weixin_37517716的博客

原创 48位 __NS_sig3 算法分析还原

在for循环中 v496 和 v156进行异或处理，才是最终的sig3，而v156是在do while循环中计算出来的，可以看出v156的结果是v496前23个字节的和。用unidbg跑一下，可以快速定位到doCommandNative函数地址在0x46435，doCommandNative函数根据java层传入的指令号，执行相应的逻辑，hook 可以发现sig3对应的指令序号在10418。通过多次hook分析发现，v496的数据组成如上图，其中最复杂的是数据e0c281e3数据的生成。