实战app-分析接口算法并还原

脱壳

由于我提前对该app进行分析了，有加壳，首先对其进行脱壳处理。

运行adb shell dumpsys activity activities | grep mResumedActivity获取当前的一个activity

然后使用FRIDADEX_DUMP脱壳后进行过滤，grep -ril "PassWordLoginActivity" 得到我们要的dex文件

抓包

首先进行抓包分析，以登录界面为例

使用r0capture进行抓包，运行python r0capture.py -U com.caratlover -p kllr.pcap保存到pcap文件，用wireshark打开进行分析，可以看到post的body都进行加密了

分析

用jadx打开，以headers里的字段随缘搜索，看有没有什么发现。

对gps_city搜索，就只有一处结果，跟进查看，基本都是headers里的字段，大概率定位到代码位置了

直接到最后面看该方法做了什么，跟进c方法

c方法又调用了b方法，很明显的AES加密，那f87210e0ed3079d8就是密钥了

分析到这里，就得证明我们的猜想对不对，使用objection进行hook

使用objection

对刚才的c方法进行hook，可以看到参数是填进去的手机号和密码，所以确实经过该方法。更刚才抓到的包进行对比，可以发现加密后的是body

\

还原body

回过来进行分析b方法，分析它的如何进行加密的

为了证明分析对不对，可以在chinabaiker.com/cyberchef.h…进行操作对比。可以看到是一样的，body的部分解决了，再分析headers里的字段。

分析headers

代码被混淆了，可以大概猜测a方法应该是addheader之类添加请求头的。从上往下看都往a里添加了什么

可以看到先往header里添加了这些字段，跟请求的字段一样，下面字段的值基本可以固定。

剩下的字段可以根据代码分析，也可以根据它的字段猜测大概的意思

为了证明猜想，对其base64解码

我就只展示一个，其它的都是一样

模拟请求

body，headers都分析差不多了，模拟请求试试看

import base64 from Crypto.Cipher 
import AES import requests x
import time 

''' 
采用AES对称加密算法 
''' 
# str不是32的倍数那就补足为16的倍数 
def add_to_32(value): 
    while len(value) % 32 != 0: 
        value += '\0' 
    return str.encode(value) # 返回bytes 
    
def add_to_16(value): 
    while len(value) % 16 != 0: 
        value += '\0' 
    return str.encode(value) # 返回bytes 

#加密方法 
def encrypt_oracle(text): 
    # 秘钥 
    key = 'f87210e0ed3079d8' 
    # 待加密文本 
    # 初始化加密器 
    aes = AES.new(add_to_16(key), AES.MODE_ECB) 
    #先进行aes加密 
    encrypt_aes = aes.encrypt(add_to_16(text))
    #用base64转成字符串形式 
    encrypted_text = str(base64.encodebytes(encrypt_aes), encoding='utf-8') # 执行加密并转码返回bytes 
    # print(encrypted_text) 
    return encrypted_text 
    
#解密方法 
def decrypt_oralce(text): 
    # 秘钥 
    key = 'f87210e0ed3079d8' 
    # 密文 
    # 初始化加密器 
    aes = AES.new(add_to_16(key), AES.MODE_ECB) 
    #优先逆向解密base64成bytes 
    base64_decrypted = base64.decodebytes(text.encode(encoding='utf-8')) 
    #执行解密密并转码返回str
    decrypted_text = str(aes.decrypt(base64_decrypted),encoding='utf-8').replace('\0','') 
    # print('decrypted_text',decrypted_text) 
    return decrypted_text 
    
if __name__ == '__main__': 
    text = '{"verifyValue":"123456","openInvite":"","phoneNumber":"12345678910","verifyMode":"2","openChannel":""}' 
    entrypted_text = encrypt_oracle(text) 
    url = "http://uc.pairui1.com:8668/auth/login" 
    headers = { 
        "device_system": "8.1.0", 
        "device_name": "aos", 
        "device_model": "Nexus 6P", 
        "device_brand": "google", 
        "package_name": "com.caratlover", 
        "imei": "867686020207104", 
        "api_version": "4600", 
        "client_version": "4600", 
        "post_time": str(int(time.time())), 
        "app_market": "uc", 
        "oaid": "", "mac": 
        "A0:8D:16:F3:87:76", 
        "gps": "", 
        "gps_city": "", 
        "gps_province": "", 
        "area": "", 
        "township": "", 
        "number": "", 
        "Content-Type": "text/plain; charset=utf-8", 
        "Host": "uc.pairui1.com:8668", 
        "Connection": "Keep-Alive", 
        "Accept-Encoding": "gzip", 
        "User-Agent": "okhttp/3.12.0", 
    } 
    response = requests.post(url, data=entrypted_text, headers=headers) 
    # print(response.status_code) 
    # print(response.text) 
    print(decrypt_oralce(response.text))

可以看到请求成功发出去了，有注册了账号的可以测试下。