[原创]某软件ollvm混淆登录参数分析-Android安全-看雪安全社区

这次案例使用的是最新某马拉雅，直接豌豆荚即可

# 抓包

首先就是进行抓包了，下面是抓到的数据包

~~~python
POST /mobile/login/pwd/v3 HTTP/2
host: passportws.ximalaya.com
cookie: 1&_device=android&386501be-0e5c-3773-8b4b-d2f40c257a9a&9.4.52;channel=and-d3;impl=com.ximalaya.ting.android;osversion=33;fp=009317657x2222q22264v0500q00000220020000000000012000000000000;device_model=Pixel+7;XIM=;c-oper=%E6%9C%AA%E7%9F%A5;net-mode=WIFI;res=1080%2C2219;AID=MWFiYjhmN2U4OGM4MWY1Mg==;manufacturer=Google;XD=SWVzJyp9dAqYNR2NV/TpWj32w93g1JQRPZp94Qh4YkOIDrTzHvhcg7DkwZddPJEEo8Spj+ypYaAptOHvZ34ujAtl7b57bnLDLTGMOQXm6dRZdGAIpQYNJ+aXMKDZ1dOR;umid=4051f75d0861f70a9723a837b71ae290ia;xm_grade=0;specialModeStatus=0;
cookie2: $version=1
accept: */*
user-agent: ting_9.4.52(Pixel+7,Android33)
x-tk: TACaa2BczhlAb4OXDdzi0vS9AwlepoCuKX6lSN7MhFEYXGnikMYJO-ycVZWJ81G8Ka6U0hO-anu4NP90d1yExsZuYTs68ljb20ueGltYWxheWEudGluZy5hbmRyb2lkITEuMy4yNyE5LjQuNTIuMyFiPXBhc3Nwb3J0JnM9bG9naW4mdT0w
content-type: application/json; charset=utf-8
content-length: 1338
accept-encoding: gzip

{"password":"Tv97ethyYCbW1cu28wKT6LoYasOlozs1bW6XkMsdesPTbWrcUxP0OzDFsBK+56J9V6NQCKCoxEpa\nsjbAd6P7rdGrUMVFQ9VFuJhucxTbZn3FtCT4DdxW0okyw1/7CHxVVo6SESazZqCvdYX6JduejQzg\nsHSx/uilKXMvMymhTmY\u003d\n","fdsOtp":"{\"captcha_id\":\"3723312ce42a04b5c0b40e605a882037\",\"lot_number\":\"f4cc6449828648b4a7482fcb187e0fe7\",\"pass_token\":\"29e78908983de432362042dfa8709d798254c6a5788b046b598bb849a162bab3\",\"gen_time\":\"1772978512\",\"captcha_output\":\"u9reFROUhQ6l5CNk-Y40DVpFm0A5jhpxZAMu8kiKIQFHmCtbVGvr_4a-HewecbuH_vgp4hEw_THRvGykOEhBHfIDOK2mngR_rxYH5LSZFntK0h-JrAso3IZc_a06v3Roo7cw7GARksy9__4dkEt5yro5gqzZbcZBGD1ByeVUK2qxlCiTZXqacspeuZTwmJgbSGLUZt8tnLAcnutND4K1rlpmk6D4NkEqjwyGz_3O_Sosrapf9KCpJiT76IJPprj0sdbRpmHzaV3dbltgA7WmUSqU-GmZly9HWALit1_qljzgrHq6TGb6C60noDZJ82qq5Ainym8HU7Ug4CTO9AO51GliCpeyVckKGNxA0EKZAi9LpVUIW5HHZDUs8-dG87PP43h4RbsyfL3fNYGFh5eHgLNFgg7SKEY9iNhCghPU7PJwWJ6QvwpqDOEqRHZK_yMj_KS54z8drWeu38v5Zr-K0Os3ABsdHcOCKad7JrKl08bl6NsWAWIj5J8ek9I7SbnsF-OBspi0BHAdJLO2snYWJYfTp7CuHu95XRIHzfyZaOI\u003d\"}","signature":"90cf350f2fd44f466325a7210cc34fa7553dc60d","nonce":"0-8D0B9F3600C47d912f9545b45cf0ef55d34f40b311136eb6adf183382af41e","account":"PJ+lxL+0CidJt+eJXvLypUoVliyTsh1RjQQ7DBuTsmqBKUg4qcpMf85TSUjZYT1ChwVzjyBDkHcJ\ngBM0gSRznapMGVfAx3Q4ewy8GuvzdWKdfO8h30HZD4+lr92cp6tcPGY9pER8VHdrKWVW8iyR9gbs\n4YINBi3EWDB//KWb4qI\u003d\n"}
~~~

接下来需要定位到登录函数调用的位置，可以通过**关键字段的搜索**、或者是**hook函数打印调用堆栈**。这里我直接hook了`HashMap`来打印堆栈，找到登录点：

~~~js
Java.perform(function(){
    console.log("[*] Script loaded. Waiting for 'signature' to be put into a Map or JSONObject...");
     var log = Java.use("android.util.Log");
    var HashMap = Java.use("java.util.HashMap");
    HashMap.put.implementation = function(key, value){
        if(key !== null){
            var keyStr = key.toString();
            if(keyStr === 'signature'){
                console.log("[+] 找到拼接 signature, 即将打印调用堆栈....");
                console.log(log.getStackTraceString(Java.use("java.lang.Throwable").$new()) + '\r\n');
            }
        }
        return this.put(key,value);
    }
})
~~~

定位请求体组装位置：

~~~bash
[Pixel 7::喜马拉雅 ]-> [+] 找到拼接 signature, 即将打印调用堆栈....
java.lang.Throwable
        at java.util.HashMap.put(Native Method)
        at com.ximalaya.ting.android.loginservice.LoginRequest$4$1.b(Unknown Source:386)
        at com.ximalaya.ting.android.loginservice.LoginRequest$4$1.a(Unknown Source:365)
        at com.ximalaya.ting.android.loginservice.d.b$2.onSuccess(Unknown Source:73)
        at com.geetest.captcha.q.run(Unknown Source:1)
        at android.os.Handler.handleCallback(Handler.java:942)
        at android.os.Handler.dispatchMessage(Handler.java:99)
        at android.os.Looper.loopOnce(Looper.java:201)
        at android.os.Looper.loop(Looper.java:288)
        at android.os.XimaCrashHandler$1.run(Unknown Source:232)
        at android.os.Handler.handleCallback(Handler.java:942)
        at android.os.Handler.dispatchMessage(Handler.java:99)
        at android.os.Looper.loopOnce(Looper.java:201)
        at android.os.Looper.loop(Looper.java:288)
        at android.app.ActivityThread.main(ActivityThread.java:7898)
        at java.lang.reflect.Method.invoke(Native Method)
        at com.android.internal.os.RuntimeInit$MethodAndArgsCaller.run(RuntimeInit.java:548)
        at com.android.internal.os.ZygoteInit.main(ZygoteInit.java:936)
~~~

![](upload/attach/202603/999665_PNDNQRB839C7SQN.webp)

这里重定义了两个`a`函数，除了从调用链上判断使用的是第一个a函数外，还可以通过frida的`overload`来判断使用的是哪个函数。
 ![](upload/attach/202603/999665_DU4AZFV5TBVQTD9.webp)

这里就是`signature`进行拼接的位置，需要通过`LoginRequest.b`进行跟进，最后发现调用的是`LoginEncryptUtil`的`a`当中的`WTWEctUfLf`函数。

![](upload/attach/202603/999665_G4VT9BVTZZHPXCZ.webp)

通过函数声明可以看到这是个`native`函数，属于`liblogin_encrypt.so`这个库，接下来就需要对这个库当中的这个`native`函数进行分析了。

# so层分析

进入so当中的`WTWEctUfLf`通过`CFG`可以查看到这个函数是被控制流平坦化了（。
 ![](upload/attach/202603/999665_5UVKRS7UETY57RN.webp)

## Unidbg模拟执行

这里想试试用`Unidbg`模拟执行一下看看，能不能找到一些线索，这里传入的参数需要注意一下，通过`jadx`的反编译可以看到传入了3个参数：

![](upload/attach/202603/999665_SSU9AG6GQDEBBFJ.webp)
分别是上下文`context`，布尔值`z`以及拼接后的参数`sb.toString`。这里已经知道了参数一和参数三的形式了，但是参数二是`true`还是`false`依旧不清楚。那么这里可以直接对这个`a`方法进行`hook`，看看传入的是什么，hook脚本如下：

~~~js
Java.perform(function(){
    var LoginEncryptUtil = Java.use("com.ximalaya.ting.android.loginservice.LoginEncryptUtil");
    LoginEncryptUtil.a.overload('android.content.Context', 'boolean', 'java.util.Map').implementation = function(ctx,z ,map){
        console.log("    [param2] z : " + z + "\r\n");
        return this.a(ctx,z,map);
    }
});
~~~

最后打印的是`false`：

~~~bash
    [param2] z : false
~~~

那么此时就知道了参数二。此外为了确保模拟执行`WTWEctUfLf`的逻辑没有错误，这里将传入的`sb.toString()`以及返回值都`hook`出来，用作模拟执行的校验，使用Frida框架进行hook：

~~~js
var WTWEctUfLf_offset = 0x39BC;
function hook_login_enc(){
    var liblogin_encrypt = Process.findModuleByName("liblogin_encrypt.so");
    console.log("[+] 找到liblogin_encrypt的基址: " + liblogin_encrypt.base);
    var WTWEctUfLf_addr = liblogin_encrypt.base.add(WTWEctUfLf_offset);
    console.log("[+] 目标函数地址: "+WTWEctUfLf_addr);

Interceptor.attach(WTWEctUfLf_addr,{
        onEnter: function(args){
            var jstringArg = args[4];
            console.log("args_4 : " + args[4]);
            if(!jstringArg.isNull()){
                var jniEnv = Java.vm.getEnv();
                var cString = jniEnv.getStringUtfChars(jstringArg, null);
                var strValue = cString.readUtf8String();
                console.log("[+] 传入的明文 (sb.toString()):\n\n" + strValue + "\n");
                jniEnv.releaseStringUtfChars(jstringArg, cString);
            }
        },
        onLeave: function(retval) {
            if (!retval.isNull()) {
                var jniEnv = Java.vm.getEnv();
                var cString = jniEnv.getStringUtfChars(retval, null);
                console.log("[+] 返回的密文 (signature): " + cString.readUtf8String());
                jniEnv.releaseStringUtfChars(retval, cString);
            }
            console.log("======================================\n");
        }
    }
}
hook_login_enc();
~~~

最终得到的数据如下：

~~~bash
[+] 传入的明文 (sb.toString()):

account=B8vZmyyyzbNpd7bP+vNYYYGL8Idvddn85ENtGFFxj5An9vCQjv3yXNcli6I24KyRBje/9bADfYpn
a4FywwajYUMmu6ef25+tTPTwaDI1Jq7I5hBbS3PNi0E079ic8m/KP+lD3GG8GXjF1woNcY0UphWE
+p4LXqBoZv1wa1FE9Zo=
&fdsOtp={"captcha_id":"3723312ce42a04b5c0b40e605a882037","lot_number":"6ac21b439ee744cd86b7c462eddc3930","pass_token":"4c82b272afc4b59df1057cf66838a7bd3327afdfefe1be2456580fbcb0de869d","gen_time":"1772978707","captcha_output":"2Z76G2CapbcJxb3z0NRv6IFLTIZJ15mHQYRlVlkywBquuBg9auDb78p_hyS26NaSWJddIYSKQ83ixvuXQfCJWeMiXfURka9GYWuWyS6TkZQEEszgpPITemgwA5BntSqWd54TlHATrcJLgCSPoh81t0rr3Wgz2rJiU4_eTqL7aekJxSCVJ6mADxUzOUMC4q8J_YuyefL7SJlKGx_RXe6PZZYkOt2LDMl-E7qRTMYQlp6r2GCVcGQNJheZovQ1ZzFgzSX_PDFuq3Fm2Ir3y-nI5By57Kar1ohGJv8jGZtE5WEIFV2hoIlC0brWStgKwrTrXmJjnxBh_3S3ak1Xs1Zfaeaov4hPlfGpwW-Lh8OdX6WgAtxb7TsN0XyTpX3j-r8HKz7D71M4UFxSuhgl3OdrCjR5s--JcFybjIy6ANxjR7VlsxWJjyyxJ1x8M331UFD6wksJZjJpKX7LoWgFS48v1_DVxDAWmE4xis6YQYfIumMXS0PicjaxMcSLFyBEreWO4IiYHafv_7GVj5Qns-KihnUBgFLeBsG4b3CvU9-zvzg="}&nonce=0-CCFB9B6F4E55df4ea842b75758d257361290d8f504ec1a1633b85d3010803b&password=QpHGc4OjScTQRP9PTdYxn7ABdCmwS1JqfsBD00gX5UJ0/CSZ8HtNB/K4GrERFODfqKttLqI6Rkoi
Fn15KquI1pMytM8/D9yvvLbg8FpWr2E2JKoMWrZ/J/f3oH4XFF+tBgfzWQXTNZe4dHrdqjjPOcIg
rhSHyN+DyZvz2zktdDo=
&

[+] 返回的密文 (signature): 9d54907ba45d54eaed4bed58cd18de8cb30c7c05
======================================
# 9d54907ba45d54eaed4bed58cd18de8cb30c7c05
~~~

模拟执行时主动调用就可以直接传入这个明文作为字符串参数，并在结束后打印返回值。

这里Unidbg代码篇幅比较长就不放在文章当中了。有需要的话**可以到附件进行下载**。总的来说就是补完环境之后，能够通过`JNI`日志看到大部分信息了。下面展示一些`JNI`的日志：
 ![](upload/attach/202603/999665_DP24HB4332ZVXNR.webp)
	首先就是获取包名，然后将输入的字符串转成字符指针方便后续调用

![](upload/attach/202603/999665_ZFRSP2JDHFURJH4.webp)

接着就是`newStringUTF`，通过这个可以发现，这里的字符串后面拼接了一串新的东西：

~~~bash
MOBILE-V1-PRODUCT-7D74899B338B4F348E2383970CC09991E8E8D8F2BC744EF0BEE94D76D718C089
~~~

接着就是使用`toUpperCase`将参数转成大写。

![](upload/attach/202603/999665_5BRVXWVTTU2AVZT.webp)

接着就是获取了`SHA-1`哈希算法的实例，接着调用`update`，这里传入的参数就是拼接上特定字符串的新参数，最后调用`digest`进行哈希运算。然后`toHexString`之后通过`StringBuilder.append`进行拼接，最后拼接的就是明文字符串

![](upload/attach/202603/999665_MVH5T6N392ZKVDR.webp)

![](upload/attach/202603/999665_ECV3ZAP72SHNX9F.webp)

![](upload/attach/202603/999665_B9F762DKBGSFJDW.webp)

最后可以观察到特征串和我们hook到的一模一样。说明这个模拟执行流程正确了。

其实通过这个`Unidbg`已经几乎把这个`signature`生成方式给看得差不多了，首先就是拼接一串特定字符串，接着转大写，然后进行`SHA-1`。从而完成`signature`参数的生成。这个加密函数貌似并没有自己实现加密逻辑，全都是通过`JNI`来调用`java`层的函数以及加密标准库的。

那么`Unidbg`分析完了，接下来可以试试`IDA`来分析这个`ollvm`

## 静态分析

进入大致浏览了一下，好像只有1千多行，试着分析一下。进入函数后，开始先通过TLS读取了一个值，然后就开始获取包名了（分析之后得出）。
 ![](upload/attach/202603/999665_CT98DV3XHAB8TH2.webp)

来看看这个`get_package_name`函数是怎么样的：
 ![](upload/attach/202603/999665_QSX7HS3B3VZ48GB.webp)

### **处理ollvm中BCF的方法**

#### 方法一 静态分析
可以看到这个函数也被`ollvm`混淆了一下，不过代码量不多，这里直接从头分析一下：
 ![](upload/attach/202603/999665_HV6SJBC53CEQPKM.webp)

首先进来就是给`v12`进行赋值，用作下面状态机的一个流程跳转。在`ollvm`中很多这种**永真**或者**永假**的条件，此时可以进行化简，实在不会的丢给ai化简。这里可以看到实际上执行的是：$a \times (a-1)$ 那么起始就是**偶数乘奇数**，结果就是偶数，**最低位为0，**接着取反，此时最低位为1，或上`0xFFFFFFFE`，运算得出`0xFFFFFFFF`那么这个判断条件就为真，所以**v12 = 1**。

所以这里事实上就只是对`x_149`的最低位做判断。继续往下看，并记录状态：

~~~cpp
v12 = 1;
v3 = 0xB5E7D523;
~~~
#### **方法二 利用IDA的分析引擎**

这里点击`x_149`，然后给这个`x_149`一个值（这里我使用的是**IDA Python**来进行赋值）：
 ![](upload/attach/202603/999665_SGEXXKAVVAB6CJJ.webp)

接着将`.bss`段的可写权限(`W`)关掉，这样就能够利用`IDA`引擎自动将这些虚假控制流去掉了。

![](upload/attach/202603/999665_NXQ3D3UPG7B4UVX.webp)

`x_150`处理手法也差不多，效果如下：
 ![](upload/attach/202603/999665_4VVSKGYSHCE3RP6.webp)

接着回到函数继续分析。另外两个先不管，如果用到了再进行分析。

接着进入`while(1)`循环：

![](upload/attach/202603/999665_GDF7HVC2MRP5XKY.webp)

由于此时的`v3 = 0xB5E7D523`不满足`while`和`if`的条件，直接走到了`if-else`这个位置，经过化简之后这里的条件判断其实就是：`if(v12 || v13)`。

此时的`v12 = 1`，所以这里v3被赋值成`0xEA4F3F0B`，接着就重新进行`while`循环，此时`v3`满足了`while ( v3 > (int)0xCF812BC6 )`，则进入循环，此时会进入到这个`else`分支：
 ![](upload/attach/202603/999665_X88TYD4E3W49WPT.webp)

这里通过调用`JNI`的函数来获取`context`，接着获取`pkgname`，如果获取成功的话`v15 = 0`。这里调用函数用到的字符串都是加密的，这里**先分析完整个大体流程**之后再讲如何解决这个问题。

执行完成这个`else`分支之后`v3 = 0xB19E5A69`，接着就会因为不满足循环条件而跳出循环。接着就是这里的`if`，继续`break`：

![](upload/attach/202603/999665_RB9MQ8V2WF4TS7W.webp)

接着给`v3`继续赋值:

![](upload/attach/202603/999665_FHMBAV88KHYM5RM.webp)

接着到下一个`while`循环：
 ![](upload/attach/202603/999665_7BPN62JTFU7HPK2.webp)

先走else块，然后`v3 = -8285439`，接着就是`if`块，通过`CallObjectMethod`调用`getPackageName`获取`pkgName`存放到`v16`。然后v3被设置成`1958226928`，接着往下：
 ![](upload/attach/202603/999665_U9MKW6QN7BT6MT2.webp)

给将v16也就是`pkgName`赋值给`v11`，然后调整状态码，进入下一轮循环后直接就从`if ( v3 != 1958226928 )`处返回`pkgName`了。所以这个函数其实原本的逻辑就是获取`pkgName`后返回，去掉混淆之后就是这样的：

~~~cpp
jstring sub_154C(JNIEnv *env, jobject ctx)
{
    jclass cls = (*env)->FindClass(env, "android/content/ContextWrapper");
    jmethodID mid = (*env)->GetMethodID(env, cls, "getPackageName", "()Ljava/lang/String;");
    (*env)->DeleteLocalRef(env, cls);
    if (mid == NULL) {
        return (*env)->NewStringUTF(env, "");
    }
    return (jstring)(*env)->CallObjectMethod(env, ctx, mid);
}
~~~

接下来就来解决一下字符串加密的问题

### 解决字符串加密的方式

#### 方法一 分析解密函数

可以看到做的操作就是获取`JNI`的方法`ID`，方便后续调用。可以看到这里的本该传入的字符串好像都是**被加密的**，点击`xmmword_2C010`进入看看情况：
 ![](upload/attach/202603/999665_ZUK472YHQPYH896.webp)

很明显确实是被加密了，那么要怎么还原回原本的字符串呢？这里可以使用**交叉引用**，发现只有这里是进行了写操作的，直接跳转到这个位置

![](upload/attach/202603/999665_H5G6SA9PR9ABNVZ.webp)
 ![](upload/attach/202603/999665_65J5WKA57USTPC3.webp)

接着就是一步步往上跟踪，最后定位到这个位置：
 ![](upload/attach/202603/999665_DKBARE68B5CSW3V.webp)

这里其实就是一个简单的异或加密，但是数据量太多，这个就交给`AI`来帮忙了，`xmmword_2C010`这里的字符串并不只是这个地方的，还延伸到了`0x2C02E`这个位置，遇到了`ALIGN`才算结束：

![](upload/attach/202603/999665_JUZU955ERFWSDJ4.webp)

按照上面的方法定位解密的位置，最后能够写出下面的脚本：

~~~python
datasets = [
    [15, 0, 10, 28, 1, 7, 10, 65, 13, 1, 0, 26, 11, 0, 26, 65,0x2D, 0x01, 0x00, 0x1A, 0x0B, 0x16, 0x1A, 0x39, 0x1C, 0x0F, 0x1E, 0x1E, 0x0B, 0x1C, 0x6E],
]
keys = [0x6E]

for i, (data, key) in enumerate(zip(datasets, keys)):
    out = bytes(b ^ key for b in data)

print(f"[{i}]  hex:", out.hex())
    print("     bytes:", out)
~~~

![](upload/attach/202603/999665_GUZHX56BJCTXSF5.webp)

这里用到的加密字符串基本上都能按照这个方法进行解密。

#### 方法二 dump文件

使用上面的方法来获取解密函数效率会非常慢，而且写注释看的不舒服。通过刚才的分析可以发现，这些字符串解密之后都是存放到原来的位置上的，那么我们如果可以直接在这些位置上修改成明文的话，反编译当中也可以看到明文字符串了。爽歪歪~~

那么来分析一下这个解密函数在什么时候会被调用，以此来确定`dump`点:

![](upload/attach/202603/999665_UAJD5YMKC8Y59F9.webp)

通过交叉引用可以看到，是在`init_array`当中被调用的，而这个`so`会在进行了一次登录之后加载。这样就很方便了，直接先登录一次，让so加载，加载完成后字符串解密完成。接着就可以直接`dump`了，连`dump`点都不需要找，这里使用`Frida`进行`dump`：

~~~js
var TARGET_SO = "liblogin_encrypt.so"; 
var APP_PACKAGE_NAME = "com.ximalaya.ting.android";

function dump_login_enc_lib(moduleName) {
    var module = Process.getModuleByName(moduleName);
    if (module === null) {
        console.log("[-] 找不到模块: " + moduleName);
        return;
    }

console.log("[+] 找到模块: " + module.name);
    console.log("[+] 基址: " + module.base);
    console.log("[+] 大小: " + module.size);

dump下来的so使用`soFixed`来修复一下，由于在加载到内存之后，`got`表会被污染，这里将对应解密的字符串数据**移植到原来的so上**，便于分析。移植的过程中要注意，`soFixed`修复的so，节的文件偏移和内存地址是一样的，但是原来的so可能有区别，需要注意。这里写个python脚本跑一下，再拿来分析：

~~~python
def fixSo():
    original_so_path = "liblogin_encrypt.so"         # 原始加密的SO
    dumped_so_path = "liblogin_encrypt_fixed.so"     # Frida Dump出来的明文SO
    output_so_path = "liblogin_encrypt_decrypted.so"    # 最终缝合产物

data_vaddr_in_dump = 0x2c000
    data_offset_in_orig = 0x1c000
    data_size = 0x2d316 - 0x2c000
    print(f"data size : {data_size}")
    print("[*] 开始执行底层指令缝合手术...")

# 读取 Dump 文件中的明文代码
    with open(dumped_so_path, "rb") as f_dump:
        f_dump.seek(data_vaddr_in_dump)
        decrypted_opcodes = f_dump.read(data_size)

# 读取 原 SO 并进行替换
    with open(original_so_path, "rb") as f_orig:
        orig_data = bytearray(f_orig.read())

# 将明文代码直接覆盖到原 SO 的对应物理位置
    orig_data[data_offset_in_orig : data_offset_in_orig + data_size] = decrypted_opcodes

with open(output_so_path, "wb") as f_out:
        f_out.write(orig_data)

print(f"[+] 缝合成功！产物已保存至: {output_so_path}")
if __name__ == "__main__":

fixSo()
~~~

![](upload/attach/202603/999665_G4CT4RJSUZU4XNS.webp)

这样看起来就非常舒服了。

### ollvm分析

接下来继续进行`ollvm`的分析。这里一开始一步步分析`ollvm`，也是通过上面`get_package_name`的方法进行分析。发现太牢了，然后试着用交叉引用逃课。首先这里会获取包名，正常来说这个包名一般来说就是app的包名

![](upload/attach/202603/999665_BBMCMPYMWRHHTRK.webp)

接着对这个`pkg_nname`进行交叉引用，并搜索app的包名:
 ![](upload/attach/202603/999665_TPWEZY9TUT3UE3C.webp)

发现了，然后跳转过去：

![](upload/attach/202603/999665_H392BHNKJUFZ4S2.webp)
这里就是校验获取的包名和app包名是否一致，然后设置op状态码。然后继续跟踪，大致三四个状态码切换之后就会来到这个位置：

![](upload/attach/202603/999665_G4Q58P5HJSQRUW8.webp)
可以看到这两个字符串就是我们`Unidbg`模拟的时候发现拼接到参数当中的特定字符串。接下来可以继续分析状态机，这里我就直接交叉引用看调用了。首先对`v160`进行状态引用

![](upload/attach/202603/999665_ZQTTTKG637YG66F.webp)

可以发现除了一堆字符指针的赋值，就是将`v160`赋值给了`v193`。那么此时就到这个地方看看有没有什么特别的。

![](upload/attach/202603/999665_P3AKJ5JQ3HA3DRV.webp)

并没有发现什么特别之处，这里再对193进行交叉引用，发现有用到了`memcpy`这种东西，经过简单分析，发现了几个这种结构：
 ![](upload/attach/202603/999665_4VW962XDJ6ZF49E.webp)

都是开辟空间，然后进行参数拼接。这里猜测就是参数进行拼接的地方。如果需要更加准确的知道到底是调用了哪一个的话，需要跟着状态机分析。最后这里会通过`newStringUTF`将拼接后的参数转成`jstring`。接着就是继续对`v175`进行交叉引用，

![](upload/attach/202603/999665_YRS3NCPYT6838ZR.webp)

接着就是这个位置，转大写，然后调用`MessageDigest.digest`，接着继续引用

![](upload/attach/202603/999665_U8N587MTX5AFVXS.webp)

最后就是这个位置，也就是进行`SHA-1`哈希，然后`toHexString`。

至此整个`signature`就差不多完成了。到这里整个`Signature`生成应该是比较明确的了，大致过程就是：将登录参数按固定格式拼接后，追加固定字符串 `MOBILE-V1-PRODUCT-7D74899B338B4F348E2383970CC09991E8E8D8F2BC744EF0BEE94D76D718C089`，转大写，再做 `SHA-1` 并转十六进制输出。

# 参考

+ **参数分析：**[[原创\]新版****Ollvm混淆Signature参数解析-Android安全-看雪安全社区｜专业技术交流与安全研究论坛](https://bbs.kanxue.com/thread-289361.htm)

+ **`Unidbg`补环境及Trace**：<a href="elink@c6eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7J5x3o6f1^5y4e0t1K6i4K6u0V1x3g2)9J5k6o6q4Q4x3X3g2Z5N6r3#2D9">《安卓逆向这档事》第二十四课、Unidbg之补完环境我就睡(上) - 吾爱破解 - 52pojie.cn</a>

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-3-11 15:42 被x0rrrrr编辑，原因：对虚假控制流分析方法进行了补充

#逆向分析 #NDK分析 #协议分析 #混淆加固

上传的附件：

login_test.zip （5.00kb，44次下载）

最新回复 (71) 1 2 3 ▶
Girotly浮华雪币： 246 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	Girotly浮华 2 楼看看 2026-3-9 12:42 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 3 楼向大佬学习 2026-3-9 12:49 0
mb_roiscepd 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 33 粉丝 0 关注私信	mb_roiscepd 4 楼 666 2026-3-9 14:08 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 5 楼 tql 2026-3-9 15:12 0
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 6 楼向大佬学习 2026-3-9 15:39 0
A0tem 雪币： 1207 活跃值： (1046) 能力值： ( LV4，RANK：40 ) 在线值：发帖 4 回帖 22 粉丝 39 关注私信	A0tem 7 楼 TQL 2026-3-9 15:49 0
x0rrrrr 雪币： 1958 活跃值： (1466) 能力值： ( LV5，RANK：70 ) 在线值：发帖 7 回帖 14 粉丝 31 关注私信	x0rrrrr 1 8 楼 A0tem TQL orz 2026-3-9 17:45 0
mb_ykavguun 雪币： 1307 活跃值： (1825) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 166 粉丝 0 关注私信	mb_ykavguun 9 楼 11 2026-3-9 17:47 0
mb_uvyukvot 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 144 粉丝 1 关注私信	mb_uvyukvot 10 楼 666 2026-3-10 16:14 0
红皮西瓜雪币： 824 活跃值： (490) 能力值： ( LV3，RANK：20 ) 在线值：发帖 5 回帖 40 粉丝 24 关注私信	红皮西瓜 11 楼 6 2026-3-11 15:10 0
九黎雪币： 51 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 93 粉丝 0 关注私信	九黎 12 楼 666 2026-3-11 15:36 0
cc12138 雪币： 27 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 2 粉丝 1 关注私信	cc12138 13 楼 666 2026-3-11 22:07 0
mb_uzmffdbw 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_uzmffdbw 14 楼 666 2026-3-12 13:46 0
mb_qgeepiru 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_qgeepiru 15 楼 6 2026-3-12 18:03 0
Gryffindoss 雪币： 635 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 126 粉丝 0 关注私信	Gryffindoss 16 楼 6666 2026-3-13 10:39 0
AK1988DA 雪币： 74 活跃值： (875) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 112 粉丝 0 关注私信	AK1988DA 17 楼 1 2026-3-13 10:45 0
MaYil 雪币： 9446 活跃值： (8072) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 18 楼感谢分享 2026-3-13 11:36 0
mb_ifjlatem 雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 75 粉丝 0 关注私信	mb_ifjlatem 19 楼 TQL 2026-3-13 14:06 0
mb_cbgtaveo 雪币： 292 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 259 粉丝 0 关注私信	mb_cbgtaveo 20 楼 666 2026-3-13 14:31 0
pan_634488 雪币： 0 活跃值： (1505) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 71 粉丝 0 关注私信	pan_634488 21 楼 666 2026-3-13 14:58 0
4Chan 雪币： 375 活跃值： (4087) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 202 粉丝 12 关注私信	4Chan 22 楼 666 2026-3-13 14:58 0
土豆爱学习雪币： 70 活跃值： (538) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 60 粉丝 5 关注私信	土豆爱学习 23 楼 666 2026-3-14 17:33 0
myios 雪币： 149 活跃值： (1769) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 61 粉丝 0 关注私信	myios 24 楼 666 2026-3-14 21:08 0
wx_无法回头的伪装雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 33 粉丝 0 关注私信	wx_无法回头的伪装 25 楼 66666 2026-3-16 10:14 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复