某眼查的逆向

最新推荐文章于 2024-07-09 11:06:28 发布

report1314

最新推荐文章于 2024-07-09 11:06:28 发布

阅读量1.5k

点赞数 2

分类专栏：安卓逆向文章标签： python android

本文链接：https://blog.csdn.net/qq_34949842/article/details/108265360

版权

本文介绍了如何对天眼查APP进行逆向工程，包括使用Fiddler抓包获取工商信息数据包，通过jadx脱壳找到关键参数，以及利用Xposed和Frida进行动态 Hook，揭示了'tyc-hi'、'Authorization'和'duid'等参数的生成方法。最后提供了相关参数的生成逻辑和爬取数据的后续处理提示。

摘要由CSDN通过智能技术生成

一: 准备
APP: 某眼查

版本: 11.4.0

工具: xposed, FDex2, JustTrustMe, Fiddler, jadx

二. 抓包

打开Fiddler,打开天眼查抓包(开启JustTrustMe能抓到包)

我们抓取工商信息这块,查看Fiddler上面的body这块,因为传输数据,所以包肯定是比较大的,点开看右边的json格式能看到和工商信息里面的相符的内容,说明这就是我们需要抓取的数据包了.

查看抓到包的请求头,找出我们需要自动生成的参数: tyc-hi, Authorization,duid

(某音的逆向文章有说怎么找)

三.脱壳

用jadx打开该app,文件夹特别少,说明该app加壳了,需要我们脱壳.
手机打开Xposed里的FDex2模块

再打开要脱壳的软件,在FDex2的目录下面就能看到脱壳文件了.

 3. 然后用adb pull data/user/0/com.tianyancha.skyeye/xxxx.dex 电脑路径 把这几个dex文件全都放到电脑上,再用jadx打开. 文件内容可以排除前三个小文件

逐个打开后面三个文件,然后搜请求头的关键字(如tyc-hi),找到定义该参数的地方,定位到该函数,这里有请求头的所有的参数名,所以可以确定该文件是获取请求参数的壳文件了.在这里把’tyc-hi’赋值给了w ,

所以要定位到该参数的位置应该定位变量w,而w的重复概率很大,所以要变个模式搜.因为要调用该变量可以尝试搜索: (.w),(.w=),(m.w),(.w,)(m.w,) 然后看定位代码,找相似的,这里用的m.w, 找出只有一个,所以点进去看了一下.能找到定位到的其他参数,所以可以确定这里是请求头的参数操作位置了
找到需要逆向的参数所对应的变量: tyc-hi—(m.w, a2)

Authorization—(‘Authorization’,I)

duid—(m.v, g)

tyc-hi的逆向分析:

tyc-hi — (m.w, a2) — a2 = dp.a(str, I, d2, N, i, “slat”)

把a2里面的参数替代成请求头:

a2 = (url, authorization, app_version, ‘’, device_id, “slat”)

Authorization的逆向分析

Authorization—(‘Authorization’, I)—I = dp.I()

duid的逆向分析

duid—(m.v, g) — g = dp.g()

三个参数的生成方法都涉及到了dp方法,我们直接hook dp.a方法(记得手机启动frida-server)

import frida, sys

jscode_signatue = """
Java.perform(
    function() {
        var dp = Java.use('com.tianyancha.skyeye.utils.dp');
        dp.a.overload('java.lang.String', 'java.lang.String').implementation = function(str1, str2) {
            send('here');
            send(str1);
            send(str2);
            var return_str = this.a(str1, str2);
            send(return_str);
            return return_str;
        },
        dp.f.implementation = function() {
            var f_str = this.f();
            send('f_str:'+f_str);
            return f_str;
        },
        dp.a.overload('java.lang.String', 'java.lang.String', 'java.lang.String', 'java.lang.String', 'java.lang.String', 'java.lang.String').implementation = function(arg1, arg2, arg3, arg4, arg5, arg6) {
            send('a func6');
            send(arg1);
            send(arg2);
            send(arg3);
            send(arg4);
            send(arg5);
            send(arg6);
            var return_str = this.a(arg1, arg2, arg3, arg4, arg5, arg6);
            send('re:'+return_str);
            return return_str;
        }
    }
)


"""

def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)


process = frida.get_usb_device(1000).attach('com.tianyancha.skyeye')
script = process