ios 支付宝支付 回调数据_iOS逆向支付宝

最新推荐文章于 2023-03-22 15:31:46 发布
最新推荐文章于 2023-03-22 15:31:46 发布
阅读量819 收藏
点赞数
文章标签： ios 支付宝支付 回调数据
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39614109/article/details/113537511
版权

42ddc34c2cef69aad25983883b5cb326.png

  • 去掉 ptrace 和 __RESTRICT section 两个保护

  • 脱壳和dump头文件

  • 分析和调试

  • 编写Tweak

  • 总结

环境

  • MacBook，iPhoneX，iOS 9.3.3越狱, iOS支付宝10.1.5

工具

  • theos

    Tweak制作工具

  • xcode

    用lldb来附加调试

  • class-dump

    导出头文件

  • dumpdecrypted
    > 脱appstore的壳

  • iHex

    二进制编辑器

去掉 __RESTRICT section  和 ptrace 两个保护

  • 去掉 __RESTRICT section 步骤

  • ssh到手机 执行命令 ps -e

  • 找到 /var/containers/Bundle/Application/DD6D8BA3-95F2-4C6D-BFD7-0E20420A6E9C/AlipayWallet.app/AlipayWallet

  • 切换到mac电脑 使用scp命令 把执行文件拷到电脑上scp root@192.168.2.2:/var/containers/Bundle/Application/C6F2DD99-6450-4838-98B8-2899E8EBC1A4/AlipayWallet.app/AlipayWallet /Users/hack/Desktop/wz

  • 打开iHex 查找command+f 把 RESTRICT和restrict替换为其他值(比如：RRRRRRRR和rrrrrrrr。保证长度不变就行啦)看图1

    bb22cf224f8fd6a0cbd5710744208738.png

  • 拷贝文件回去scp /Users/hack/Desktop/wz/AlipayWallet root@192.168.2.2:/var/containers/Bundle/Application/C6F2DD99-6450-4838-98B8-2899E8EBC1A4/AlipayWallet.app/AlipayWallet

  • 如果打开闪退 请Cydia中安装 AppSync

  • 去除ptrace保护

  • 使用theos 创建Tweak 代码如下 安装到手机就可以

#import 
#import 
static int (*orig_ptrace) (int request, pid_t pid, caddr_t addr, int data);
static int my_ptrace (int request, pid_t pid, caddr_t addr, int data){
    if(request == 31){
     NSLog(@"[AntiAntiDebug] - ptrace request is PT_DENY_ATTACH");
    return 0;
    }
   return orig_ptrace(request,pid,addr,data);
}

%ctor{
   MSHookFunction((void *)MSFindSymbol(NULL,"_ptrace"),(void*)my_ptrace,(void**)&orig_ptrace);
   NSLog(@"[AntiAntiDebug] Module loaded!!!");
}

脱壳和dump头文件

  • 执行命令 cycript -p AlipayWallet 注入支付宝进程

  • 执行命令 [[NSFileManager defaultManager]URLsForDirectory:NSDocumentDirectory inDomains:NSUserDomainMask][0]

  • 看到返回 /var/mobile/Containers/Data/Application/5E744C4A-5B05-4280-A21C-9E6EFE8EF51D/Documents/

  • 执行命令 cd /var/mobile/Containers/Data/Application/5E744C4A-5B05-4280-A21C-9E6EFE8EF51D/Documents/

  • 把 dumpdecrypted.dylib拷贝进去scp /Users/cardlan/Downloads/dumpdecrypted-master/dumpdecrypted.dylib root@192.168.2.2:/var/mobile/Containers/Data/Application/5E744C4A-5B05-4280-A21C-9E6EFE8EF51D/Documents/

  • 执行命令 DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/containers/Bundle/Application/DD6D8BA3-95F2-4C6D-BFD7-0E20420A6E9C/AlipayWallet.app/AlipayWallet

  • 如果发现提示Killed: 9 切换su mobile 再试 提示成功如下

DISCLAIMER: This tool is only meant for security research purposes, not for application crackers.

[+] detected 64bit ARM binary in memory.[+] offset to cryptid found: @0x100034d90(from 0x100034000) = d90[+] Found encrypted data at address 00004000 of length 56786944 bytes - type 1.[+] Opening /private/var/containers/Bundle/Application/C6F2DD99-6450-4838-98B8-2899E8EBC1A4/AlipayWallet.app/AlipayWallet for reading.[+] Reading header[+] Detecting header type[+] Executable is a plain MACH-O image[+] Opening AlipayWallet.decrypted for writing.[+] Copying the not encrypted start of the file[+] Dumping the decrypted data into the file[+] Copying the not encrypted remainder of the file[+] Setting the LC_ENCRYPTION_INFO->cryptid to 0 at offset d90[+] Closing original file[+] Closing dump file

  • 执行ls 找到  AlipayWallet.decrypted scp拷贝到电脑就可以

  • 接下来使用 class-dump 导出头文件到当前文件夹class-dump -H AlipayWallet.decrypted -o ./

分析和调试

  • 打开支付宝到蚂蚁森林界面 cycript -p  AlipayWallet

  • 我们从UI入手 执行[[UIApp keyWindow]recursiveDescription] 看到 看来是H5的应用
    我们返回上面找控制器[#0x1386dc970 nextResponder]  看到 继续[#0x1378d6210 nextResponder] 看到了

  • 我们去之前导出的头文件翻翻 找到这个控制器 看看有什么敏感的方法和属性，我们的目要找到关键的点击事件或者相关的逻辑
    我们使用choose(H5WebViewController) 拿到实例 测试一下头文件的方法看看
    看了一大圈真没什么什么进展，url 无法直接打开的 再想想UIWebView和原生交互的方法，如下代码获取个Html源码来看看
    类似于WebViewJavascriptBridge 咱们找下callback方法或者send方法试试

[#0x136a28400 lastMainRequest]
" { URL: https://60000002.h5app.alipay.com/app/src/home.html?__webview_options__=transparentTitle%3Dauto%26canPullDown%3DNO }"

[#0x136a28400 h5WebView]
#">"

[#0x136a28400 stringByEvaluatingJavaScriptFromString:"document.documentElement.innerHTML"]

  • 我们来使用THEOS 自带的logify.pl  生成H5WebViewController的全部方法调用和参数日志

/opt/theos/bin/logify.pl H5WebViewController.h >Tweak.xm

编译 Tweak.xm 注意:有编译出错 有些类和代{过}{滤}理block是不认识的 出错的删掉就可以
CDUnknownBlockType 作参数的可以替换成 id 继承于 DTViewController 替换成

安装之后 手机连上我们电脑 打开xcode -菜单Window-Devices-Simulators

我们点击那个能量按钮收取别人的能量看看

13342c0c225a99e48f19a7a75b8a333d.png

  • 接下来我们使用xcode 自带的lldb来调试支付宝(默认xcode无法调试第三方应用)我们接下来给app加个权限
    没权限提示

    Ensure “AlipayWallet” is not already running, and cardlan_yuhuajun has permission to debug it.

注意：要使用脱壳之后的AlipayWallet执行下面的命令，也就是AlipayWallet.decrypted 重命名为AlipayWallet(否则闪退)

将应用程序从设备上拷贝到本地
利用 ldid 将应用程序的 code sign 导出：ldid -e AlipayWallet >> AlipayWallet.xml
在 AlipayWallet.xml 文件中添加 get-task-allow 权限  
 <key>get-task-allowkey> <true/>

利用 ldid 对应用进行重签名 ldid -SAlipayWallet.xml ./AlipayWallet
将应用拷回设备，将设置可执行权限 chmod 755 AlipayWallet
完成

(图3)cfe5aba3c22eb64dc3d57cc0151a7026.png

ps:如果如上操作还闪退 请重启iphone

  • 然后我们连上手机 xcode 随便弄个工程 选择iphone 看图来开始附加AlipayWallet(图4) 点到森林界面点击xcode自带的看界面工具 然后再xcode 右下角自带的lldb 下断点
    我们先试着下断函数

    3a871360abcfd1d0c6bea7f13a5dec60.png

    b -[H5WebViewController reportClickTime]

    提示找不到no locations 我们随便找个地址 看看堆栈信息

    po [H5WebViewController _shortMethodDescription]

    找一个地址

    b 0x1057daab0

    重开页面 触发断点 ，点开xcode的堆栈窗口如(图5)

8dd1fd9f75623b34fd8bf5d96efe46b9.png

发现很多地址是没函数名的 当然也无法直接对函数名下断点 我们借用大神写的工具来恢复这些信息 文章链接如下
http://www.jianshu.com/p/967b6631756c
之后 再附加一下
下这个断点

b -[H5WebViewController reportClickTime]

发现是可以成功下断了 继续查看堆栈信息 现在函数名全部全了

(图6)c45e3ba26d4a9a88b34345696d611ea6.png

往上回溯 思路 因为我们想找到是js过来的参数和调用原生方法是哪里过来的
毕竟 reportClickTime 不是我们要分析的

看到PSDJsBride 调用了很多次 而且看参数和函数名 很有可能 中转了消息和参数 为了验证我们的猜想 ，我们使用logify.pl 来生成tweak 打印他全部的调用日志
安装到手机之后,我们取消断电  打开xcode的日志看打印 有没有敏感的信息调用

br delete

点击好友的那个能量收取 把日志全部copy 到Sublime text

看图(7)a3403f37576416124e3a72eb8e570777.png

我们看到这个英文单词 收集的意思 我们猜想这个就是收集能量的命令，看参数体有friedID 确定性90%了

  • 证实猜想 我们用cycript 来试试 拿到PSDJsBridge 的实例 可以用choose也可以用日志打印那个

    [#0x14a0bed80 _doFlushMessageQueue:@"把参数拷贝过来(自己处理转义 里面有／"号)" url:@"第二个参数"];
    提供下我日志的
    _doFlushMessageQueue:[{"handlerName":"remoteLog","data":{"seedId":"ANTFOREST-BEHAVIOR-CLICK-COLLECT","param1":"shareBiz=none^bubbleId=26219984^actionUserId=2088322012980000^type=behavior^currentTimestamp=1510797618289","param2":"monitor_type=clicked^remoteType=info^pageName=home.html^pageState=friend2088322012980000_enterhomeOff","bizType":"antForest"},"callbackId":"remoteLog_15107976182890.5985529306344688"},{"handlerName":"rpc","data":{"operationType":"alipay.antmember.forest.h5.collectEnergy","requestData":[{"userId":2088322012987680,"bubbleIds":[26219984],"av":"5","ct":"ios"}],"disableLimitView":true},"callbackId":"rpc_15107976182910.0005478465463966131"}] url:https://60000002.h5app.alipay.com/app/src/home.html?userId=2088322012980000]

    我们执行 看看日志打印 有日志输出 看recv这些参数 和刚刚是有点差别 但是大致一样(这个能量只能收一次)来看bubbleId 这个猜一下是能量的ID

  • 来找怎么获取的能量ID 我们打开一个有能量的好友，看日志  有获取的调用没
    由于日志比较多 我们就是着重找有返回bubbleId和friedID 的列表，找到之后往上找调用着参数

[m -[ transformResponseData:{
            bizNo = "092c5f8c-ee77-49ad-a3a2-dd3c059ee579-1510798661871";
            bubbles =     (
                        {
                    business =             {
                        bigIconDisplayName = "\U884c\U8d70";
                        bizType = xingzou;
                        dayIconUrl = "https://zos.alipayobjects.com/rmsportal/xxx.png";
                        id = 9;
                        nightIconUrl = "https://zos.alipayobjects.com/rmsportal/xxx.png";
                        smallIconDisplayName = "\U884c\U8d70";
                    };
                    collectStatus = AVAILABLE;
                    fullEnergy = 92;
                    id = 26343893;
                    produceTime = 1510788093000;
                    remainEnergy = 72;
                    userId = 208890214255xxxx;
                }
            );
            needGuide = 0;

结果有了 找调用

_doFlushMessageQueue:[{"handlerName":"remoteLog","data":{"seedId":"ANTFOREST-PAGE-READY-home","param1":"shareBiz=none^type=behavior^currentTimestamp=1510798661779","param2":"monitor_type=openPage^remoteType=info","bizType":"antForest"},"callbackId":"remoteLog_15107986617880.34833956067450345"},{"handlerName":"getSystemInfo","data":{},"callbackId":"getSystemInfo_15107986617920.08668778464198112"},{"handlerName":"hideOptionMenu","data":{},"callbackId":"hideOptionMenu_15107986617920.562577509554103"},{"handlerName":"setToolbarMenu","data":{"menus":[],"override":true},"callbackId":"setToolbarMenu_15107986617920.03417412145063281"},{"handlerName":"setGestureBack","data":{"val":true},"callbackId":"setGestureBack_15107986617920.6238974309526384"},{"handlerName":"remoteLog","data":{"seedId":"ANTFOREST-H5_PAGE_SET_PAGE_NAME","param1":"shareBiz=none^type=behavior^currentTimestamp=1510798661796","param2":"monitor_type=clicked^remoteType=info^pageName=home.html","bizType":"antForest"},"callbackId":"remoteLog_15107986617960.3546153837814927"},{"handlerName":"addNotifyListener","data":{"name":"NEBULANOTIFY_AFRefresh"},"callbackId":"addNotifyListener_15107986617960.04098325059749186"},{"handlerName":"rpc","data":{"operationType":"alipay.antmember.forest.h5.queryNextAction","requestData":[{"userId":"208890214255xxxx","av":"5","ct":"ios"}],"disableLimitView":true},"callbackId":"rpc_15107986617970.8864813686814159"}] url:https://60000002.h5app.alipay.com/app/src/home.html?userId=208890214255xxxx]

用cycript 测试这个方法 。结果如我们所愿 日志返回了我们需要的能量ID和好友ID 可以构造第一个找到那个方法 实现收一个好友的能量

  • 由于这个方法需要好友ID的参数 我们需要拿到全部好友的ID 这样才能实现我们的一键全部收取

  • 这里我偷个懒 不去往下折腾 点击页面在PSDJsBridge transformResponseData
    取top 10的好友ID(打开页面他本身执行了 friendRanking系列方法 )

编写Tweak

  • 整理下流程，进页面 他自身调用Top10的好友列表 我们拿到这10个用户的UID

  • 拿到UID之后执行上面分析的第二个方法 拿到指定用户可以收的能量 collectStatus=AVAILABLE 返回参数中有 我们看字段就能猜到

  • 拿到UID和能量ID 我们就可以执行收能量的功能了

  • 具体的代码不一一分析 下面会提供代码下载地址
    看成功图8e44dd952fbc9cf7c9d6936fccb19fa1b.png

总结

  • UIWebView的应用不同于原生的应用 有正向开发经验能通过UI层能轻易找到触发事件

  • 其实很多时候都在试错和猜想 ，逐步的去验证自己的猜想 直到找到答案

  • 这个Tweak只作技术分析，并没有完善 Top10用户收取还不够用 大家可以试着动手 获取下一页好友 和全部好友 看日志找到字段是可以轻易实现的 还有其他功能比如 每天定时启动收取啥的

群号:717985499
weixin_39614109
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iOS 9.0后微信支付回调处理实例
01-04
如果是iOS 9.0之前,处理微信回调时,首先在APPDelegate中写如下的代码: //iOS 9.0 之前的处理方法不保证正确,如有错误还望指正 - (BOOL)application:(UIApplication *)application openURL:(NSURL *)url sourceApplication:(NSString *)sourceApplication annotation:(id)annotation { if ([url.host isEqualToString:@safepay]) { [[AlipaySDK defaultServi
Android逆向【4】：暴力破解APK签名校验，愉快的重新打包微信支付宝APK
软件架构农
12-28 8929
回顾 《Android逆向小技巧③：批量注入日志，打印目标程序执行流程》 在上一篇2019年的文章中，我们使用python写了一个简单的文本处理工具： https://github.com/encoderlee/android_tools 在使用apktool对目标应用的apk解包以后，用这个python写的小工具，分析反编译出来的smali代码，并在每个方法中注入日志，然后对apk重新打包，这样，但APP运行的时候，我们每做一个操作，都可以从日志中看出目标代码的执行流程。 不过这种方式有一个很大的缺点，就
支付宝小程序 生成https链接 生成alipays协议链接
q4717529的博客
08-22 6996
支付宝小程序 生成https链接 生成alipays协议链接。
支付宝APP逆向工程笔记之（一）native library
frams的博客
11-26 5111
支付宝APP逆向工程笔记之一   最近自己想写一个APP，由于是计算密集型的APP，用到了 Android 的NDK。NDK这么好的东西，支付宝、微信、、、APP肯定会用上吧，打开APK文件一看果然是。而且里面好多都是我认识的library：   首先是ffmpeg，这个比较有意思，因为FFMPEG是用LGPL 发布的，对商业软件不是那么友好，Ali没有直接使用，而是用了Bilibili的
iOS逆向之微信和支付宝修改步数 简洁无脑版
热门推荐
Crazy Panda
03-27 3万+
(本教程仅供研究学习用，请勿用于其他用途) 先放两张图片。 支付宝的： 微信的： 这是修改之后的 微信步数上线是98800（不知道为啥是这个数字），支付宝是100000.. 下面列出本文用到的工具 iOSOpenDev 创建动态库用到 hopper 汇编分析 yololib 注入使用 （Extra_Chapter文件夹下的yololib) ios-app-signer
APK逆向实战--内购
提桶跑路20年的博客
01-29 1584
** 街机捕鱼达人v1.4.4.1金币破解 ** 一.打开应用试试水 打开游戏–金币商城–购买325000 点击支付宝 退出支付宝 显示购买未成功 二.逆向破解流程 1.打开AndroidKiller 全局搜成功(记得要转UNICODE) 2.找到关键Smali(提示支付未成功的) 3.因为有混淆，用JADX搜索“成功”找到该smali 4.分析该smali得到下面有支付成功的 思路：修改传入参数i2=3010，接着在一开始判断时跳转到成功位置 5.返回AndroidKiller,找到sma
IOS 调用支付宝收不到支付回调
AFun_day的博客
10-27 7119
IOS 支付宝 支付回调问题
iOS符号表恢复&逆向支付宝
02-25
在文章的最后，作者以支付宝为例，展示出通过在UIAlertView的show方法处下断点，从而获得支付宝的调用栈的过程。本文涉及的代码也开源在：https://github.com/tobefuturer/restore-symbol，欢迎Star和提Issue。感谢...
iOS开发支付宝支付成功返回字符串的处理操作
01-20
{ memo=; result=partner=\311811\&seller_id=\nse@gmail....
iOS支付宝支付方法详解
08-31
主要为大家详细介绍了iOS支付宝支付方法，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
支付宝手机网站支付，app支付，PC端支付流程以及服务端php支付下单，回调流程详解
zhoupenghui168的博客
03-22 6661
支付宝手机网站支付，app支付，PC端支付流程以及服务端php支付下单，回调流程详解
支付宝统一支付回调接口(适用于H5、PC、APP)
一恍过去
07-20 1万+
支付宝统一支付回调接口(适用于H5、PC、APP)
支付宝APP支付回调问题
qq_43387118的博客
08-01 1550
支付宝APP支付回调问题 这里必须要打印 success 七个字符，不然会一直回调。
支付宝APP逆向工程笔记之（二）修改密码部分的源代码
frams的博客
01-08 1857
最近比较忙，一直没更新，今天来看一下修改密码部分的源代码，废话不多说，直接上代码，这是修改密码的初始化部分： 代码里说到的Q用户、T用户，有些同学可能不明白，这里我科普一下，用户状态分Q/T/B/W  Q代表快速注册用户 T代表已认证用户 B代表被冻结账户 W代表已注册，未激活的账户 这里阿里应该不会直接执行 actionSet 的内容，如果执行了那就是容易被利用的漏洞了。
Anti ptrace:去掉AlipayWallet的ptrace 反调试保护，进行lldb调试---仅用于参考学习
weixin_33739646的博客
11-28 1910
新的博客 学习笔记 前言 code 软件环境：Xcode硬件环境：iPhone5越狱手机、Mac开发工具： Cycript、LLDB、logos Tweak、hopper、MonkeyDev、AFLEXLoader、dumpdecrypted、debugserver、ssh、class_dump、hook 本文采用tweak 的方式进行M...
PHP 实现支付宝APP 支付 (服务端 + 客户端 + 异步)
arlene 的博客
12-29 3885
本篇分享用户实现 PHP 对接 支付宝 实现APP 支付 ， 一篇文档包含：服务端 + 异步回调 + 客户端请求方法
iOS 支付宝支付不进回调的坑&填坑过程
iOS_July的博客
08-01 3726
描述： 我的问题是这样的，利用支付宝进行余额充值，支付宝生成订单扣费了，App余额却没有增加，苦思不果，尝试了各种方法终于…… 其实这里的充值，一样的是调用 - (BOOL)payInterceptorWithUrl:(NSString *)urlStr fromScheme:(NSString *)schemeStr ...
iOS开发中支付宝支付的集成（其实很简单）
梁森的博客
09-06 1万+
最近项目中要使用支付宝支付，记得之前集成支付宝支付是挺麻烦的一件事，可这次集成支付宝支付却顺利、方便了许多，感谢支付宝开放平台的技术人员将集成文档写的越来越方便我们这些开发人员使用。先附上支付宝支付集成的官方文档https://docs.open.alipay.com/204/105295/ 大概的集成流程就是1.下载官方demo  2.将AlipaySDK.bundle、AlipaySDK.f
ios 微信支付宝封装
最新发布
08-14
该SDK包含了支付宝支付的相关功能和接口，如创建支付订单、发起支付请求、支付结果回调等。开发者只需按照支付宝提供的文档进行相应的调用和配置，即可实现在自己的应用中使用支付宝支付功能。 通过对iOS微信支付宝...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值