-
-
[原创]新版****Ollvm混淆Signature参数解析
-
发表于: 2025-12-8 20:52
-
案例为最新版某马拉雅,可在豌豆夹下载
我们主要分析signature参数，signature长度为40，大概率为SHA1
首先搜索请求体字段中的fdsOtp定位关键代码
总共有三个，分别对应不同的登录形式，我们只关注验证码登录即可
可以发现signature参数的生成与代码
有关，追踪，最终定位到
最终定位到此处代码，发现需要分析so层实现内容(login_encrypt)，为了更清楚的分析，我们需要先了解进入so层前传入的参数是什么形式，
打印传入的参数，内容为:
发现so层代码将近2500行，存在Ollvm混淆
我们从头开始分析代码
修正函数头之后，先分析前几行代码
可以看到存在一定程度的混淆，去除控制流垃圾
按照JNI模式解析，大概率为
查看一下对应的内存地址，是否为类名
可以看到字符串被混淆了，根据交叉引用寻找
发现存在解密代码
其他解密也是相同的，这样我们就知道了这个函数其实就是获取包名，脚本写为Idapython脚本更方便
发现都是进行比较，我们解密另一个参数即可，还是按照刚才的方法
可以看到所有的strcmp就是和硬编码的包名比较，所以我们需要找到对应的包名
最终是在一千一百多行发现
发现比较成功之后，会设置v13=1825021717，这个v13就是状态机，觉得下一步会执行什么代码，因此我们追踪if(v13==1825021717)的代码即可
最后于 14小时前
被kanxue编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
