搜索

[27707] 2019-11-01_OGeek线上CTF挑战赛移动安全题详细WriteUp

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2019-11-01_OGeek线上CTF挑战赛移动安全题详细WriteUp O G e e k 线 上 C T F 挑 战 赛 移 动 安 全 题 详 细 W r i t e   U p 原 创   O S R C   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 1 - 0 1 收 录 于 话 题   # 不 断 学 习   不 断 成 长   , 1 8 个 a n d r o i d P h 分 析 应 用 采 用 自 实 现 二 代 加 固 可 进 行 手 工 或 工 具 进 行 去 壳 保 护 对 应 用 进 行 脱 壳 ， 分 析 应 用 逻 辑 ， 双 向 证 书 绑 定 请 求 a p i ， 如 下 图 ： a p i ： h t t p s : / / s 2 . o g e e k . o p p o . c o m : 1 0 9 0 5 / i n d e x . p h p 把 该 h t m l 页 面 本 地 保 存 ， 以 w e b v i e w 的 形 式 呈 现 。 所 以 这 里 得 到 客 户 端 证 书 和 密 码 ， 证 书 ： c l i e n t p h p . p 1 2 ， 密 码 ： 4 a 1 7 4 1 d 8 e 2 2 f 4 f c 3 c e 可 以 将 证 书 倒 入 浏 览 器 或 b u r p s u i t e 进 行 下 一 步 操 作 。 根 据 i n d e x . p h p 下 方 的 提 示 下 载 h t m l . z i p ， 使 用 客 户 端 证 书 和 密 码 发 起 网 络 请 求 。
审 计 P H P 代 码 ， 发 现 想 要 获 得 f l a g ， 首 先 要 拿 到 数 据 库 中 a d m i n 用 户 的 c o d e ， 再 到 a d m i n . p h p 处 提 交 c o d e 。 在 i n d e x . p h p 我 们 发 现 注 册 和 登 录 虽 然 有 S Q L 交 互 ， 但 是 均 因 为 做 了 转 义 不 存 在 注 入 ， 但 是 在 下 面 这 段 代 码 中 ， 将 u s e r 从 u s e r s 表 中 选 出 来 直 接 拼 接 成 e m a i l 并 被 代 入 到 u p d a t e 的 S Q L 语 句 中 ， 存 在 S Q L 二 次 注 入 。 但 是 如 何 注 入 出 敏 感 数 据 呢 ？ 我 们 发 现 我 们 只 能 更 改 f i l e 表 的 内 容 ， 而 只 有 后 面 一 处 从 f i l e 表 获 取 数 据 c o m m e n t s i z e 并 做 了 如 下 处 理 。   $ s q l   =   " s e l e c t   c o d e   f r o m   a d m i n " ;         $ d b   =   n e w   D a t a _ d b ( ) ;         $ r e t   =   $ d b - > q u e r y S i n g l e ( $ s q l ) ; i f   ( $ r e t )   { i f   ( $ r e t   = = =   $ _ P O S T [ ' f l a g ' ] )                 {                         s e s s i o n _ u n s e t ( ) ; d i e ( $ f l a g ) ;                 } $ c o m m e n t   =   $ _ P O S T [ ' c o m m e n t ' ] ; $ s q l   =   " s e l e c t   u s e r   f r o m   u s e r s   w h e r e   i d   =   ' " . $ t h i s - > u s e r i d . " ' " ; $ d b   =   n e w   D a t a _ d b ( ) ; @ $ r e t   =   $ d b - > q u e r y S i n g l e ( $ s q l )   o r   0 ; $ d b - > c l o s e ( ) ; $ u s e r n a m e   =   $ r e t ; / / e g :   $ u s e r n a m e   =   " a a a ' , c o m m e n t s i z e   =   ' 1 2 3 4 ' - - " ; $ e m a i l   =   $ u s e r n a m e . " @ c t f . c o m " ; / / $ e m a i l   =   " a a a ' ,   c o m m e n t s i z e   =   ' 1 2 3 4 ' - - @ c t f . c o m " ; $ s q l   =   " U P D A T E   f i l e   S E T   e m a i l   =   ' " . a d d s l a s h e s _ t o _ s q l i t e ( $ e m a i l ) . " '   w h e r e   i d   =   " . $ t h i s - > u s e r i d ; / / $ s q l   =   " U P D A T E   f i l e   S E T   e m a i l   =   ' a a a ' ,   c o m m e n t s i z e   =   ' 1 2 3 4 ' - - @ c t f . c o m   w h e r e   i d   =   " . $ t h i s - > u s e r i d " $ d b   =   n e w   D a t a _ d b ( ) ; @ $ r e t   =   $ d b - > e x e c ( $ s q l ) ; $ b r _ p a d d i n g   =   ( i n t ) ( $ _ P O S T [ ' p a d d i n g ' ] ) ; $ c o m m e n t _ s i z e   =   s t r l e n ( $ c o m m e n t ) ; $ s q l   =   " s e l e c t   c o m m e n t s i z e   f r o m   f i l e   w h e r e   u s e r i d   =   " . $ t h i s - > u s e r i d . " " ; $ d b   =   n e w   D a t a _ d b ( ) ; @ $ r e t   =   $ d b - > q u e r y S i n g l e ( $ s q l )   o r   0 ; $ d b - > c l o s e ( ) ; i f ( $ r e t ) {         $ m a x _ c o m m e n t _ s i z e   =   $ r e t ;
看 似 无 论 c o m m e n t s i z e 的 值 是 什 么 ， 返 回 结 果 都 是 t r u e ， 不 能 通 过 返 回 结 果 来 进 行 B o o l 类 型 的 盲 注 ， 同 时 因 为 注 册 用 户 时 的 W A F ， 也 很 难 进 行 基 于 时 间 的 盲 注 。 这 里 的 考 点 是 P H P   P C R E   正 则 表 达 式 存 在 的 d o s 漏 洞 ， 正 则 表 达 式 模 块 在 多 种 语 言 都 存 在 不 同 的 漏 洞 ， 其 中 因 为 其 匹 配 期 间 的 迭 代 运 算 而 导 致 的 d o s 漏 洞 也 在 多 个 语 言 有 所 体 现 ， 比 如 p y t h o n 的 r e 模 块 也 存 在 d o s 漏 洞 ， 导 致 某 版 本 的 微 信 被 卡 死 。 而 这 道 题 也 是 因 为 错 误 的 、 不 规 范 的 正 则 表 达 式 引 起 的 d o s 漏 洞 。 我 们 来 看 一 个 样 例 。 <   重 复 5 0 0 0 次         $ m a x _ c o m m e n t _ s i z e   =   $ r e t ; } e l s e {         $ m a x _ c o m m e n t _ s i z e   =   - 1 ; } i f ( (   $ c o m m e n t _ s i z e   +   $ b r _ p a d d i n g )   >   $ m a x _ c o m m e n t _ s i z e ) { / / 移 除 掉 所 有 h t m l 标 签         $ c o m m e n t   =   p r e g _ r e p l a c e ( ' / ( < . * > ) + / ' , ' ' , $ c o m m e n t ) ; i f ( s t r l e n ( $ c o m m e n t )   >   $ m a x _ c o m m e n t _ s i z e )         { / / 无 论 发 不 发 邮 件 你 都 能 拿 到 f l a g ， 不 是 吗 ？ / / s e n d _ m a i l ( $ e m a i l , " 评 论 长 度 超 过 该 用 户 最 大 限 制 ! " ) ; r e t u r n   t r u e ;         } e l s e         {                 $ e m a i l   =   " a d m i n @ c t f . c n " ; / / 无 论 发 不 发 邮 件 你 都 能 拿 到 f l a g ， 不 是 吗 ？ / / s e n d _ m a i l ( $ e m a i l , $ c o m m e n t ) ; r e t u r n   t r u e ;         } } e l s e { / / 只 移 除 b r 标 签         $ c o m m e n t   =   p r e g _ r e p l a c e ( ' / ( < ( / ) ? b r > ) + / ' , ' ' , $ c o m m e n t ) ;         $ e m a i l   =   " a d m i n @ c t f . c n " ; / / 无 论 发 不 发 邮 件 你 都 能 拿 到 f l a g ， 不 是 吗 ？ / / s e n d _ m a i l ( $ e m a i l , $ c o m m e n t ) ; r e t u r n   t r u e ; } p r i v a t e   f u n c t i o n   i s _ e x i s t s ( $ u s e r n a m e ) {                 $ s q l   =   " s e l e c t   u s e r   f r o m   u s e r s   w h e r e   u s e r   =   ' " . a d d s l a s h e s _ t o _ s q l i t e ( $ u s e r n a m e ) . " ' " ;                 $ d b   =   n e w   D a t a _ d b ( ) ;                 @ $ r e t   =   $ d b - > q u e r y S i n g l e ( $ s q l ) ;                 $ d b - > c l o s e ( ) ; i f ( $ r e t ) r e t u r n   t r u e ; e l s e i f ( p r e g _ m a t c h ( " / ( R A N D O M B L O B ) | ; / i s " , $ u s e r n a m e ) ) r e t u r n   t r u e ; / / W A F   i s   h e r e r e t u r n   f a l s e ;         } < ? p h p $ c o m m e n t   =   s t r _ r e p e a t ( " < " , 2 0 0 0 0 ) ; $ c o m m e n t   =   p r e g _ r e p l a c e ( ' / ( < . * > ) + / ' , ' ' , $ c o m m e n t ) ; ? >
<   重 复 1 5 0 0 0 次
根 据 时 间 的 差 异 我 们 可 以 很 容 易 获 取 到 c o m m e n t s i z e 中 的 具 体 数 值 ， 在 上 面 的 二 次 注 入 处 ， 我 们 将 a d m i n 用 户 的 c o d e 分 批 次 更 新 到 c o m m e n t s i z e 字 段 ， 然 后 利 用 d o s 漏 洞 产 生 的 差 异 获 取 其 中 的 内 容 ， 就 可 以 还 原 整 个 c o d e 了 。 多 个   <   符 号 可 以 使 p r e g _ r e p l a c e ( ' / ( < . * > ) + / ' , ' ' , $ c o m m e n t ) 语 句 延 迟 ， 但 不 能 使 p r e g _ r e p l a c e ( ' / ( < ( / ) ? b r > ) + / ' , ' ' , $ c o m m e n t ) 语 句 延 迟 ， 所 以 返 回 延 迟 了 代 表 进 入 了 i f ( (   $ c o m m e n t _ s i z e   +   $ b r _ p a d d i n g )   >   $ m a x _ c o m m e n t _ s i z e )   分 支 没 延 迟 代 表 进 入 了 e l s e 分 支 $ c o m m e n t _ s i z e 为 你 输 入   <   的 个 数         $ c o m m e n t _ s i z e   =   s t r l e n ( $ _ P O S T [ ' c o m m e n t ' ] ) ; $ b r _ p a d d i n g 为 你 输 入 的 p a d d i n g 的 值         $ b r _ p a d d i n g   =   ( i n t ) ( $ _ P O S T [ ' p a d d i n g ' ] ) ; $ m a x _ c o m m e n t _ s i z e 为 数 据 库 中 c o m m e n t s i z e 字 段 的 值                           在 $ _ P O S T [ ' c o m m e n t ' ] 输 入 很 多 的   <   符 号 ， 通 过 不 断 改 变 p a d d i n g 的 值 ， 根 据 延 迟 确 定 $ m a x _ c o m m e n t _ s i z e 的 值 下 方 在 c o m m e n t 输 入 的 < 的 个 数 为 3 1 1 7 0 。 ○ p a d d i n g   =   - 3 0 9 6 9 有 延 迟
○ p a d d i n g   =   - 3 0 9 7 0 没 有 延 迟 根 据 计 算 得 $ m a x _ c o m m e n t _ s i z e   =   3 1 1 7 0 - 3 0 9 7 0   = 2 0 0 ， 既 数 据 库 中 c o m m e n t s i z e 的 数 值 为 2 0 0 。 获 得 了 a d m i n 用 户 的 c o d e ， 在 a d m i n . p h p 处 提 交 即 可 ， 这 里 有 一 个 防 暴 力 破 解 的 验 证 码 。 使 用 如 下 脚 本 即 可 解 出 验 证 码 。
i m p o r t   m u l t i p r o c e s s i n g f r o m   o s   i m p o r t   u r a n d o m f r o m   h a s h l i b   i m p o r t   m d 5 i m p o r t   s y s p r o c e s s o r _ n u m b e r   =   8 d e f   w o r k ( c i p h e r ) : f o r   i   i n   x r a n g e ( 1 0 0 ) :                 p l a i n   =   u r a n d o m ( 1 6 ) . e n c o d e ( ' h e x ' ) i f   m d 5 ( p l a i n ) . h e x d i g e s t ( ) [ : 6 ]   = =   c i p h e r : p r i n t   p l a i n                         s y s . e x i t ( 0 ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         c i p h e r   =   r a w _ i n p u t ( ' m d 5 : ' ) p r i n t   ' P r o c e s s o r   N u m b e r : ' ,   m u l t i p r o c e s s i n g . c p u _ c o u n t ( )         p o o l   =   m u l t i p r o c e s s i n g . P o o l ( p r o c e s s e s = p r o c e s s o r _ n u m b e r ) w h i l e   T r u e :                 p l a i n   =   u r a n d o m ( 1 6 ) . e n c o d e ( ' h e x ' )
得 到 f l a g 为 f l a g { 1 e 1 4 c f 6 a c 0 8 d 8 8 6 c 0 3 3 0 e e 1 9 e e 2 c 4 b c 3 } m B l o c k C h a i n 该 题 有 两 个 未 知 条 件 ， 反 编 译 后 代 码 如 下 ： 分 析 k e y 虽 然 未 知 但 是 最 后 参 与 运 算 的 只 有 三 个 字 节 ， 所 以 可 以 爆 破 。 代 码 如 下                 p l a i n   =   u r a n d o m ( 1 6 ) . e n c o d e ( ' h e x ' )                 p o o l . a p p l y _ a s y n c ( w o r k ,   ( c i p h e r ,   ) )         p o o l . c l o s e ( )         p o o l . j o i n ( ) p u b l i c   s t a t i c   b o o l e a n   c h e c k F l a g ( S t r i n g   k e y S t r ,   S t r i n g   f l a g S t r )   t h r o w s   E x c e p t i o n   { b y t e [ ]   d i g e s t   =   h a s h ( k e y S t r . g e t B y t e s ( ) ) ; b y t e [ ]   c u r r K e y   =   h a s h ( n e w   b y t e [ ] { d i g e s t [ 0 ] ,   d i g e s t [ d i g e s t . l e n g t h   /   2 ] ,   d i g e s t [ d i g e s t . l e n g t h   -   1 ] } ) ; b y t e [ ]   c u r r P t   =   f l a g S t r . g e t B y t e s ( ) ; f o r   ( i n t   i   =   0 ;   i   <   1 0 ;   i + + )   {                         c u r r P t   =   e n c r y p t ( c u r r P t ,   c u r r K e y ) ;                         c u r r K e y   =   h a s h ( c u r r K e y ) ;                 } i f   ( t o H e x ( c u r r P t ) . e q u a l s ( " 7 4 f 0 b 1 6 5 d b 8 a 6 2 8 7 1 6 b 5 3 a 9 d 4 f 6 4 0 5 9 8 0 d b 2 f 8 3 3 a f a 1 e d 5 e e b 4 3 0 4 c 5 2 2 0 b d c 0 b 5 4 1 f 8 5 7 a 7 3 4 8 0 7 4 b 2 a 7 7 7 5 d 6 9 1 e 7 1 b 4 9 0 4 0 2 6 2 1 e 8 a 5 3 b a d 4 c f 7 a d 4 f c c 1 5 f 2 0 a 8 0 6 6 e 0 8 7 f c 1 b 2 f f b 2 1 c 2 7 4 6 3 b 5 7 3 7 e 3 4 7 3 8 a 6 2 4 4 e 1 6 3 0 d 8 f a 1 b f 4 f 3 8 b 7 e 7 1 d 7 0 7 4 2 5 c 8 2 2 5 f 2 4 0 f 4 b d 2 b 0 3 d 6 c 2 4 7 1 e 9 0 0 b 7 5 1 5 4 e b 6 f 9 d f b d f 5 a 4 e c a 9 d e 5 1 6 3 f 9 b 3 e e 8 2 9 5 9 f 1 6 6 9 2 4 e 8 a d 5 f 1 d 7 4 4 c 5 1 4 1 6 a 1 d b 8 9 6 3 8 b b 4 d 1 4 1 1 a a 1 b 1 3 0 7 d 8 8 c 1 f b 5 " ) )   { r e t u r n   t r u e ;                 } r e t u r n   f a l s e ;         } p u b l i c   s t a t i c   b y t e [ ]   e n c r y p t ( b y t e [ ]   i n ,   b y t e [ ]   k e y )   t h r o w s   E x c e p t i o n   {                 K e y   a e s K e y   =   n e w   S e c r e t K e y S p e c ( k e y ,   " A E S " ) ;                 C i p h e r   e n c r y p t C i p h e r   =   C i p h e r . g e t I n s t a n c e ( " A E S / E C B / P K C S 5 P a d d i n g " ) ;                 e n c r y p t C i p h e r . i n i t ( 1 ,   a e s K e y ) ;                 B y t e A r r a y O u t p u t S t r e a m   o u t p u t S t r e a m   =   n e w   B y t e A r r a y O u t p u t S t r e a m ( ) ;                 C i p h e r O u t p u t S t r e a m   c i p h e r O u t p u t S t r e a m   =   n e w   C i p h e r O u t p u t S t r e a m ( o u t p u t S t r e a m ,   e n c r y p t C i p h e r ) ;                 c i p h e r O u t p u t S t r e a m . w r i t e ( i n ) ;                 c i p h e r O u t p u t S t r e a m . f l u s h ( ) ;                 c i p h e r O u t p u t S t r e a m . c l o s e ( ) ; r e t u r n   o u t p u t S t r e a m . t o B y t e A r r a y ( ) ;         } p u b l i c   s t a t i c   b y t e [ ]   h a s h ( b y t e [ ]   i n )   t h r o w s   E x c e p t i o n   {                 M e s s a g e D i g e s t   m d   =   M e s s a g e D i g e s t . g e t I n s t a n c e ( " M D 5 " ) ;                 m d . u p d a t e ( i n ) ; r e t u r n   m d . d i g e s t ( ) ;         } f o r   (   i n t   i   =   - 1 2 8 ;   i   <   1 2 8 ;   i + + )   { f o r   (   i n t   j   =   - 1 2 8 ;   j   <   1 2 8 ;   j + + )   { f o r   (   i n t   k   =   - 1 2 8 ;   k   <   1 2 8 ;   k + + )   {                                         f i n a l   b y t e [ ]   c u r r K e y   =   n e w   b y t e [ ] { ( b y t e )   k ,   ( b y t e )   j ,   ( b y t e )   i } ; / /                                         n e w   T h r e a d ( n e w   R u n n a b l e ( )   { / /                                                 @ O v e r r i d e / /                                                 p u b l i c   v o i d   r u n ( )   { t r y   {                                                                 d e c o d e F l a g ( c u r r K e y ) ;                                                         }   c a t c h   ( E x c e p t i o n   e )   {                                                                 e . p r i n t S t a c k T r a c e ( ) ;                                                         }                                                         S y s t e m . o u t . p r i n t l n ( c u r r K e y [ 0 ] + "   " + c u r r K e y [ 1 ] + "   " + c u r r K e y [ 2 ] ) ; / /                                                 } / /                                         } ) . s t a r t ( ) ;                                 }                         }                 }
解 密 可 能 有 很 多 解 ， 过 滤 了 下 不 可 见 字 符 和 不 合 乎 规 则 的 字 符 ， 得 出 f l a g , f l a g { j u s t r u n } 这 道 题 单 线 程 跑 比 较 好 ， 或 者 根 据 核 心 合 理 分 布 下 配 置 线 程 （ 或 者 使 用 线 程 池 ） ， 如 上 面 的 方 式 开 启 多 线 程 反 而 拖 慢 速 度 。 O A S y s t e m 分 析 a p k 代 码 ， 使 用 双 向 证 书 绑 定 ， 请 求 的 a p i 为 ： h t t p s : / / s 1 . o g e e k . o p p o . c o m : 1 0 9 0 5 / u s e r / l o g i n 获 取 输 入 的 用 户 名 和 密 码 后 进 行 拼 接 ： S t r i n g   d a t a   =   " n a m e = " + n a m e + " & p a s s w d = " + p a s s w o r d ; 但 是 J a v a 代 码 中 没 有 p o s t 的 操 作 ， 调 用 了 一 个 n a t i v e 函 数 ， p u b l i c   s t a t i c   b y t e [ ]   d e c r y p t ( b y t e [ ]   i n ,   b y t e [ ]   k e y )   t h r o w s   E x c e p t i o n   {                 K e y   a e s K e y   =   n e w   S e c r e t K e y S p e c ( k e y ,   " A E S " ) ;                 C i p h e r   e n c r y p t C i p h e r   =   C i p h e r . g e t I n s t a n c e ( " A E S / E C B / P K C S 5 P a d d i n g " ) ;                 e n c r y p t C i p h e r . i n i t ( C i p h e r . D E C R Y P T _ M O D E ,   a e s K e y ) ;                 B y t e A r r a y O u t p u t S t r e a m   o u t p u t S t r e a m   =   n e w   B y t e A r r a y O u t p u t S t r e a m ( ) ;                 C i p h e r O u t p u t S t r e a m   c i p h e r O u t p u t S t r e a m   =   n e w   C i p h e r O u t p u t S t r e a m ( o u t p u t S t r e a m ,   e n c r y p t C i p h e r ) ;                 c i p h e r O u t p u t S t r e a m . w r i t e ( i n ) ;                 c i p h e r O u t p u t S t r e a m . f l u s h ( ) ;                 c i p h e r O u t p u t S t r e a m . c l o s e ( ) ; r e t u r n   o u t p u t S t r e a m . t o B y t e A r r a y ( ) ;         } p u b l i c   s t a t i c   v o i d   d e c o d e F l a g ( b y t e [ ]   k e y )   t h r o w s   E x c e p t i o n { b y t e [ ]   c u r r P t   =   h e x S t r i n g T o B y t e A r r a y ( " 7 4 f 0 b 1 6 5 d b 8 a 6 2 8 7 1 6 b 5 3 a 9 d 4 f 6 4 0 5 9 8 0 d b 2 f 8 3 3 a f a 1 e d 5 e e b 4 3 0 4 c 5 2 2 0 b d c 0 b 5 4 1 f 8 5 7 a 7 3 4 8 0 7 4 b 2 a 7 7 7 5 d 6 9 1 e 7 1 b 4 9 0 4 0 2 6 2 1 e 8 a 5 3 b a d 4 c f 7 a d 4 f c c 1 5 f 2 0 a 8 0 6 6 e 0 8 7 f c 1 b 2 f f b 2 1 c 2 7 4 6 3 b 5 7 3 7 e 3 4 7 3 8 a 6 2 4 4 e 1 6 3 0 d 8 f a 1 b f 4 f 3 8 b 7 e 7 1 d 7 0 7 4 2 5 c 8 2 2 5 f 2 4 0 f 4 b d 2 b 0 3 d 6 c 2 4 7 1 e 9 0 0 b 7 5 1 5 4 e b 6 f 9 d f b d f 5 a 4 e c a 9 d e 5 1 6 3 f 9 b 3 e e 8 2 9 5 9 f 1 6 6 9 2 4 e 8 a d 5 f 1 d 7 4 4 c 5 1 4 1 6 a 1 d b 8 9 6 3 8 b b 4 d 1 4 1 1 a a 1 b 1 3 0 7 d 8 8 c 1 f b 5 " ) ;                 L i s t < b y t e [ ] >   k e y s   =   n e w   A r r a y L i s t < > ( ) ;                 k e y s . a d d ( F l a g C h e c k e r . h a s h ( k e y ) ) ; f o r   ( i n t   i   =   1 ;   i   < 1 0 ;   i + + )   {                         k e y s . a d d ( F l a g C h e c k e r . h a s h ( k e y s . g e t ( i - 1 ) ) ) ;                 } f o r   ( i n t   i   =   0 ;   i   <   1 0 ;   i + + )   {                         c u r r P t   =   d e c r y p t ( c u r r P t ,   k e y s . g e t ( 9   -   i ) ) ;                 }                 S t r i n g   r e s   =   n e w   S t r i n g ( c u r r P t ) ; i f   ( r e s . s t a r t s W i t h ( " f l a g " ) )   {                         S y s t e m . o u t . p r i n t l n ( T h r e a d . c u r r e n t T h r e a d ( ) + " = " + k e y [ 0 ] + "   " + k e y [ 1 ] + "   " + k e y [ 2 ] + "   " + r e s ) ;                         S y s t e m . e x i t ( 0 ) ;                 }         } p u b l i c   s t a t i c   b o o l e a n   i s A S ( S t r i n g   s t r )   { f o r   ( i n t   i   =   0 ;   i   <   s t r . l e n g t h ( ) ;   i + + )   { c h a r   c   =   s t r . c h a r A t ( i ) ; i f   ( c   < 3 2   | |   c   >   1 2 6 )   { r e t u r n   f a l s e ;                         }                 } r e t u r n   t r u e ;         }
分 析 v 3 9 、 v 5 2 为 最 终 p o s t 的 数 据 ， 动 态 调 试 或 者 配 置 抓 包 环 境 ， 得 到 数 据 。 多 个 数 据 比 对 发 现 如 下 规 则 ： 数 据 都 包 含 一 个 不 可 见 字 符 ” 0 x 1 d ” ， 继 续 分 析 其 作 用 应 为 分 隔 符 。 前 部 分 为 密 文 ， 后 部 分 为 签 名 。 分 析 加 密 算 法 如 下 ， 伪 代 码 中 嵌 套 几 层 循 环 和 变 量 控 制 循 环 条 件 ， 可 去 除 循 环 抽 离 真 实 逻 辑 或 者 直 接 提 取 伪 代 码 调 用 。 ( 其 实 仔 细 分 析 能 发 现 这 是 一 种 伪 加 密 ， 可 以 脱 离 伪 代 码 实 现 加 解 密 ) 根 据 个 人 需 求 可 以 h o o k 应 用 ， 传 入 明 文 得 到 密 文 ， 也 可 以 抽 取 加 密 、 签 名 算 法 。 分 析 签 名 算 法 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理