声明

目的

入手分析

分析过程

在类"com.alibaba.sqlcrypto.sqlite.SQLiteDatabase"跟踪到需要的方法
”openOrCreateDatabase“，通过分析openOrCreateDatabase方法最终会走到
类SQLiteConnection的open方法，在open方法中调用了native方法nativeOpen;通过用对注册方法进行hook RegisterNatives方法发现在database_sqlcrypto文件中注册对应的方法。

2:通过以上分析database_sqlcrypto就有可能对数据库加密解密的操作的文件，用ida打开搜到相关的sqlite或者sqlcipher相关的内容,在库里面能发现数据库的一些痕迹。具体可以在参考一些文档：
https://blog.yllhwa.com/2023/09/29/Android%20QQ%20NT%20%E7%89%88%E6%95%B0%E6%8D%AE%E5%BA%93%E8%A7%A3%E5%AF%86/
https://bbs.kanxue.com/thread-266370.htm
在这个so文件中,能发现
sqlite3_log(21LL, "%s at line %d of [%.10s]", "misuse", 84914LL, "bbd85d235f7037c6a033a9690534391ffeacecc8");这样的log，这个"bbd85d235f7037c6a033a9690534391ffeacecc8"标签是sqlcipher 4.5.1版本标签,推测某钉就是基于这版本修改。你可以下载对应版本源码参看来看这个so文件。

3：通过上面不断的分析,发现某钉的解密稍微跟某q，微稍微有点不一样，对数据的解密算法它单独拎出来了,在分析过程中发现有取现象，加解密函数名字没有抹掉，难道故意放水？发现aes_encrypt_key128,aes_decrypt_key128,aes_encrypt,aes_decrypt函数,对这些进行hook或下断点。在对aes_decrypt分析发现就是aes算法,算法分析对应aes 128，196，256加密的方式,就是128字节对应4*4矩阵加密,具体怎么操作自己baidu，发现加密方式采用了128，也就是10轮计算，

从图上可以看出就是v4是怎么生成的，不要弯子了密钥生成时用过aes_decrypt_key128函数生成,是根据传入的32字节的前面16字节生成轮密钥。至于加密过程应该应该差不多(有兴趣可以研究下)。dump出来轮密钥也能看出来十轮

4：现在就是算法还原了

贴了关键部分

5：现在还有一个问题就是java参数是怎么生成的,具体是过程就省了，自己往回跟踪就可以搞定,具体放在xml文件com.alibaba.android.rimet_preferences字段dt_bee_db_phone_*下面的值进行md5得到得到32位值

具体解密效果如下

尾声

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)