Android逆向之实战逆向APP

已于 2024-01-20 19:56:30 修改
阅读量2.4k 收藏 19
点赞数 13
分类专栏： 逆向工程 文章标签： android linux
于 2024-01-20 19:30:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LJFPHP/article/details/135720546
版权
本文详细介绍了如何通过Android逆向工程获取APP中特定功能的解压密码，包括环境准备、抓包、逆向分析Zip4j库、找到解压密码生成函数，并利用所得密码解压缩模型资源。作者强调逆向不是恶意行为，而是为了学习和提升安全意识。
摘要由CSDN通过智能技术生成

文章目录


前言

Android逆向之指令集和CPU架构

Android逆向之必备前置知识

经过前2篇逆向前置知识的铺垫之后，我们终于要开始逆向实操了。以下操作主要是体现一下逆向的流程以及实操，为了安全考虑，并不会直接给出APP名称。
从目标出发，一步步去完成我们的目标，回头再看，大家就会发现，不过如此罢了。

逆向目标

获取APP中的某个功能，例如点击加载模型，模型会自带一些事件触发逻辑。博主的目的是拿到这部分事件逻辑的代码，参考一下。
例如下图的加载模型。
image.png

环境准备

  1. 安装有linux系统的电脑，此处以manjaro linux 23.1.0-1为例。
  2. 安装有某APP的手机，此处以iPhone 13为例。
  3. linux系统上安装以下程序。
    1. 大家可以看到，安装的程序都是我们前置知识里面提过的，是必不可少的工具。
sudo pacman -Sy binutils python jadx radare2
sudo pip install mitmproxy
  1. 确保电脑和手机处于同一个网络，方便抓包操作。

开始逆向之旅

抓包

  1. 💻 在终端执行mitmweb命令, 此时会在默认浏览器中打开一个新的标签页，如下所示:

image.png

  1. 📱 在设置->无线局域网，点击已经连接的Wifi名称右边的编辑按钮，如下所示:

IMG_3978.PNG.JPG

  1. 📱 在进入Wifi编译页之后，滚动到页面最下方，点击配置代理，选择手动，之后在出现的服务器输入框中输入电脑的IP地址,** 端口输入框中填写8080**，点击存储，如下所示:

x.jpg

  1. 📱 在默认浏览器中，此处为Safari, 打开 http://mitm.it, 滚动页面到对应平台处，此处为iOS, 按照页面提示的步骤，安装mitmproxy需要的CA证书，如下所示:

x.jpg

  1. 📱 打开 某 App，点击一个没有下载过的模型，触发下载，如下所示:

image.png

  1. 💻 在mitmweb打开的浏览器标签页，分析抓到的包列表，注意到有一个下载zip的请求，猜测是该模型对应的资源文件，如下所示:

image.png

  1. 💻 在终端执行以下命令，下载zip文件:
wget http://cdn3.cooolar.com/model/b/e/5/5c6a65be57f782510b26bdb4/ios_192/5c6a65be57f782510b26bdb4.zip
  1. 💻 在终端执行以下命令，解压zip文件:
unzip 5c6a65be57f782510b26bdb4.zip

提示需要输入解压密码，如下所示，这似乎进一步证实该zip包就是我们需要的模型资源文件。
image.png
接下来我们需要找到该zip包解压需要的密码。

寻找解压密码

  1. 💻 下载网址可以自己在网上找，当星网-绿色软件_最新绿色下载软件_免费软件下载网站 - 当星网这个网址可以下载到部分的APK文件。下载某APP的APK, 保存为 magicxx.apk。
  2. 💻** **终端执行以下命令，解压出APK相应的资源文件和Java源码:
    1. 还记得吗，就是我们前置知识中说的jadx反编译工具
jadx -d magicxx magicxx.apk
cd magicxx
  1. 💻 终端执行以下命令，查找zip相关的Java文件:
find sources -name "*zip*.java"

得到以下结果:

sources/net/lingala/zip4j/unzip/Unzip.java
sources/net/lingala/zip4j/unzip/UnzipEngine.java
sources/net/lingala/zip4j/unzip/UnzipUtil.java
sources/net/lingala/zip4j/model/UnzipParameters.java
sources/net/lingala/zip4j/model/UnzipEngineParameters.java
sources/com/xx/magicalar/mvp/view/model/IModelUnzipView.java
sources/okio/GzipSink.java
sources/okio/GzipSource.java

应该是使用了net.lingala.zip4j库进行unzip操作。

  1. 💻 查看zip4j的API文档，发现有一个setPassword函数:

image.png

  1. 💻 终端执行以下命令，搜索Java源码中使用setPassword函数的源码:
grep -r setPassword sources

得到以下结果:

sources/net/lingala/zip4j/core/HeaderReader.java:            localFileHeader.setPassword(fileHeader.getPassword());
sources/net/lingala/zip4j/core/ZipFile.java:    public void setPassword(String str) throws ZipException {
sources/net/lingala/zip4j/core/ZipFile.java:        setPassword(str.toCharArray());
sources/net/lingala/zip4j/core/ZipFile.java:    public void setPassword(char[] cArr) throws ZipException {
sources/net/lingala/zip4j/core/ZipFile.java:                ((FileHeader) this.zipModel.getCentralDirectory().getFileHeaders().get(i)).setPassword(cArr);
sources/net/lingala/zip4j/model/ZipParameters.java:    public void setPassword(String str) {
sources/net/lingala/zip4j/model/ZipParameters.java:        setPassword(str.toCharArray());
sources/net/lingala/zip4j/model/ZipParameters.java:    public void setPassword(char[] cArr) {
sources/net/lingala/zip4j/model/FileHeader.java:    public void setPassword(char[] cArr) {
sources/net/lingala/zip4j/model/LocalFileHeader.java:    public void setPassword(char[] cArr) {
sources/com/xx/magicalar/retrofitUtils/downmodel/DownLoadUtil.java:                            zipFile.setPassword(MD5_1.substring(MD5_1.length() - 10).toCharArray());
sources/com/xx/magicalar/retrofitUtils/scandown/ScanDownUtils.java:                        zipFile.setPassword(MD5_1.substring(MD5_1.length() - 10).toCharArray());
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleDrawable(int i) {
sources/android/support/design/widget/TextInputLayout.java:        setPasswordVisibilityToggleDrawable(i != 0 ? AppCompatResources.getDrawable(getContext(), i) : null);
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleDrawable(Drawable drawable) {
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleContentDescription(int i) {
sources/android/support/design/widget/TextInputLayout.java:        setPasswordVisibilityToggleContentDescription(i != 0 ? getResources().getText(i) : null);
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleContentDescription(CharSequence charSequence) {
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleEnabled(boolean z) {
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleTintList(ColorStateList colorStateList) {
sources/android/support/design/widget/TextInputLayout.java:    public void setPasswordVisibilityToggleTintMode(PorterDuff.Mode mode) {
sources/android/support/v4/widget/ExploreByTouchHelper.java:        obtain.setPassword(obtainAccessibilityNodeInfo.isPassword());
sources/android/support/v4/view/accessibility/AccessibilityRecordCompat.java:    public void setPassword(boolean z) {
sources/android/support/v4/view/accessibility/AccessibilityRecordCompat.java:        this.mRecord.setPassword(z);
sources/android/support/v4/view/accessibility/AccessibilityNodeInfoCompat.java:    public void setPassword(boolean z) {
sources/android/support/v4/view/accessibility/AccessibilityNodeInfoCompat.java:        this.mInfo.setPassword(z);

其中sources/com/xx/magicalar/retrofitUtils/downmodel/DownLoadUtil.java中的setPassword调用应该是和模型下载之后解压相关的。

  1. 💻 打开sources/com/xx/magicalar/retrofitUtils/downmodel/DownLoadUtil.java，找到setPassword调用的地方，只有436行一处调用，如下所示:
if (zipFile.isEncrypted()) {
    String substring = str.substring(0, str.indexOf(".zip"));
    String MD5_1 = Signature.MD5_1(new Object[]{substring.substring(substring.length() - 10), Constant.getZipSecret()});
    zipFile.setPassword(MD5_1.substring(MD5_1.length() - 10).toCharArray());
}
zipFile.extractAll(str2);

看到密码是通过zip文件名以及Constant.getZipSecret()函数的返回值计算MD5得到的。其中zip文件名是5c6a65be57f782510b26bdb4.zip，还需要得到**Constant.getZipSecret()**返回值。

  1. 💻 终端执行以下命令，搜索Java源码中getZipSecret函数的定义:
    1. 这里涉及到了Android的native层，前置知识中提到过
grep -r getZipSecret sources

得到以下结果:

sources/com/xx/magicalar/retrofitUtils/downmodel/DownLoadUtil.java:                            String MD5_1 = Signature.MD5_1(new Object[]{substring.substring(substring.length() - 10), Constant.getZipSecret()});
sources/com/xx/magicalar/retrofitUtils/scandown/ScanDownUtils.java:                        String MD5_1 = Signature.MD5_1(new Object[]{substring.substring(substring.length() - 10), Constant.getZipSecret()});
sources/com/xx/magicalar/common/Constant.java:    public static native String getZipSecret();

看到该函数是以native方式定义在Constant.java中的。需要去APK中的so库中寻找getZipSecret()函数的实现。

so库逆向

  1. 💻 在终端执行以下命令，搜索包含getZipSecret相关信息的so库:
ls resources/lib/armeabi-v7a/*.so | xargs nm -A  2>&1 | grep -v "no symbols" | c++filt | grep getZipSecret

得到以下结果:

resources/lib/armeabi-v7a/libnative-lib.so:000116c9 T Java_com_qjtc_magicalar_common_Constant_getZipSecret

在libnative-lib.so中有Java_com_xx_magicalar_common_Constant_getZipSecret函数的定义。

  1. 💻 在终端执行以下命令，使用radare2分析libnative-lib.so:
    1. 重头戏来了，二进制文件分析
r2 resources/lib/armeabi-v7a/libnative-lib.so
  1. 💻 在radare2程序中，依次执行以下命令
    1. aaaa：分析这个二进制文件
    2. s sym.Java_com_qjtc_magicalar_common_Constant_getZipSecret指令 ：跳转到指定函数地址

然后我们跳转到Java_com_qjtc_magicalar_common_Constant_getZipSecret函数起始地址处, 如下所示:
image.png

  1. 💻 在radare2程序中，执行pdf指令，查看Java_com_xx_magicalar_common_Constant_getZipSecret函数的实现, 如下所示:
    1. 没错，开始需要汇编知识了

image.png

  1. 💻 分析函数代码，看到在libnative-lib.so文件的0xf8d5处有一串字符串d(EcaK#9cBQL，就是需要的secret:

image.png

解压密码生成函数

💻 根据得到的secret数据d(EcaK#9cBQL, 以及之前的相关的Java源码:

if (zipFile.isEncrypted()) {
    String substring = str.substring(0, str.indexOf(".zip"));
    String MD5_1 = Signature.MD5_1(new Object[]{substring.substring(substring.length() - 10), Constant.getZipSecret()});
    zipFile.setPassword(MD5_1.substring(MD5_1.length() - 10).toCharArray());
}
zipFile.extractAll(str2);

重新使用Python实现如下代码，保存成unzip.py:

import hashlib
import sys

ZipSecret = 'd(EcaK#9cBQL'


def genPassword(zipFile: str) -> str:
    substring = zipFile[0:zipFile.index('.zip')]
    md5 = hashlib.md5((substring[-10:] + ZipSecret).encode()).hexdigest()
    return md5[-10:]

if __name__ == '__main__':
    print(genPassword(sys.argv[1]))

在终端执行以下代码，

python unzip.py 5c6a65be57f782510b26bdb4.zip

得到解压密码为 1cfa866766, 执行 unzip 5c6a65be57f782510b26bdb4.zip, 输入加压密码，正常解压。最终得到如下内容:

5c6a65be57f782510b26bdb4
├── 5c6a65be57f782510b26bdb4.bytes
├── 5c6a65be57f782510b26bdb4.png
└── LuaProject
    └── main.lua

查看5c6a65be57f782510b26bdb4.png文件，的确是我们下载的模型的缩略图。而这个main.lua就是我们想要参考的事件逻辑代码了。

总结

是的，整体流程也许没有大家想象中的那么神秘，但我们确实是实现了最初的逆向目标。在整个流程中也用到了前面提到的必备前置知识。大家可以举一反三，比如逆向目标变成下载所有的模型？比如逆向目标变成更改源代码重新打包？比如逆向目标变成检测自己公司内APP的安全性？ 等等。

逆向不是银弹，有逆向自然也有防御。逆向的目标并不是只有破坏，很多逆向操作反而是为了完善自己的安全策略。所以呢，技术没有好坏，有好坏的是使用技术的人。

再会了各位！

end

铁柱同学
关注
专栏目录
100天精通Andriod逆向——第5天：app逆向流程简介
Amo Xiang的博客
08-11 3921
app逆向流程简介
Android逆向基础入门
十一姐的博客
01-24 1万+
目录一、基础App数据抓取1、App抓包知识了解二、Android_apk逆向1、Android逆向名称2、jadx反编译工具3、JEB反编译工具 一、基础App数据抓取 1、App抓包知识了解 常用的拦截抓包工具有Charles、Fiddler、mitmproxy：大部分app使用的数据通信协议基于HTTP/HTTPS，可通过抓包查看来模拟url请求 常用的自动化工具有Appium、Airtest：就相当于web端的selenium 二、Android_apk逆向 1、Android逆向名称 每个a
Android 逆向实践
bugyinyin的博客
05-11 868
五一放假回来，人有点颓废了，最近对Android的逆向有点兴趣，研究了下，顺便写篇文章记录下吧。
Android 逆向的过程
最新发布
m0_57836225的博客
10-02 967
观察应用包名和主要活动：通过查看 APK 的清单文件（AndroidManifest.xml），可以确定应用的包名和主要活动，这是应用的入口点。例如，可以在关键的方法调用处、条件判断处或数据处理函数中设置断点，以便在应用执行到这些位置时暂停，观察程序的状态。此时，可以观察寄存器、内存等状态，分析应用的行为。数据结构分析：通过观察内存中的数据结构或反编译后的代码中的类定义，尝试理解应用所使用的数据类型和存储方式。了解目标应用：对要逆向的 Android 应用有一定的了解，包括其功能、用途和可能的安全机制。
android app 逆向
T3119205的专栏
01-09 236
好久没有写blog了，这两天工作没有那么忙，记得上次反编译在回编译还是3年以前在windows上，今天又想研究研究逆向了，于是就把mac上的操作步骤记录一下，写的不好的地方欢迎拍砖，吼吼～ 既然要逆向，首先得有工具哇，工具很多，根据个人喜欢去选择，我今天选择的是apktool 一、工具安装 apktool ：https://ibotpeaches.github.io/Apktool/inst...
【Android逆向】爬虫进阶实战应用必知必会
陈橘又青的博客
04-03 1万+
安卓逆向技术是一门深奥且充满挑战的领域。通过本文的介绍，我们了解了安卓逆向的基本概念、常用工具、进阶技术以及实战案例分析。然而，逆向工程的世界仍然在不断发展和变化，新的技术和方法不断涌现。展望未来，随着安卓系统的不断更新和加固，逆向工程将面临更大的挑战。同时，随着人工智能和机器学习技术的发展，我们也许能够看到更智能、更高效的逆向工具和方法的出现。由于篇幅限制，本文仅对安卓逆向技术进行了介绍和案例分析。
记一次Android App逆向入门实战（逆向思路&工具使用&CrackMe）
云瀚的自习室
09-04 3168
本文将介绍自己的一次Android逆向入门实战经历，分别是在native层和so层进行攻击。
安卓逆向 实战 某猫免费小说验证码请求协议分析&脱机执行
头铁逆向的旅程
08-16 4334
安卓逆向 实战 某猫免费小说验证码请求协议分析&脱机执行 过frida检测 脱壳 过代理检测 sign算法分析
Android 逆向实战
Luzhuo 的博客
03-23 2955
Android逆向
什么是Android逆向？如何学习安卓逆向？Android逆向自学笔记入门到实战
wqwq_22的博客
02-03 5913
简单地来说，安卓逆向是对已经打包好的APP进行反编译、源码分析了解APP实现逻辑的一门技术。我们可以把安卓安装时用到的APK文件看作一个加密后的压缩包，逆向就是要最大程序地还原出APK打包之前的源码。 逆向需要用到解密、反编译、解压缩等技术，想要100%还原APK的源码几乎是不可能的，所以在实际进行逆向分析的时候，一般都是根据想实现的目的，分析出APK的部分源码和实现逻辑，然后对这一部分源码进行修改后与原始的APK打包在一起，这样就获得了一个实现自己特定目的的APP。 安卓逆向到底能做什么？ APP自动化
Android逆向之https，android实战项目源码
m0_65511948的博客
12-28 1958
超文本传输协议，是一个基于请求与响应，无状态的，应用层的协议，常基于TCP/IP协议传输数据，互联网上应用层最为广泛的一种网络协议。 发展史 协议 发展 说明 HTTP/0.9 1991年定稿最早的HTTP协议，没有作为正式标准 只有GET命令；没有请求头、请求体、返回头；服务器只能读取HTML文件以ASCII字符流返回给客户端；默认80端口 HTTP/1.0 1996年发布，正式作为标准 引入了POST、HEAD等命令、请求头、响应头、状态码；提供了缓存、多字符集支持、multi-pa
安卓app逆向工程
11-21
最新安卓app反编译工具，适合对安卓源码有兴趣的朋友使用，本想免费分享，但是平台最低只能选1分，sorry。
安卓逆向教程
10-12
1、负责安卓程序的加解密和数据传输分析、拆解、逆向等工作; 2 、逆向APK,了解运行过程； 3 、Andorid本地提权获得root权限； 4 、熟练掌握软件逆向静态分析、动态调试、代码跟踪等； 5 、熟悉Android开发，了解打包、反编译、破解流程； 6 、so破解。
Android逆向-实战so分析-某洲_v3.5.8_unidbg学习
哔_哩哩!的博客
07-20 5407
文章目录1.unidbg的介绍2.unidbg的安装2.1.下载unidbg工具2.2.导入IDEA2.3.验证导入是否成功3.unidbg的使用3.1.目标方法静态分析3.2.模拟执行目标方法3.3.算法分析3.3.1.OLLVM去混淆3.3.2.指令级TraceJNIEnv、jobject、jclassJNIEnv指针是什么东西？jobject和jclass又有什么区别？ 1.unidbg的介绍 unidbg是一款基于unicorn的用来模拟执行so的逆向工具，可以让安全研究人员直接在PC上运行andr
浅谈Android应用保护（一）：Android应用逆向的基本方法
AliMobileSecurity的博客
04-15 1304
对于未进行保护的Android应用，有很多方法和思路对其进行逆向分析和攻击。使用一些基本的方法，就可以打破对应用安全非常重要的机密性和完整性，实现获取其内部代码、数据，修改其代码逻辑和机制等操作。
Android逆向实战知识（一）
weixin_63576152的博客
11-26 1861
（1）使用 Android Killer 工具修改AndroidMenifest.xml文件， 在
Android逆向（一）Android逆向工具（一）
热门推荐
zhaojun的博客
03-19 3万+
最近一周时间，在学习和研究Android逆向，接下来一段时间，写一系列Android逆向的博客，来总结和记录自己所掌握的知识，也希望为正在学习Android逆向的朋友带来一点帮助。
安卓逆向实战
YenKoc的博客
01-18 632
今天心血来潮，看到论坛上老哥在破解游戏，自己也想操练一下，游戏叫某牢年代记。 一.工具需要 二.百度搜索一下游戏的apk，或者关注我，我给你私发 三.拖入AndroidKiller中，反编译 因为是UNITY搞出来的，所以找Assembnly-CSharp，拖入dnspy中。 四.从游戏中分析，由于我这里已经是破解过后的， 在这里插入图片描述 ...
安卓逆向-《安卓逆向这档事》
qq_44804602的博客
12-14 1654
汉化软件（第2节第3点）更改软件名称和图标（第2节第4点）
Android逆向：动态调试实战指南
Android逆向之动态调试技术是一篇详细指南，专为Android逆向开发者设计，深入探讨了在开发过程中如何动态调试APK的smali代码。文章首先从确保设备已root开始，因为root权限是进行底层操作的关键，包括安装调试工具、...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

铁柱同学

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值