typora-root-url: ./pic
安卓逆向百例十-币coin
现在售价依旧是99¥,计划更新100案例,平均一个案例1块钱,要什么自行车!
案例起源:
有位老哥 经过炒币失败后想做一个这种查询接口的app,但是苦于他的资金比较紧缺,就给我几百块,但是架不住苦苦哀求,我就做了,顺便当个案例。
版本: 币coin 4.0.3
包名: com.temperaturecoin
1.抓包分析
位置在:
其中我们今天要去逆向的是 sign的生成,以及data的解密。
2.关键词定位
搜索
查找用例:
进入方法内 我们可以看的 sign是 经过了AESUtil.s
其中我们可以可以得到 :
time 就是时间戳 ,salt是一个 随机的值 sign 是 time + salt + "getUserAccountInfoBySecretNew"
接下来跳转到AESUtil.s 方法里面 跳转到这个位置:
hook验证一下入参:
查看一下加载的so文件是 ns:
打开ida 反编译 libns.so 搜索java我们发现是静态注册的 并且发现了 Java_com_bcoin_ns_S_s这个字眼:
进去看看喽!顺便把fastcall Java_com_bcoin_ns_S_s(int64 a1 的a1改成 JNIEnv *
jstring __fastcall Java_com_bcoin_ns_S_s(JNIEnv *a1, __int64 a2, __int64 a3)
{
const char *v5; // x20
const char *v6; // x21
jstring result; // x0
int v8; // w10
__int64 (__fastcall *v9)(); // x10
char v10; // w24
int v11; // w9
char *v12; // x20
size_t v13; // w0
char *v14; // x21
unsigned __int64 v15; // x10
char *v16; // x11
unsigned __int64 v17; // x9
char *v18; // x10
char v19; // t1
_OWORD *v20; // x12
__int128 *v21; // x13
unsigned __int64 v22; // x14
__int128 v23; // q0
__int128 v24; // q1
_QWORD v25[2]; // [xsp+0h] [xbp-40h] BYREF
v25[1] = *(_ReadStatusReg(ARM64_SYSREG(3, 3, 13, 0, 2)) + 40);
v5 = (*a1)->GetStringUTFChars(a1, a3, 0LL);
v6 = (*a1)->GetStringUTFChars(a1, token, 0LL);
(*a1)->ReleaseStringUTFChars(a1, a3, v5);
(*a1)->ReleaseStringUTFChars(a1, token, v6);
result = 0LL;
if ( v5 && v6 )
{
v8 = idxMethod % 3;
if ( idxMethod % 3 )
{
if ( v8 == 2 )
{
v9 = jointMd5;
v10 = 100;
}
else if ( v8 == 1 )
{
v9 = axor;
v10 = 67;
}
else
{
v9 = chainXor;
v10 = 97;
}
}
else
{
v9 = cxor;
v10 = 98;
}
if ( idxMethod == 2147483646 )
v11 = 0;
else
v11 = idxMethod + 1;
idxMethod = v11;
v12 = (v9)(v5, v6);
__android_log_print(3, "bc", "pre payload: %s", v12);
if ( v12 )
{
v13 = strlen(v12);
v14 = v25 - ((v13 + 1 + 15LL) & 0x1FFFFFFF0LL);
*v14 = v10;
if ( v13 >= 1 )
{
if ( v13 > 0x1FuLL && (v14 + 1 >= &v12[v13] || v12 >= &v14[v13 + 1]) )
{
v15 = v13 - (v13 & 0x1F);
v20 = v14 + 17;
v21 = (v12 + 16);
v22 = v15;
do
{
v23 = *(v21 - 1);
v24 = *v21;
v22 -= 32LL;
v21 += 2;
*(v20 - 1) = v23;
*v20 = v24;
v20 += 2;
}
while ( v22 );
if ( (v13 & 0x1F) == 0 )
goto LABEL_21;
}
else
{
v15 = 0LL;
}
v16 = &v12[v15];
v17 = v13 - v15;
v18 = &v14[v15 + 1];
do
{
v19 = *v16++;
--v17;
*v18++ = v19;
}
while ( v17 );
}
LABEL_21:
v14[v13 + 1] = 0;
free(v12);
return (*a1)->NewStringUTF(a1, v14);
}
return (*a1)->NewStringUTF(a1, "");
}
return result;
}
眼尖的朋友已经看见了 这里有个 __android_log_print 我们可以使用adb 来监控他的输出
在设备上运行日志记录工具 logcat
,这是 Android 提供的一个工具,用于实时查看系统和应用程序的日志。
在终端中执行以下命令启动 logcat
:
adb logcat
这会显示设备上的所有日志信息。如果你想要过滤特定标签(例如 "bc"
),可以使用:
adb logcat -s bc:D
这里的 -s
选项指定了过滤的标签,D
表示只显示 DEBUG
级别及以上的日志。
logcat:524b5a6860bad1a0bbe0712e48a5debb
抓包:d524b5a6860bad1a0bbe0712e48a5debb
我们从中可以发现 其实就是 结果 加了一个d 对吧,但是我们通过观察 logcat 和 抓包会发现有的时候是大写 有的时候是小写而且规律也不一样。他其实和这个有关系
这段代码根据 idxMethod
的值选择一个函数指针,并根据不同的条件设置函数的参数和值。接着调用这个函数,并将结果保存到 v12
中。代码的目的是根据不同的条件选择合适的处理函数,并在每次调用后更新 idxMethod
的值。
代码解释:
result = 0LL; // 初始化一个 long long 类型的变量 result 为 0
if (v5 && v6) // 如果 v5 和 v6 都不为 0(即它们都有效)
{
v8 = idxMethod % 3; // 计算 idxMethod 除以 3 的余数,并将结果赋值给 v8
if (idxMethod % 3) // 如果 idxMethod 除以 3 的余数不为 0
{
if (v8 == 2) // 如果余数是 2
{
v9 = jointMd5; // 将 v9 设置为 jointMd5(假设 jointMd5 是一个函数指针)
v10 = 100; // 将 v10 设置为 100
}
else if (v8 == 1) // 如果余数是 1
{
v9 = axor; // 将 v9 设置为 axor(假设 axor 是一个函数指针)
v10 = 67; // 将 v10 设置为 67
}
else // 如果余数是 0
{
v9 = chainXor; // 将 v9 设置为 chainXor(假设 chainXor 是一个函数指针)
v10 = 97; // 将 v10 设置为 97
}
}
else // 如果 idxMethod 除以 3 的余数为 0
{
v9 = cxor; // 将 v9 设置为 cxor(假设 cxor 是一个函数指针)
v10 = 98; // 将 v10 设置为 98
}
if (idxMethod == 2147483646) // 如果 idxMethod 的值为 2147483646
v11 = 0; // 将 v11 设置为 0
else
v11 = idxMethod + 1; // 否则,将 v11 设置为 idxMethod + 1
idxMethod = v11; // 更新 idxMethod 的值为 v11
v12 = (v9)(v5, v6); // 调用 v9 指向的函数,传入 v5 和 v6 作为参数,并将结果赋值给 v12
}
我们这里可以直接看他走 jointMd5 的位置 然后 直接查看入参不就行了 ,然后固定参数去请求。这样就不用还原 chainXor 和 cxor 函数了。
我们查看joinmd5这个函数 映入眼帘的是 这两个
v8 = strcpy(v6, s); strcat(v8, a1);
所以我直接去hook joinMd5 这个函数:
args1来源token:
抓包和adb 记录的:
所以就是 MD5(token + times + salt + 'getUserAccountInfoBySecretNew') 这个已经验证过了是标准的md5
str = '2c06cef65865431546fdb751f255508b'+str(times)+"6"+'getUserAccountInfoBySecretNew'
# print(str)
sign = 'd'+calculate_md5(str)
所以我们请求的时候 固定salt 就行了
具体代码放在文章最后...
3.返回值解密
一般来说 同一个数据包的加密的位置在都在一块,所以我们就顺藤摸瓜,就找到
hook验证:
去so层看看 :
一进去我们就看到 AES 128 pkcs5 的字眼:
进来后发现:
好家伙 Key = getKey(); IV = getIV(); 这么明显吗?那就不怪我了
上frida hook: hook到key 和 iv了
hook代码如下:
// key
var addr = Module.findBaseAddress('libns.so');
var KEY = addr.add(0x10144);
console.log(KEY);
Interceptor.attach(KEY,{
onEnter:function (args){
console.log("---------key 进入了-----------")
},
onLeave:function(retval) {
console.log("--------------------")
console.log('KEY 返回值:',hexdump(retval,{length:16}))
}
})
// IV
var addr = Module.findBaseAddress('libns.so');
var IV = addr.add(0x10144);
console.log(IV);
Interceptor.attach(IV,{
onEnter:function (args){
console.log("---------IV 进入了-----------")
},
onLeave:function(retval) {
console.log("--------------------")
console.log('IV 返回值:',hexdump(retval,{length:16}))
}
})
至此我们整个流程就已经完成了。
4.python代码还原
import time
from loguru import logger
import requests
import hashlib
from Crypto.Cipher import AES
import base64
import requests
def unpad(data):
"""去除填充"""
pad_length = data[-1]
return data[:-pad_length]
def decrypt_aes_cbc(ciphertext_base64, key, iv):
# key = bytes(key_text, 'utf-8')
# iv = bytes(iv_text, 'utf-8')
ciphertext = base64.b64decode(ciphertext_base64)
cipher = AES.new(key, AES.MODE_CBC, iv)
plaintext = cipher.decrypt(ciphertext)
plaintext = unpad(plaintext).decode('utf-8')
return plaintext
def calculate_md5(data):
# 创建一个MD5哈希对象
md5_hash = hashlib.md5()
# 更新哈希对象
md5_hash.update(data.encode('utf-8'))
# 返回MD5哈希的十六进制表示
return md5_hash.hexdigest()
headers = {
xxx
}
times = int(time.time() * 1000)
# 17236209670982
# 1723621530537
# 1723621708604
# print(times)
str = 'token'+str(times)+"6"+'getUserAccountInfoBySecretNew'
# print(str)
sign = 'd'+calculate_md5(str)
logger.info("sign签名{}".format(sign))
# print(sign)
headers['Sign'] = sign
headers['Time'] = f'{times}'
url = "https://i.bicoin.com.cn/firmOffer/getUserAccountInfoBySecretNew"
params = {
"salt": "6",
"sign": f"{sign}",
"time": f"{times}",
"userId": "894919"
}
response = requests.get(url, headers=headers, params=params).json()
print(response)
data = response['data']
key_hex = '8971483f9910300bdffee864cb135f34'
iv_hex = '8971483f9910300bdffee864cb135f34'
data = decrypt_aes_cbc(data, bytes.fromhex(key_hex), bytes.fromhex(iv_hex))
print(data)
#2c06cef65865431546fdb751f255508b17236221106396getUserAccountInfoBySecretNew
#2c06cef65865431546fdb751f255508b17236215305376getUserAccountInfoBySecretNew
交流群: