版本: 370401

字节的校验参数是在 libmetasec_ml.so 中，静态导出函数只有一个 JNI_OnLoad, 其它导出函数是通过 JNIEnv->RegisterNatives 动态注册。

init_array 段如下:

首先运行 UNIDBG 最基础的代码来测试 init_array :

正常情况下，输出日志如下:

运行 dm.callJNI_OnLoad(emulator); 调用 JNI_OnLoad 后报错 :

错误的原因如下 :

根据 APK 的 JAVA 代码 :

补充以下代码 :

继续运行报错 :

修补环境, 打印出第一个参数是 268435470

继续分析以上 com/bytedance/mobsec/metasec/ml/MS 类的调用, 最终的调用函数 u2.a(i, i2, j, str, obj) 代码如下 :

结果为返回 2

修补代码如下 :

最终调用 JNI_OnLoad 的完整代码如下 :

输出日志如下:

根据 JNI_OnLoad 的日志，可以看到其调用了 RegisterNative 注册了 ms/bd/c/y2 类的 a 函数 ， 对应的 libmetasec_ml.so 函数的地址为 0x26f0f8

对应的反汇编代码如下:

对 ms/bd/c/y2 类的 a 函数进行 HOOK, 和 com.bytedance.mobsec.metasec.ml.MS 的 a 是同一个函数, HOOK 代码如下:

发现有调用号为 0x1000001 的解密调用:

在 UNIDBG 中对解密函数进行调用:

成功输出了 scale 的解密结果:

但是没有 HOOK 到调用号为 0x3000001 对签名参数的调用,手动构造 0x3000001 的参数,使用 FRIDA 主动调用的代码如下：

返回结果为 NULL :

字节使用的网络底层库是 Cronet‌, 签名参数是在 libsscronet.so 中添加的，根据字符串 x-ttnet-origin-url 定位到目标函数地址是 0x47A31C,

调用 libmetasec_ml.so 签名函数的伪代码和汇编代码如下:

使用 FRIDA HOOK 0x47AAEC 地址, 获取到 X23 的地址是 libmetasec_ml.so 的 0x2A45F0 偏移:

对 libmetasec_ml.so 的 0x2A45F0 地址进行 HOOK ,获取到了签名参数:

UNIDBG 调用签名函数代码如下:

修补完环境后的完整代码如下:

生成的结果如下:

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！