W2d9$3W2D9L8r3g2J5c8i4R3`.">ApkSignatureKillerEx</a>**

## 3.地图无法进入问题分析（基于原包）

去除完签名校验后，游戏能正常进入主页面，但是点击游戏地图没有任何反应。

在对原包进行多次测试发现，在首次启动游戏时，如果断网也会出现无法正常进入地图的问题，怀疑是游戏首次启动进行了网络请求进行数据校验

经过抓包对比定位到可疑数据包

![](upload/attach/202311/953698_HEW44MS2T8Z27XR.webp)

利用Frida的算法通杀脚本没有定位到相关内容，怀疑是so层进行了请求

#### 3.1 hook send函数进行调用栈分析

![](upload/attach/202311/953698_C3TRDEBT5TYHUXU.webp)

通过调用栈可以很清晰看到请求是从unity引擎相关的so中发出的。

#### 3.2 il2cppTrace对请求调用栈分析

查阅资料，在unity中，网络请求主要通过`UnityWebRequest` 类来执行网络请求，利用<a href="elink@1b7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6$3k6Y4y4X3K9i4c8$3L8X3#2Q4x3V1k6X3M7X3W2V1j5g2)9J5k6r3W2D9x3X3y4H3M7q4)9J5k6r3u0J5K9h3c8Y4k6b7`.`.">frida-il2cpp-bridge</a>对UnityWebRequest进行trace，打印调用栈得

```js
0x0247db9c ┌─UnityEngine.Networking.UnityWebRequest::.ctor(this = UnityEngine.Networking.UnityWebRequest, url = "http://106.54.194.167:8077/CheckUpdate", method = "POST")
0x0247db00 │ ┌─UnityEngine.Networking.UnityWebRequest::set_url(this = UnityEngine.Networking.UnityWebRequest, value = "http://106.54.194.167:8077/CheckUpdate")
0x0247ef38 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl(this = UnityEngine.Networking.UnityWebRequest, url = "http://106.54.194.167:8077/CheckUpdate")
0x0247ef38 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ ┌─UnityEngine.Networking.UnityWebRequest::set_method(this = UnityEngine.Networking.UnityWebRequest, value = "POST")
0x0247e4e0 │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod(this = UnityEngine.Networking.UnityWebRequest, methodType = Post)
0x0247e4e0 │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c └─UnityEngine.Networking.UnityWebRequest::.ctor
```

在IDA中进行交叉引用分析定位到UnitySDKManager类

```
追踪调用定位到
class UnitySDK.UnitySDKManager.<PostData>d__25 : System.Object, System.Collections.Generic.IEnumerator<System.Object>, System.Collections.IEnumerator, System.IDisposable
	private Boolean MoveNext() { }
```

增加UnitySDKManager类重新对其trace（因为出现报错，把参数输出关了）

```
0x00b15b44 ┌─UnitySDK.UnitySDKManager::ServerVerifyApk
0x00b04b3c │ ┌─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b04b3c │ └─UnitySDK.UnitySDKManager::GetFileInfoList
0x00b06ec0 │ ┌─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06ec0 │ └─UnitySDK.UnitySDKManager::GetGamePackageName
0x00b06204 │ ┌─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06204 │ └─UnitySDK.UnitySDKManager::GetSDKVersion
0x00b06278 │ ┌─UnitySDK.UnitySDKManager::HexStringToHex
0x00b06278 │ └─UnitySDK.UnitySDKManager::HexStringToHex
0x00b10fcc │ ┌─UnitySDK.UnitySDKManager::EncryptString
0x00b10fcc │ └─UnitySDK.UnitySDKManager::EncryptString
0x00b100a4 │ ┌─UnitySDK.UnitySDKManager::PostData
0x00a341fc │ │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00a341fc │ │ └─UnitySDK.UnitySDKManager.<PostData>d__25::.ctor
0x00b100a4 │ └─UnitySDK.UnitySDKManager::PostData
0x00a3422c │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::MoveNext
0x00b12be4 │ │ ┌─UnitySDK.UnitySDKManager::GetUrl
0x00b12be4 │ │ └─UnitySDK.UnitySDKManager::GetUrl
0x0247db9c │ │ ┌─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247db00 │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_url
0x0247ef38 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247ef38 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetUrl
0x0247db00 │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_url
0x0247dc1c │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_method
0x0247e4e0 │ │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247e4e0 │ │ │ │ └─UnityEngine.Networking.UnityWebRequest::InternalSetMethod
0x0247dc1c │ │ │ └─UnityEngine.Networking.UnityWebRequest::set_method
0x0247db9c │ │ └─UnityEngine.Networking.UnityWebRequest::.ctor
0x0247e0f4 │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_uploadHandler
0x0247e0f4 │ │ └─UnityEngine.Networking.UnityWebRequest::set_uploadHandler
0x0247dfdc │ │ ┌─UnityEngine.Networking.UnityWebRequest::set_downloadHandler
0x0247dfdc │ │ └─UnityEngine.Networking.UnityWebRequest::set_downloadHandler
0x0247f66c │ │ ┌─UnityEngine.Networking.UnityWebRequest::SetRequestHeader
0x0247f66c │ │ └─UnityEngine.Networking.UnityWebRequest::SetRequestHeader
0x0247e42c │ │ ┌─UnityEngine.Networking.UnityWebRequest::Send
0x0247e430 │ │ │ ┌─UnityEngine.Networking.UnityWebRequest::SendWebRequest
0x0247e42c │ │ │ └─UnityEngine.Networking.UnityWebRequest::Send
0x0247e430 │ │ └─UnityEngine.Networking.UnityWebRequest::SendWebRequest
0x00a3422c │ └─UnitySDK.UnitySDKManager.<PostData>d__25::MoveNext
0x00a34cd4 │ ┌─UnitySDK.UnitySDKManager.<PostData>d__25::System.Collections.IEnumerator.get_Current
0x00a34cd4 │ └─UnitySDK.UnitySDKManager.<PostData>d__25::System.Collections.IEnumerator.get_Current
0x00b15b44 └─UnitySDK.UnitySDKManager::ServerVerifyApk
```

通过调用栈可以初步对校验流程进行了解，主要通过ServerVerifyApk函数进行校验，经过一系列字符串加解密，最后进行网络请求

#### 3.3 加解密函数hook分析

对关键函数进行hook分析

```
0x00b10fcc │ UnitySDK.UnitySDKManager::EncryptString
0x00b0b13c │ UnitySDK.UnitySDKManager::DecryptString
il2cpp: EncryptString:"{"appid":"com.meta.peopleground.dream","appName":"com.meta.peopleground.dream","appVer":"1.0.1","sdkVer":"2","appFileList":"981lDpbOb+vjRn/3yI74fI+1S5cr08qKLGq0xg7TcfFOA7hRePAQjXPCgIzEC+p58RThRtl4PIsPEgiJZVYn1e2oZl06jeKGD6+C0Zy6lQaDiAVaOtO5szilZxfmN2j8XtlBmBaOzOVBBi6ctJamGsfM2XbkGqYtf/TlNyvOZ8p5YDdOgnhG+WonkjG1sGEbuqc4sm+hkCxOC7dX1rEM4/5S6wT1erPL5+iWJoRpiTuHok15zCQjdNFCXn97Vwg+/h8eXrtxrDvkkLqqCff2D0WrAISmIOi4fY97ulhpz5Pey2vJlkLK5MdSApENx4exv3t4Q1sVfoPojwDueXAW9T1RTOc1LeK0cYMrBjsE1W8="}"
il2cpp: EncryptString result:"xoJRLdGOAd21Q0JEIDiJqlciJFWy0jtiSLU7lNue9ZLAOxsuEkWvJwP8o3ub4CfcIjulssJC+ocK0ai3lkr1XfNXlLi2QJ0iTtYzbCDQqYmqXr7uTTdOrAK3Y6NKkd+mYgFF+J2w7tY/rl5NBPPlwRWWbvw45CRp3JX34BkKTA2KEXiWywj90T3Qw72AnpWgBOo1rD3USuAVQeN8EOhxVc1jTjsBn2qSfZX38tNC73wvceexa4w5wOea9rzaRshViPWjFkNko/BDuaAyWDJbB656FNatES6/WA3+f7qMlQmEU4BGrX72+StLzsNQYc+QZ4KDFnWwqfhuH1zCudxxDoNpi53fqv+DavLwmRRE19e1clgW5ANilhelSIGi9U9nq2BcNr3GMJ8eI2FAV76U1FHONbyMUggUYr6cDc9Vo9l5Wc4UVD4+tqDmulUW1L1s8NTkieyVDEJxb1o6166fVVWdUKNBlrIXDfbWjE6gLheTHfp1/ywUy4EcVSklERsEkdufZrdKM57XVkXcKFnA0hutpuKqCbbkthULifwkAtwyQ/qSdcZHIh6pNYGuLOFF5NiCsHhJ6D/O03/uUgsR/V5WwRGuOeZFsM2NK+NcyYjHDkoKh6SjoEnZZ/yfg1M4kOUJy5qG/V1jR8IqOmZ84w=="
il2cpp: DecryptString:"+CVWCEji2Lgf4nUTWb7J/Q=="
il2cpp: DecryptString result:"100"
```

发现之前抓包获得的请求体相对应，其中，appFileList还是密文，继续分析

#### 3.4 追EncryptString函数

![](upload/attach/202311/953698_MB4QVDF84E5GEZW.webp)

与dump.cs中的函数进行对照发现v14 由字符串转hex转base64获得

```
 System.Byte[] HexStringToHex(System.String inputHex); // 0x00b06278
```

hook HexStringToHex 函数获得参数

```
il2cpp: inputHex:"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"
```

IDA继续查找调用发现其中字符串由GetFileInfoList函数获得

```c
// static System.IntPtr GetFileInfoList(); // 0x00b04b3c
__int64 sub_B04B3C()
{
  __int64 (*v0)(void); // x8
  __int64 v2[5]; // [xsp+0h] [xbp-40h] BYREF
  int v3; // [xsp+28h] [xbp-18h]
  char v4; // [xsp+2Ch] [xbp-14h]

v0 = (__int64 (*)(void))qword_30365A0;
  if ( !qword_30365A0 )
  {
    v3 = 0;
    v2[0] = (__int64)"UnitySDK";
    v2[1] = 8LL;
    v2[2] = (__int64)"GetFileInfoList";
    v2[3] = 15LL;
    v2[4] = 0x200000000LL;
    v4 = 0;
    v0 = (__int64 (*)(void))sub_812FB4(v2);
    qword_30365A0 = (__int64)v0;
  }
  return v0();
}
```

很明显，调用了libUnitySDK.so中的GetFileInfoList函数获得

#### 3.5 libUnitySDK.so分析

```c
__int64 GetFileInfoList()
{
  return FileInfoListStr;
}
```

FileInfoListStr在writeFileJson函数中被赋值，而writeFileJson则是由java函数上文中的IsHDR_DisplayBoot调用（该函数首个参数为base.apk路径）

![](upload/attach/202311/953698_XESC7BKW8G25F93.webp)

很明显，ll11l1l1ll函数 对之前的明文字符串进行了加密，frida hook打印参数

```
args: {
        "HashList" : 
        {
                "AndroidManifest.xml" : " c72b1d2",
                "assets/bin/Data/Managed/Metadata/game.dat" : "a34a757d",
                "classes.dex" : "58b6cf21",
                "lib/arm64-v8a/libUnitySDK.so" : "b56d5af4",
                "lib/armeabi-v7a/libUnitySDK.so" : "3d548ba2"
        },
        "fileCount" : 1620
}

returnResult: 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
```

其中 HashList 中文件对应的值为文件的 crc
至此，除了具体的字符串加密算法，游戏的校验流程已经很清晰

## 4.校验流程归纳

+ 签名校验
+ 读取base.apk进行关键文件crc读取
+ 进行服务器请求，对关键文件crc校验

## 5.后记

对该校验去除的思路：

+ 对读取安装包的函数 zip_open 或java层的 IsHDR_DisplayBoot 函数进行hook，进行参数替换，进行io重定向
+ 基于il2cpp中的ServerVerifyApk函数进行更详细的分析，直接对其检测去除

ps.仅限于学习交流，切勿用于商业用途，若造成侵权，请联系作者处理。
样本链接：<mark class="encrypted">162K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5h3&6Q4x3X3g2T1j5h3W2V1N6g2)9J5k6h3y4G2L8g2)9J5c8Y4y4Q4x3V1j5I4j5i4N6i4h3f1y4r3x3X3&6f1y4e0m8I4f1q4u0B7z5q4)9#2k6V1y4d9N6q4)9J5k6p5q4Q4x3@1k6H3N6$3c8Q4x3@1c8V1z5s2N6F1</mark>

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2023-11-2 23:33 被wx_嗨编辑，原因：编辑标题

#逆向分析

最新回复 (18)
秋狝雪币： 10156 活跃值： (34226) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 2 楼感谢分享 2023-11-3 09:26 2
shinratensei 雪币： 1719 活跃值： (215957) 能力值： ( LV4，RANK：40 ) 在线值：发帖 1 回帖 141 粉丝 18 关注私信	shinratensei 1 3 楼 tql 2023-11-3 10:36 1
Ruinv6 雪币： 177 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 53 粉丝 1 关注私信	Ruinv6 4 楼感谢分享 2023-11-3 11:25 1
黑屏雪币： 5508 活跃值： (5839) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 149 粉丝 2 关注私信	黑屏 5 楼 tql 2023-11-3 13:25 1
你瞒我瞒雪币： 3421 活跃值： (12739) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 269 粉丝 8 关注私信	你瞒我瞒 6 楼 666 2023-11-9 09:08 1
夏男人雪币： 886 活跃值： (2966) 能力值： ( LV4，RANK：52 ) 在线值：发帖 3 回帖 20 粉丝 10 关注私信	夏男人 7 楼请问楼主样本还能分享一下吗 2023-11-13 22:35 1
wx_嗨雪币： 418 活跃值： (4908) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 43 粉丝 10 关注私信	wx_嗨 8 楼夏男人请问楼主样本还能分享一下吗误删了，已补 2023-11-14 11:48 2
万里星河雪币： 273 活跃值： (2409) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 603 粉丝 8 关注私信	万里星河 9 楼支持一下 2023-11-17 16:19 1
FANGG3 雪币： 184 活跃值： (4563) 能力值： ( LV2，RANK：15 ) 在线值：发帖 6 回帖 32 粉丝 100 关注私信	FANGG3 10 楼感谢分享 2023-11-23 16:25 1
caolinkai 雪币： 3851 活跃值： (4324) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 826 粉丝 1 关注私信	caolinkai 11 楼感谢分享 2023-12-2 11:07 1
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 12 楼 wx_嗨误删了，已补楼主，样本链接失效了，请问可以传论坛不 2024-1-4 09:42 1
zx_990497 雪币： 27 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 14 粉丝 1 关注私信	zx_990497 13 楼 dddd 2024-1-4 16:53 1
wx_嗨雪币： 418 活跃值： (4908) 能力值： ( LV3，RANK：20 ) 在线值：发帖 1 回帖 43 粉丝 10 关注私信	wx_嗨 14 楼 mb_ldbucrik 楼主，样本链接失效了，请问可以传论坛不补了 2024-1-15 10:00 1
简单的简单雪币： 10936 活跃值： (9283) 能力值： ( LV8，RANK：130 ) 在线值：发帖 18 回帖 210 粉丝 190 关注私信	简单的简单 1 15 楼这个案例很不错啊，值得学习 2024-1-15 11:41 1
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 16 楼 wx_嗨补了谢谢楼主 2024-1-19 22:32 1
zhonghuayi 雪币： 128 活跃值： (1650) 能力值： ( LV2，RANK：10 ) 在线值：发帖 29 回帖 118 粉丝 2 关注私信	zhonghuayi 17 楼学习，新手能补下dump 和 frida脚本吗？新手想照做锻炼下 2024-10-22 01:28 0
bluegatar 雪币： 6 活跃值： (5933) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 241 粉丝 6 关注私信	bluegatar 18 楼支持学习了！！！ 2024-10-28 00:11 0
努力8点雪币： 32 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	努力8点 19 楼楼主，样本还能发一下吗 2026-1-7 10:36 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复