搜索

[27398] 2019-07-15_当你写爬虫抓不到APP请求包的时候该怎么办？【高级篇-混淆导致通用Hook工具失效】

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2019-07-15_当你写爬虫抓不到APP请求包的时候该怎么办？【高级篇-混淆导致通用Hook工具失效】 当 你 写 爬 虫 抓 不 到 A P P 请 求 包 的 时 候 该 怎 么 办 ？ 【 高 级 篇 - 混 淆 导 致 通 用 H o o k 工 具 失 效 】 原 创   L o c o   N i g h t T e a m   2 0 1 9 - 0 7 - 1 5 迁 移 自 我 的 知 乎 专 栏 《 手 把 手 教 你 写 爬 虫 》 提 示 ： 因 为 高 级 篇 以 后 的 提 示 ： 因 为 高 级 篇 以 后 的 A P P 将 无 法 使 用 很 通 用 的 方 式 处 理 ， 每 种 类 型 甚 至 是 每 个 将 无 法 使 用 很 通 用 的 方 式 处 理 ， 每 种 类 型 甚 至 是 每 个 A P P 的 反 抓 包 处 理 方 式 都 会 有 差 的 反 抓 包 处 理 方 式 都 会 有 差 别 ， 所 以 这 个 系 列 以 后 会 以 【 高 级 篇 别 ， 所 以 这 个 系 列 以 后 会 以 【 高 级 篇 - 具 体 类 型 】 的 形 式 来 写 。 具 体 类 型 】 的 形 式 来 写 。 这 篇 文 章 的 主 要 内 容 是 解 决 在 遇 到 A P P 没 有 使 用 A n d r o i d 自 带 的 H T T P 客 户 端 进 行 请 求 ， 并 且 对 H T T P 客 户 端 的 代 码 进 行 了 混 淆 ， 导 致 通 用 工 具 J u s t T r u s t M e 失 效 的 问 题 。 而 中 级 篇 中 除 了 J u s t T r u s t M e 以 外 的 所 有 方 法 也 都 会 对 这 种 情 况 束 手 无 策 ， 原 因 是 中 级 篇 中 的 1 、 3 、 4 方 法 本 质 上 针 对 的 是 A n d r o i d   7 . 0 + 系 统 增 加 的 S S L   P i n n i n g 方 案 ， 而 无 法 对 各 个 H T T P 客 户 端 自 己 实 现 的 检 测 方 案 生 效 。 （ 听 说 有 个 叫 车 速 拍 的 A P P 就 是 这 种 类 型 呢 ） 那 么 应 该 怎 么 做 才 能 抓 到 这 类 A P P 的 包 呢 ？ 很 简 单 ， 依 然 是 使 用 J u s t T r u s t M e 之 类 的 H o o k 工 具 就 好 了 ， 只 不 过 我 们 需 要 针 对 混 淆 后 的 名 字 对 原 来 H o o k 的 部 分 进 行 特 殊 处 理 。 这 里 我 专 门 写 了 一 个 样 例 A P P 来 进 行 演 示 （ 别 抓 我 ， 我 什 么 都 不 知 道 ） ， 这 个 A P P 做 的 事 情 就 是 在 你 点 击 了 按 钮 之 后 ， 对 百 度 首 页 发 起 一 次 请 求 ， 但 是 这 个 请 求 在 没 有 破 解 S S L   P i n n i n g 的 正 常 情 况 下 是 不 可 能 成 功 的 ， 因 为 我 设 置 的 是 一 个 随 便 输 入 的 证 书 哈 希 ， 所 以 在 请 求 的 时 候 会 因 为 正 常 的 证 书 哈 希 与 我 随 便 输 入 的 哈 希 不 同 导 致 出 现 请 求 失 败 的 情 况 。 样 例 A P P 代 码 这 个 A P P 我 已 经 编 译 好 放 到 G i t H u b 上 了 ， 有 两 个 版 本 ， 一 个 是 对 代 码 进 行 过 混 淆 的 ， 一 个 是 没 混 淆 的 ， 文 末 会 有 下 载 地 址 ， 读 者 可 以 下 载 下 来 自 己 玩 玩 。
两 个 编 译 好 的 A P K 开 始 演 示 之 前 说 一 下 测 试 机 的 配 置 吧 ， 这 里 用 的 测 试 机 是 A n d r o i d   8 . 1 . 0 的 ， 已 经 R o o t + X p o s e d ， 同 时 已 经 安 装 并 激 活 了 J u s t T r u s t M e 。 测 试 机 系 统 信 息
X p o s e d 模 块 管 理 界 面 - J u s t T r u s t M e 已 开 启 我 们 先 来 看 一 下 没 混 淆 过 代 码 的 版 本 ， 装 上 之 后 打 开 它 ， 然 后 点 击 “ 点 击 发 送 请 求 ” 按 钮 。 样 例 A P P 界 面
请 求 成 功 不 出 意 外 的 话 会 出 现 请 求 成 功 的 字 样 ， 如 果 出 现 请 求 失 败 的 话 可 能 是 你 网 络 问 题 ， 证 书 问 题 会 提 示 “ 证 书 验 证 失 败 ” 。 接 下 来 我 们 看 看 混 淆 过 代 码 的 版 本 ， 操 作 同 上 。 证 书 验 证 失 败 这 次 就 是 证 书 验 证 失 败 了 ， J u s t T r u s t M e 并 没 有 正 常 生 效 。 我 们 将 这 两 个 A P K 都 放 到 J a d x 中 反 编 译 一 下 看 看 。 在 J a d x 中 反 编 译 两 个 样 例 A P K 可 以 看 到 混 淆 过 的 版 本 里 ， o k h t t p 3 下 的 所 有 类 名 已 经 变 成 了 a b c d 这 种 名 字 。 然 后 我 们 来 看 一 下 J u s t T r u s t M e 的 代 码 。
J u s t T r u s t M e 代 码 中 H o o k   o k h t t p 3 的 证 书 验 证 部 分 可 以 看 到 它 的 代 码 中 是 对 o k h t t p 3 . C e r t i f i c a t e P i n n e r 类 下 的 c h e c k 方 法 进 行 H o o k 的 ， 这 个 C e r t i f i c a t e P i n n e r 类 和 c h e c k 方 法 在 没 混 淆 过 的 A P K 中 可 以 很 清 楚 地 看 到 。 反 编 译 检 测 代 码 1
反 编 译 检 测 代 码 2 那 么 现 在 J u s t T r u s t M e 面 对 混 淆 后 的 版 本 就 失 效 的 原 因 已 经 很 清 晰 了 ， 因 为 它 找 不 到 这 个 o k h t t p 3 . C e r t i f i c a t e P i n n e r . c h e c k ， 所 以 根 本 就 不 可 能 H o o k 到 检 测 方 法 ， 自 然 不 会 有 任 何 效 果 。 所 以 … 应 该 怎 么 办 呢 ？ 这 里 依 然 是 给 出 多 种 方 法 供 读 者 选 择 ： 1 .   修 改 J u s t T r u s t M e 代 码 中 H o o k 的 类 名 和 方 法 名 然 后 重 新 编 译 很 简 单 ， 找 到 对 应 的 检 测 方 法 ， 把 J u s t T r u s t M e 代 码 中 H o o k 的 c l a s s N a m e 和 m e t h o d N a m e 改 成 混 淆 后 的 名 字 即 可 ， 比 如 在 这 个 混 淆 后 的 样 例 A P P 里 ， o k h t t p 3 . C e r t i f i c a t e P i n n e r . c h e c k 变 成 了 o k h t t p 3 . f . a 。 反 编 译 检 测 代 码 - 混 淆 后 我 们 修 改 J u s t T r u s t M e 中 的 H o o k 部 分 ， 同 样 改 为 f 和 a 。
J u s t T r u s t M e 对 o k h t t p 3 的 证 书 检 测 H o o k 修 改 J u s t T r u s t M e 对 o k h t t p 3 的 证 书 检 测 H o o k 改 完 之 后 编 译 一 下 ， 安 装 到 手 机 上 替 换 原 来 的 就 好 了 。 2 .   使 用 F r i d a 进 行 H o o k 这 个 方 法 比 方 法 1 要 更 方 便 、 更 直 接 一 些 ， 因 为 需 要 的 时 候 直 接 修 改 脚 本 马 上 就 能 用 ， 不 需 要 重 新 编 译 、 重 启 手 机 或 A P P ， 这 里 直 接 拿 瘦 蛟 舞 大 佬 写 的 解 除 S S L   P i n n i n g 脚 本 修 改 一 下 ， 同 样 是 修 改 H o o k   o k h t t p 3 . C e r t i f i c a t e P i n n e r . c h e c k 的 部 分 ， 改 成 混 淆 后 的 名 字 即 可 。
修 改 瘦 蛟 舞 的 O b j e c t i o n U n p i n n i n g P l u s 脚 本 3 .   魔 改 J u s t T r u s t M e ， 增 加 一 个 可 以 在 运 行 时 根 据 情 况 调 整 每 种 H T T P 客 户 端 的 S S L   P i n n i n g 检 测 部 分 的 类 名 和 方 法 名 的 功 能 这 个 我 暂 时 没 空 弄 ， 感 兴 趣 的 同 学 可 以 自 己 实 现 一 下 。 4 .   魔 改 J u s t T r u s t M e ， 对 H o o k 部 分 增 加 动 态 适 配 功 能 ， 做 到 即 使 开 发 者 对 代 码 进 行 了 混 淆 也 能 自 动 找 到 真 实 的 检 测 类 和 方 法 同 上 ， 实 现 方 式 可 以 参 考 微 信 巫 师 框 架 部 分 的 自 动 适 配 代 码 ， 实 现 以 后 理 论 上 来 讲 是 最 方 便 的 办 法 之 一 ， 因 为 是 完 全 自 动 的 操 作 ， 不 需 要 人 工 介 入 。 5 .   修 改 反 编 译 A P P 得 到 的 代 码 再 打 包 回 去 我 觉 得 应 该 没 人 会 用 这 么 蠢 的 办 法 吧 … 用 H o o k 的 方 式 做 起 来 要 方 便 太 多 了 。 选 择 任 意 一 种 方 法 操 作 后 ， 再 打 开 混 淆 版 本 的 A P P 就 可 以 正 常 请 求 了 。 这 时 候 可 能 会 有 同 学 要 问 了 ， 怎 么 样 知 道 A P P 用 的 是 哪 个 H T T P 客 户 端 ？ 又 怎 么 样 快 速 定 位 混 淆 后 的 检 测 方 法 位 置 呢 ？ 很 简 单 ， 我 们 先 关 掉 破 解 工 具 ， 连 上 代 理 然 后 抓 个 包 看 看 混 淆 版 本 A P P 的 请 求 。
抓 包 查 看 请 求 U s e r - A g e n t 部 分 和 平 时 遇 到 S S L   P i n n i n g 的 情 况 一 样 ， 这 里 只 会 抓 到 一 个 C O N N E C T 请 求 ， 注 意 右 边 的 h e a d e r s ， 从 U s e r - A g e n t 中 可 以 看 出 这 个 A P P 使 用 的 是 o k h t t p 3 ， 那 么 我 们 在 混 淆 后 的 代 码 中 定 位 检 测 部 分 代 码 的 位 置 时 ， 就 只 需 要 对 照 着 o k h t t p 3 的 原 始 代 码 来 找 就 好 了 （ 其 他 H T T P 客 户 端 同 理 ） 。 当 然 了 ， 也 不 排 除 有 些 A P P 会 把 U s e r - A g e n t 改 掉 ， 如 果 从 U s e r - A g e n t 上 看 不 出 来 的 话 ， 那 就 看 一 下 反 编 译 出 来 的 源 代 码 部 分 结 构 ， 看 看 有 没 有 像 o k h t t p 3 之 类 的 这 种 特 别 明 显 的 H T T P 客 户 端 的 名 字 ， 有 的 话 就 把 它 干 掉 就 好 了 。 欢 迎 提 供 更 多 高 级 篇 的 素 材 ， 在 评 论 或 私 信 里 告 知 我 都 可 以 。 这 个 时 代 各 种 东 西 变 化 太 快 ， 而 网 络 上 的 垃 圾 信 息 又 很 多 ， 你 需 要 有 一 个 良 好 的 知 识 获 取 渠 道 ， 很 多 时 候 早 就 是 一 种 优 势 ， 还 不 赶 紧 关 注 我 的 公 众 号 并 置 顶 / 星 标 一 波 ~ 发 送 消 息 “ A P P 抓 包 高 级 篇 之 混 淆 ” 到 我 的 公 众 号 【 小 周 码 字 】 即 可 获 得 样 例 A P P 代 码 和 编 译 好 的 样 例 A P P 的 下 载 地 址 ~
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理