Inspeckage，动态分析安卓 APP 的 Xposed 模块

周凡123

于 2023-10-31 11:56:59 发布

阅读量673

点赞数

文章标签： android

本文链接：https://blog.csdn.net/sinat_32501475/article/details/134136178

版权

前提

我在不久前写过《 APP 接口拦截与参数破解》的博文；最近爬取APP数据时又用到了相关技术，故在此详细描述一下 Inspeckage 的功能。（环境准备本文不再赘述）

功能

在电脑上访问 http://127.0.0.1:8008 就可以看到 inspeckage 的 web 界面了。

在这里插入图片描述

点击页面，开启实时更新为 on，然后在模拟器中点击 LAUNCH APP，在页面中刷新就可以看到数据了。动态刷新开关打开，webserver就会加载手机端的所有数据。（这个开关并不是控制手机端工具的开关，仅仅是webserver是否动态刷新数据的开关。查看数据时，可以关闭动态刷新，否则展开数据会不断的被收起，无法正常查看）

(如果 web 页面没有输出结果，查看 APP is running 是否为 true，Logcat 左边分那个自动刷新按钮是否开启)

在这里插入图片描述

如图所示，inspeckage 提供了对所分析 apk 的一些基本信息，提供直接下载 apk 到电脑，截图手机屏幕等辅助功能，最核心的功能是监控 share preferences，加解密函数的使用，http 访问等。下面一一分析。

在这里插入图片描述

使用 logcat 功能需要先转发端口到本地：adb forward tcp:8887 tcp:8887。

点击 start，再点 connect 就可以在网页中实时查看该 app 的 logcat 输出。

在这里插入图片描述

Tree view 按钮可以实时浏览 app 的数据目录并直接下载文件到本地。

在这里插入图片描述

如果采用 inspeckage 来分析的话，直接在 crypto 记录中就可以看到。

在这里插入图片描述

由于这个apk 采用的 md5 方法是写在 so 中的，所以 inspeckage 的 hash 记录中并没有相关的记录。这个可以采用 hook 自定义函数的方式来解决。

反编译 apk，找到调用 so 的方法为 getPart2，同理其实也可以手动 hook 住 getPart1。

在这里插入图片描述

设置好 hook 的方法后，重启 app 生效。

在这里插入图片描述

在 hook 的记录中可以看到 getPart2 的返回值。Inspeckage 在动态分析 apk 的过程可以快速获得一些信息，节省分析的时间。

使用 Inspeckage，用户可以获取大量关于应用程序行为的信息：

模块	说明
Logcat	实时查看该app的logcat输出
Tree View	可以实时浏览app的数据目录并直接下载文件到本地
Package Information	应用基本信息（组件信息、权限信息、共享库信息）
Shared Preferences	LOG：app XML文件读写记录；Files：具体XML写入内容
Serialization	反序列化记录
Crypto	常见加解密记录（KEY、IV值）
Hash	常见的哈希算法记录
SQLite	SQLite数据库操作记录
HTTP	HTTP网络请求记录
File System	文件读写记录
Misc.	调用Clipboard,URL.Parse()记录
WebView	调用webview内容
IPC	进程之间通信记录
+Hooks	运行过程中用户自定义Hook记录