搜索

[12216] 2018-01-09_带360壳分析Umeng协议

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-01-09_带360壳分析Umeng协议 带 3 6 0 壳 分 析 U m e n g 协 议 原 创   S k y u n 1 3 1 4   F r e e B u f   2 0 1 8 - 0 1 - 0 9 * 本 文 原 创 作 者 ： S k y u n 1 3 1 4 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 为 什 么 要 带 壳 分 析 为 什 么 要 带 壳 分 析 u m e n g 协 议 啊 ， 因 为 嘬 呗 。 直 接 打 开 协 议 啊 ， 因 为 嘬 呗 。 直 接 打 开 c h a r l e s 手 机 设 置 好 代 理 ， 过 滤 掉 肯 定 无 关 的 链 接 ， 从 手 手 机 设 置 好 代 理 ， 过 滤 掉 肯 定 无 关 的 链 接 ， 从 手 机 打 开 需 要 抓 包 的 软 件 ， 发 现 只 有 机 打 开 需 要 抓 包 的 软 件 ， 发 现 只 有 2 条 网 络 请 求 。 条 网 络 请 求 。 一 看 就 知 道 是 u m e n g 的 协 议 ， 但 是 参 数 加 密 了 ， 只 能 反 编 译 看 看 他 是 如 何 加 密 的 。 挂 起   j a d x   打 开 a p k ， 发 现 a p k   3 6 0 加 固 了 ， 没 有 办 法 只 能 脱 壳 。 拿 出 我 的 脱 壳 神 机 g o o g l e 5 儿 子 ( 自 己 编 译 的 a n d r o i d 4 . 4 的 系 统 ， 修 改 了 内 核 代 码 ， 能 过 掉 p r o c 文 件 状 态 的 反 调 试 ) 可 是 安 装 的 时 候 提 示 ： 我 靠 设 备 版 本 太 低 ， 没 关 系 ， 反 编 译 修 改 一 下 最 低 s d k 版 本 。 加 上 - s 参 数 , 只 反 编 译 资 源 文 件 ， 然 后 打 开 a p k t o o l . y m l 这 个 文 件 ： 把 这 里 修 改 成 1 9 . o k 。 重 打 包 提 示 签 名 被 修 改 ， 没 关 系 继 续 安 装 x p o s e d   h o o k 签 名 模 块 。 然 后 软 件 就 可 以 打 开 了 。 根 据 吾 爱 欧 阳 锋 锋 大 神 的 帖 子 （ 传 送 门 ） 过 掉   时 间 差 ， r t l d _ d b _ d l a c t i v i t y   这 两 个 反 调 试 一 路 走 到 这 里 d u m p   出 d e x 文 件 。 再 次 拖 入   j a d x   发 现 还 是 不 对 啊 。 是 真 实 代 码 ， 可 是 没 有 u m e n g 的 代 码 。 这 是 怎 么 回 事 啊 。 和 我 之 前 脱 的 软 件 不 一 样 ， 难 道 3 6 0 又 升 级 了 。 带 着 疑 惑 我 又 打 开 了 我 自 己 写 的 一 个 通 用 脱 壳 软 件 。 先 给 大 家 介 绍 下 我 的 软 件 ： 本 工 具 是 一 个 a p k 软 件 ， 打 开 后 l i s t v i e w 显 示 手 机 上 安 装 的 所 有 用 户 a p k （ 图 标 a p k 名 字 ） ， 然 后 可 以 选 择 需 要 脱 壳 a p k ， 然 后 再 运 行 需 要 脱 壳 a p k 。 即 可 完 成 脱 壳 。 代 码 实 现 :   （ j a v a + j n i ） 1 、 x m l p u l l 解 析 选 择 a p k 的 a p k m i n i f e s t ， 获 取 其 包 名 ， A p p l i c a t i o n N a m e , M a i n A c t i t y N a m e 。 2 、 X p o s e d   h o o k   a n d r o i d . c o n t e n t . C o n t e x t W r a p p e r   a t t a c h B a s e C o n t e x t 得 到 壳 的 c l a s s l o d e r 3 、 根 据 c l a s s l o d e r 继 续 h o o k 真 正 类 的 o n c r e a t e 。 4 、 继 续 根 据 c l a s s l o a d e r 获 取 内 存 中 的 所 有 c o o k i e 。 5 、 继 续 调 用 j n i 。 根 据 c o o k i e 能 转 换 成 D e x F i l e , 然 后 其 实 就 是 解 析 d e x 文 件 了 。 6 、 在 内 存 其 实 他 的 指 向 都 是 完 整 的 。 只 不 过 没 有 在 连 续 的 地 方 。 d u m p 下 来 的 也 就 不 完 整 。 那 么 我 就 分 部 d u m p 。 1 。 c l a s s d e f 之 前 的 ， 2 c l a s s d e f 之 后 的 ， 3 c l a s s d e f 4 . c l a s s d a t a ， 5 o p c o d e 。 然 后 修 改 指 向 组 合 。 通 过 这 个 软 件 d u m p 下 来 的 d e x 文 件 有 6 0 个 ， 我 把 每 个 d e x 文 件 都 打 开 看 看 ， 发 现 j a r 包 都 单 独 是 一 个 d e x 文 件 ， 感 觉 和 分 包 一 样 。 想 了 想 再 把 他 们 组 合 再 修 复 o n c r e t e   肯 定 是 需 要 很 长 时 间 。 不 修 复 了 。 只 看 u m e n g 这 个 d e x 把 。 j a d x   打 开 d e x   搜 索   h o s t 。 直 接 就 找 到 了 。 看 到 了 参 数 传 递 了 b y t e [ ] ， 继 续 跟 踪 调 用 的 地 方 。 跟 到 这 里 发 现   调 用 了 c h 的 b 函 数 ， 里 面 肯 定 是 处 理 了 a 变 量 ， 最 后 返 回 了   b y t e [ ] . 但 是 我 怎 么 搜 索 都 收 拾 不 到 a 变 量 在 哪
里 调 用 了 ， 继 续 跟 踪   b 函 数 ， 跟 了 一 圈 发 现 u m e n g 的 代 码 写 的 真 是 好 啊 ， 各 种 继 承 ， 接 口 ， 越 看 越 晕 都 不 知 道 谁 掉 的 谁 。 怎 么 和 我 之 前   抓 包 的 情 况 不 一 样 啊 。 之 前 抓 过 几 次 都 是   几 个 变 量 拼 接 ， 然 后 在 调 用   通 用 加 密 函 数 ， 虽 然 加 密 函 数 可 能 在 j n i ， 可 能 有 o l l v m 混 淆 ， 但 是 都 能 看 懂 大 概 啊 。 这 个 是 越 看 越 懵 。 最 后 才 想 起 原 来 d u m p 出 来 的 指 令 被 优 化 了 ， 需 要 修 复 。 修 复 完 看 到 了 引 用 的 地 方 这 下 代 码 看 懂 了 他 把 每 一 个 参 数 都 单 独 取 出 来 转 换 成 b y t e [ ]   然 后 写 入 O u t p u t S t r e a m 既 然 看 懂 了 那 么 就 看 看 她 这 几 个 参 数 都 是 啥 直 接 传 进 去 就 o k 了 。 刚 好 他 有 一 个 t o s t r i n g 函 数 。 拖 出 来 的 d e x 没 有 修 复 不 能   动 态 调 试 ， 那 么 我 h o o k 一 下 打 印 出 来 就 好 了 。 参 数 是 都 打 印 出 来 了 ， 简 单 的 能 看 懂 ， 看 不 懂 的 继 续 跟 代 码 发 现 又 他 娘 的 是 加 密 了 ， 不 过 还 好 加 密 函 数 还 是 同 一 个 ， 但 是 看 了 看 加 密 的 串 是 1 0 个 对 象 的 1 0 0 个 参 数 。 继 续 x p o s e d   h o o k 打 印 参 数 把 ， 幸 好 他 们 的 类 名 有 规 律 。 并 且 有 2 个 类 是 他 们 的 组 合 。 继 续 看 懂 参 数 ： 有 的 参 数 是 设 备 固 定 值 ， 有 些 参 数 是 固 定 值 的 m d 5 ， 有 些 参 数 是 固 定 参 数 加 上 时 间 戳 的 m d 5 . 都 看 懂 了 模 拟 代 码 。 o k 大 功 告 成 。 继 续 看 下 一 条 协 议 。   第 二 条 协 议 其 实 还 是 这 个 接 口 ， 就 是 参 数 多 了 一 点 ， 多 的 那 点 就 是 第 一 条 协 议 的 返 回 值 。 虽 然 看 懂 了 ， 但 是 不 知 道 她 是 怎 么 解 析 返 回 值 的 啊 。 i n s t a l l _ c h a n n e l   找 到 这 个 参 数   h o o k   赋 值 的 地 方 ， 打 印 堆 栈 。 发 现 是 这 里 读 的 。 嗯 。 都 找 到 了 ， 模 拟 代 码 吧 。 测 试 ， 一 摸 一 样 … … * 本 文 原 创 作 者 ： S k y u n 1 3 1 4 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理