恋恋加密算法解析

最新推荐文章于 2024-05-24 15:20:30 发布

PandaOS

最新推荐文章于 2024-05-24 15:20:30 发布

阅读量2.4k

点赞数

分类专栏：逆向工程 IDA Android逆向文章标签：算法 Android协议加密逆向分析

本文链接：https://blog.csdn.net/PandaOS/article/details/51263537

版权

Android逆向同时被 3 个专栏收录

5 篇文章 0 订阅

订阅专栏

逆向工程

3 篇文章 0 订阅

订阅专栏

IDA

3 篇文章 0 订阅

订阅专栏

作者:无名侠
声明:只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!

交流群:无名移动逆向小分队 471525564

恋恋登陆的数据包是被加密过，Fiddler抓包如下(篇幅有限，删去HTTP头的大部分数据):

POST http://mob.imlianai.com/call.do?cmd=mobileUser.login HTTP/1.1

WbbJnSJh63FYTNGmBk5J+lGOOQ1PzYWveRIJF8F//3Wo576FuH0Kyhb9VG/UpFHkICtAQcQAReUcUYLjsJ4sozorNeprDwcahSJs7D3f2YJFWWNtlwJlqXmwIPHUz0mHPZiJqJJNSYmGr2EsfPHz6FtnagDzHP4eXQlsZMyRKOOrRgyigyTRYQ==

把APP拖入到Ak，然后搜索mobileUser.login
搜索结果有两项，第一个里面有很多url，应该不是。
第二个的类名是com.a.a.a.b.t;
在这个类中找到如下代码：

JSONObject localJSONObject = new JSONObject();
      localJSONObject.put("uid", paramString1);
      localJSONObject.put("loginKey", paramString2);
      paramString1 = com.a.a.a.f.a.a(localJSONObject.toString()).getBytes();
      this.b.a(paramString1);
      this.b.c();
      return;

推测未加密的数据包应该采用的json格式。
com.a.a.a.f.a.a 应该是对数据的进一步处理，可能是加密部分，跟进去一看，八九不离十了。

package com.a.a.a.f;
import com.jni.Jni;
import java.security.Key;
import javax.crypto.spec.IvParameterSpec;
public class a
{
  private static final byte[] a = { 1, 2, 3, 4, 5, 6, 7, 8 };
  private static final IvParameterSpec b = new IvParameterSpec(a);
  private static String c = "hqi/FjjcBxA=";
  private static Key d = null;
  public static String a(String paramString)
  {
    return Jni.getInstance().encryptString(paramString);
  }
}

在这个类中调用了Jni的encryptString负责加密。继续反编译Jni类。
我已经给出大部分代码的注释。

package com.jni;
public class Jni
{
  private static final int blockLength = 500;
  private static String hexString = "0123456789ABCDEF";
  private static Jni myJni;

  static
  {
    System.loadLibrary("jni");// jni这个lib中导出getEncryptString函数
  }

  private native String getEncryptString(String paramString, boolean paramBoolean);

  public static Jni getInstance()
  {
    if (myJni == null) {
      myJni = new Jni();
    }
    return myJni;
  }

  public String encode(String paramString) // 这个函数的功能是把paramString转换成16进制的数据文本
  {
    paramString = paramString.getBytes();
    StringBuilder localStringBuilder = new StringBuilder(paramString.length * 2);
    int i = 0;
    for (;;)
    {
      if (i >= paramString.length) {
        return localStringBuilder.toString();
      }
      localStringBuilder.append(hexString.charAt((paramString & 0xF0) >> 4));
      localStringBuilder.append(hexString.charAt((paramString & 0xF) >> 0));
      i += 1;
    }
  }

public String encryptString(String arg9) {
        String v0_1;
        if(arg9 == null || arg9.length() == 0) {
            v0_1 = "";
        }
        else {
            String v2 = this.encode(arg9);//把arg9转换为16进制文本
            int v3 = v2.length();
            StringBuffer v4 = new StringBuffer();
            if(v3 < 500) {
                v4.append(this.getEncryptString(v2, true));//通过getEncryptString对字符串编码
            }
            else {
                int v0;
                for(v0 = 1; v0 < v3 / 500 + 1; ++v0) {
                    if(v3 % 500 == 0 && v0 == v3 / 500) {//通过getEncryptString对字符串编码
                        v4.append(this.getEncryptString(v2.substring((v0 - 1) * 500, v0 * 500), true));
                        break;
                    }
                                        //通过getEncryptString对字符串编码

                    v4.append(this.getEncryptString(v2.substring((v0 - 1) * 500, v0 * 500), false));
                }

                if(v3 % 500 == 0) {
                    goto label_14;
                }
                                //通过getEncryptString对字符串编码
                v4.append(this.getEncryptString(v2.substring((v0 - 1) * 500, v3), true));
            }

        label_14:
                        //getEncryptString("a", true).substring(0,8)做密匙
            v0_1 = DESencryption.getEncString(v4.toString(), this.getEncryptString("a", true).substring(
                    0, 8));
        }

        return v0_1;
    }

getEncryptString是SO库中的东西，就用IDA来分析。
库的文件名是libjni.so
主函数代码比较清晰，直接F5

int __fastcall Java_com_jni_Jni_getEncryptString(int a1, int a2, int a3, int a4)
{
  _JNIEnv *v4; // r5@1
  int v5; // r4@1
  int v6; // r2@1
  const char *input; // r7@1
  size_t sizeSInit; // r4@1
  _JNIEnv *v9; // r0@2
  char *v10; // r1@2
  jstring (__cdecl *v11)(JNIEnv *, const char *); // r3@2
  int result; // r0@6
  char *s; // [sp+0h] [bp-828h]@1
  int v14; // [sp+4h] [bp-824h]@1
  char dest; // [sp+Ch] [bp-81Ch]@3
  int v16; // [sp+80Ch] [bp-1Ch]@1

  v4 = a1;
  v5 = a3;
  v14 = a4;
  v16 = _stack_chk_guard;
  g_env = a1;
  s = initAddStr();                             // 获取一段内置的字符串，具体分析看后文
  input = jstringTostring(v4, v5, v6);          // 转换函数，把java字符串类转换为char *
  sizeSInit = strlen(s);
  if ( strlen(input) + sizeSInit <= 0x7FF )     // 分两种情况：
                                                // 1、输入字符串长度 + 内置字符串长度 小于等于0x7ff
  {
    memset(&dest, 0, 0x7FFu);
    strcat(&dest, input);
    if ( v14 )                                  // 根据Java传递过来的第二个参数(paramBoolean)选择处理方法
      strcat(&dest, s);                         // 如果第二个参数为true，则追加内置字符串
    v9 = v4;
    v10 = &dest;
    v11 = v4->functions->NewStringUTF;
  }
  else                                          // 如果第二个参数为false，输入什么就返回什么
  {
    v9 = v4;
    v10 = input;
    v11 = v4->functions->NewStringUTF;
  }
  result = (v11)(v9, v10);
  if ( v16 != _stack_chk_guard )
    _stack_chk_fail(result);
  return result;
}

再来说说initAddStr()函数。这个函数实际是一个固定的字符串，可以通过动态调试得出，但是还是分析一下它是如何获取的吧。因为它比较有意思，还返回到了Java来获取字符串。

int initAddStr()
{
  int v0; // r0@2
  int v1; // r2@2

  if ( !isInit )
  {
    v0 = initInflect(jniStr);
    key = jstringTostring(g_env, v0, v1);
    isInit = 1;
  }
  return key;
}[/mw_shl_code]
initInflect 函数回调到Java层的com.Reflect.func函数。
jniStr是一串字符串“/key=i im lianai”

[mw_shl_code=cpp,true]int __fastcall initInflect(int a1)
{
  _JNIEnv *v1; // r5@1
  int v2; // r0@1
  bool v3; // zf@1
  int v4; // r7@1
  JNINativeInterface *v5; // r0@1
  jstring (__cdecl *v6)(JNIEnv *, const char *); // r3@3
  const char *v7; // r1@3
  int v8; // r0@2
  JNINativeInterface *v9; // r3@4
  int v10; // r4@4
  int v12; // [sp+Ch] [bp-1Ch]@1
  v12 = a1;
  v1 = g_env;
  v2 = ((*g_env)->FindClass)(g_env, "com/Reflect");
  v4 = v2;
  v3 = v2 == 0;
  v5 = v1->functions;
  if ( v3 )
  {
    v6 = v5->NewStringUTF;
    v7 = "jclass";
    return (v6)(v1, v7);
  }
  v8 = (v5->GetStaticMethodID)(v1, v4, "func", "(ILjava/lang/String;)Ljava/lang/String;");
  v9 = v1->functions;
  v10 = v8;
  if ( !v8 )
  {
    v6 = v9->NewStringUTF;
    v7 = "method";
    return (v6)(v1, v7);
  }
  (v9->NewStringUTF)(v1, v12);
  return _JNIEnv::CallStaticObjectMethod(v1, v4, v10, 10);
}

再来看看Java的Reflect代码：

public class Reflect
{
  private static String hexString = "0123456789ABCDEF";
  public static String tmp = " alien";

  private static String encode(String paramString)//把数据编码为HEX文本
  {
    paramString = paramString.getBytes();
    StringBuilder localStringBuilder = new StringBuilder(paramString.length * 2);
    int i = 0;
    for (;;)
    {
      if (i >= paramString.length) {
        return localStringBuilder.toString();
      }
      localStringBuilder.append(hexString.charAt((paramString & 0xF0) >> 4));
      localStringBuilder.append(hexString.charAt((paramString & 0xF) >> 0));
      i += 1;
    }
  }
  public static String func(int paramInt, String paramString)
  {
    return encode(paramString + tmp);
  }
}

func实际作用就是把输入字符串拼接上“alien”，然后转换HEX数据文本。

实际上，initInflect返回的是“/key=i im lianai alien”的16进制数据文本2F6B65793D6920696D206C69616E616920616C69656E
最后面：

 public static String getEncString(String paramString1, String paramString2){
paramString1 = DESBase64.encode(getEncCode(paramString1.getBytes("UTF8"), paramString2));
      return paramString1;}

所以最后的数据进行了DESBase64加密，得出了最后的结果。