[原创]入门实战-某居客nsign参数分析-Android安全-看雪安全社区

[原创]入门实战-某居客nsign参数分析

发表于: 2025-11-11 14:39 1766

[原创]入门实战-某居客nsign参数分析

卡卡骨

2025-11-11 14:39

1766

# 某居客nsign参数分析
版本：17.15.8

# java层分析
## 算法定位
 ![图片描述](upload/attach/202511/1000016_SFWN2M3TJVA9TM6.webp)
nsign参数很好寻找，jadx中可以直接搜索到
 ![图片描述](upload/attach/202511/1000016_ZEGMP4NSWAXXZWF.webp)
发现他是走了一个getSign0的native函数
## 定位so
通过frida进行定位一下这个native函数具体在哪个so中，frida代码方式不少，我是通过枚举模块的导出表实现定位
 ![图片描述](upload/attach/202511/1000016_WR5UBRRRTMT4NAF.webp)

# so层分析
## 简单概览参数和返回值分析
getSign0中可以看到，主要是get_sign函数，和一些写入字节操作
 ![图片描述](upload/attach/202511/1000016_XPHKFXUH8U647U4.webp)
get_sign中可以看到，应该就是md5，然后可能做了一些额外处理
 ![图片描述](upload/attach/202511/1000016_ZT6XWCUQ7UAXQRC.webp)
## frida 打印get_sign函数，还有SIGNMD5函数的参数和返回值，观察一下，发现具体如下：
- 通过`get_sign`生成了前面的加密值
- 通过自定义逻辑，生成后面`20`位加密值

# get_sign函数分析
SIGNMD5函数返回值 ： `a402a74775c3b95f14e7dc4468eb8d25`
SignUtil.getSign0 返回值： `1000` `aa02a74775c3b95f14e7dc4468eb8d25` `01b20014000087d34a82`
> 看的出来，md5就是第二段，但是第二个字节存在区别，这里我们直接分析一下反编译的c代码

![图片描述](upload/attach/202511/1000016_XPC5UKKQPHBT5PY.webp)

`get_sign`函数是通过`a7`这个指针进行返回数据
`SIGNMD5`函数是通过`v37`指针进行返回数据

+ `*a7 = 808464433;`
	  表示修改a7指针指向的数据为固定值`808464433`
	  这个值转成二进制是 如图
 ![图片描述](upload/attach/202511/1000016_SY3PMVV3NX2CJW5.webp)
+ `v37 = a7 + 1;`
	v37 和a7都是指针，+1 表示指向位置加上一个int类型大小，而64位系统中，一个int表示4个字节

所以上述这里，其实是两个指针指向类似同一块数据地址，前面是固定值，后面是SIGNMD5函数返回值的拼接，
固定值： 就是从低到高数的字节， `31  30 30 30`， 观察一下hexump内容和计算器内容，二者是一致的
 ![图片描述](upload/attach/202511/1000016_TBUV37VESRZ79H9.webp)

-  `v37[*v37 & 0xF] = *v37;`
	v37是 `_BYTE`  指针， 它指向md5返回的数据
	所以`*v37`就是表示取出指向的地址的第一个字节
	所以就很清楚了  ： **第一个字节的低 4 位当作索引，把该字节复制到 MD5 结果中的某个位置
 ![图片描述](upload/attach/202511/1000016_2AFC6J3MMSMFC28.webp)**

所以原本md5 = `a402a74775c3b95f14e7dc4468eb8d25`
转换后 = `aa02a74775c3b95f14e7dc4468eb8d25`

# 生成后20位加密值分析

一个个参数进行分析
```c
      v45 = a0123456789abcd[(v23 >> 8) & 0xF];
      v46 = a0123456789abcd[(unsigned __int8)v23 >> 4];
      v47 = a0123456789abcd[v23 & 0xF];
      v48 = a0123456789abcd[(unsigned __int16)v41 >> 12];
      v49 = a0123456789abcd[((unsigned int)v41 >> 8) & 0xF];
      v50 = a0123456789abcd[(unsigned __int8)v41 >> 4];
      v51 = a0123456789abcd[v41 & 0xF];
      v52 = a0123456789abcd[(unsigned __int16)v61 >> 12];
      v53 = a0123456789abcd[(v61 >> 8) & 0xF];
      v54 = a0123456789abcd[(unsigned __int8)v61 >> 4];
      v55 = a0123456789abcd[v61 & 0xF];
      BYTE4(v66) = a0123456789abcd[(unsigned __int16)v23 >> 12];
      BYTE5(v66) = v45;
      BYTE6(v66) = v46;
      HIBYTE(v66) = v47;
      LOBYTE(v67) = v48;
      BYTE1(v67) = v49;
      BYTE2(v67) = v50;
      BYTE3(v67) = v51;
      BYTE4(v67) = v52;
      BYTE5(v67) = v53;
      BYTE6(v67) = v54;
      HIBYTE(v67) = v55;
      v68 = *v42;
```
`a0123456789abcd` 函数简单看了一下，其实就是将内容转化为十六进制字符
而内部的`(v23 >> 8) & 0xF`这种位移操作，本质上就是通过位移，将数据存储到不同的位上,而且观察代码可以知道，他还是一个数据，切成了4位

最后20个字符，`0123456789abcdef`，所以分析代码得知如下：
- `01b200140000` => 12个字节: 
	 - `01b2` = 434 : map循环  len(key) + len(value)
	 - `0014` = 20 : map.size()
	 - `0000` = 0 : 最后一个参数i值
- `89abcdef`
	可以看到v68直接赋值了 `*v42`，
		 ![图片描述](upload/attach/202511/1000016_APJGEK8BAC7ZDAJ.webp)
	也就是说，`89abcdef`就是取的`str3`参数的前64位，也就是8个字节
	
# 总结
自此nsign所有分析都完成了，没有什么加固混淆，整体分析流程都是最基本的frida+ida，适合新手入门
后续还可以借助unidbg进行算法还原学习

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#逆向分析

收藏・0

点赞・2

打赏