AliTigerTally wtoken算法分析

boshijingang

已于 2022-11-18 19:01:59 修改

阅读量1.5k

点赞数 1

分类专栏：逆向分析文章标签：安全

于 2022-11-18 18:58:31 首次发布

本文链接：https://blog.csdn.net/boshijingang/article/details/127928036

版权

本文主要分析了阿里TigerTally的wtoken算法，通过hook initialize和vmpSign方法，固定随机数，揭示wtoken由版本号、时间戳、签名和设备信息四部分组成。解密后的数据包含设备、系统、网络等信息，算法中混合了多种加密和检测技术，逆向工程难度较高。

摘要由CSDN通过智能技术生成

一.获取样本
我的这个样本来源某网上自行查找,分析一通才发现和大佬说的完全不一样,大厂的更新速度真是太快了.
我这边上传的 wtoken:

0002_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
0002应该是该风控的版本号
我们这次来的目的就是为了把 wtoken 给完全解开

二.开始分析
根据官网的说明文档

if(![[AliTigerTally sharedInstance]initialize:@"****OpKLvM6zliu6KopyHIhmneb_****u4ekci2W8i6F9vrgpEezqAzEzj2ANrVUhvAXMwYzgY_****vc51aEQlRovkRoUhRlVsf4IzO9dZp6nN_****Wz8pk2TDLuMo4pVIQvGaxH3vrsnSQiK****"])
{
NSLog(@"初始化失败");
return;
}
NSString *signBody =@"hello";
NSString *wToken= [[AliTigerTally sharedInstance] vmpSign:[signBody dataUsingEncoding:NSUTF8StringEncoding]];
NSLog(@"wToken== %@",wToken);
1.固定随机数
首先是hook initialize 方法,拿到其中的appkey
然后hook vmpSign,固定入参,想办法把输出结果固定下来

然后发现生成的结果还是在变,分析其中的导入函数,hook其中可以产生随机值的地方

在hook arc4random 和 gettimeofday 终于将生成的结果固定唯一

2.分析结构组成
wtoken基本由四部分组成