安卓协议逆向之frida hook百例

Posted 2023-04-01 小C996

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了安卓协议逆向之frida hook百例相关的知识，希望对你有一定的参考价值。

安卓协议逆向之frida hook百例

各位下午好我是一位往android安全方向走的小菜鸟一枚目前也是很努力在学这个系列也会一直更新记录自己的学习过程大佬多担待担待有出错的地方也帮忙指出

frida hook环境

1. pycharm（python,javascript）
2.安卓模拟器（觉得哪个好用就用哪个）
3.frida配置（frida是配置在python的）
4.jadx-gui (反编译工具)
（后续有其他工具再贴 以上的工具论坛已经有很多大佬教过安装和配置了 这里就不赘述了）

目标app

SHB9Bp8hYYgXQMYBQViZQF==（题目：仿射后的base)

分析过程

刨析内容

此处是fd抓的password login 的提交

提交的data:

appid (app标识)  
sign(加密)
appversion(app版本)
channelid(好像也是一个标识吧反正固定的)
pwd (密码(加密))
udid (加密)
username (手机号)

共有三处加密一个sign 一个pwd 这两个初步看是md5 还有一个udid 一开始还以为是base加密丢进base全家桶解密结果不是那就暂定AES或RSA吧

pwd|sign分析

该说不说是骡子是马直接丢jadx

好家伙搜sign这么多地址那咱怎么可能一个个看直接搜login.ashx

那咋办嘛进来之后看到这里string了一个对象是login_url 那就应该会有调用他的地方进行post提交直接搜这个对象看看

果不其然这里拼接了一个username 和pwd 还能看到有个encodemd5 里面传了个str3 str3还是一个被传进来的参数这里应该就是对pwd进行加密的地方双击进入这个方法真相就要水落石出了

md5的模子直接给他hook下来

#####python代码块
import frida  # 导入frida模块
import sys  # 导入sys模块
def on_message(message, data):  # js中执行send函数后要回调的函数
print(message)# 打印回调的函数
session = frida.get_remote_device().attach('name')  # app名字
with open("./hook.js",encoding='utf-8') as f:script = session.create_script(f.read())# 找到我们写好的hook脚本 然后进行注入
script.on('message', on_message)  # 加载回调函数，也就是js中执行send函数规定要执行的python函数
script.load()  # 加载脚本

sys.stdin.read()#进行程序阻塞 让我们进行调试  如果不加这段会直接允许会直接结束代码 CTRL+D可以直接结束程序

##JS代码块
Java.perform(function ()
Java.use('com.autohome.ahkit.utils.SecurityUtil').encodeMD5.implementation=function (data)          ///function里面的data是要劫持的函数 
///com.autohome.ahkit.utils <文件名 package>
///SecurityUtil <类名 class> 
///encodeMD5 <函数名 调用的方法名>
console.log(data); ///打印此函数
return this.encodeMD5(data);///劫持完代码看一下怎么个事就给你反回去
 
);

好家伙点一下登陆有两处调用了这里第一个应该是密码 pwd 第二个可能是sign 经过抓包检验确实是我们要的sign参数只是抓到的包里面的sign参数是经过md5到大写

事已至此 sign or pwd的encrypt到此结束

udid分析

通过我们对sign的劫持我们取到了一串明文接下来还是继续分割出来发现了udid在这里就已经进行了加密然后pwd也是加密了 pwd没什么好说的在刚才的hook中已经知道他是先加密了pwd再进行拼接然后把这个拼接完的数据继续入参进行md5加密成sign 以下是对udid的分析

依旧是无脑定位大法搜udid 看到getudid直接进
(接下来看图吧以下是找udid的生成过程)

到这里就给大家简单说一下这个udid的生成

HiAnalyticsConstant.REPORT_VAL_SEPARATOR 这玩意转到声明  实际上就是一个|  分割用的
getIMEI(context)  这里是获取了你的设备号
System.nanoTime  这里是调用了系统方法 查了下好像是生成随机时间的？
# SPUtils.getDeviceId() device iD 设备ID？ 后面发现这里是抓包获取到的 设备号固定这个值也固定

udid的生成找到了最后是通过encode3Des进行加密如果不懂什么是3Des加密的可以去上网搜一下

Java.perform(function ()
Java.use('com.autohome.ahkit.AHAPIHelper').getDesKey.implementation=function (mDesKey)///function里面的data是要劫持的函数
var key = this.getDesKey(mDesKey)

     console.log(key)
   return key;///劫持完代码看一下怎么个事就给你反回去

 
);

key找到了大概过程也分析完了我们尝试hook一下拿到明文然后自己还原校验一下

OK 成功至此分析过程已经完毕