使用frida破解native层算法

深藏阁楼爱情的钟 2022-12-10 15:54 260阅读 0赞

[使用frida破解native层算法（原文）][frida_native]

## 使用frida破解native层算法 ##

案例：就不放了

### 抓包分析 ###

这里抓包分析的过程不详细说了  
可以看到主要有两个参数  
sign和signV1  
![file][]  
![file][file 1]

## 反编译 ##

#### 1、 sign破解 ####

搜索关键词定位以及跳转到声明之后，最后就是一个md5，用objection看看就完事了  
![file][file 2]  
![file][file 3]  
![file][file 4]  
![file][file 5]  
这是java层的sign破解，完事。

#### 2、\*-sign-v1破解 ####

这个算法主要是在native层，这里借助了frida进行破解，最后换成cpp代码。  
这里定位到这个，刚开始我也不知道这里，就瞎找，分析到这里。  
![file][file 6]  
最后确定到这两个方法，用objection确定下，最后native走的那个方法  
![file][file 7]  
可以看到最后走的是getSignRequest这个方法，并且根据上图，就可以看到so是libsalt.so。  
![file][file 8]

##### 2.1 分析so #####

*  导入jni头文件，这里没有jni\_onload，就是静态注册的。  
    在`Java_com_*_main_helpers_utils_*SignUtils_getSignRequest`找到一个加密的函数，追下去看看。  
    ![file][file 9]  
    看到这么多函数，根据名字就猜测一下了，md5操作，看看是不是导出函数。  
    ![file][file 10]  
    ![file][file 11]  
    ![file][file 12]  
    果然是导出函数，直接frida就去Hook一下导出函数。

Interceptor.attach(Module.findExportByName("libsalt.so", "*_md5"), {
        onEnter: function (args) {
            console.log("*_md5 onEnter", Memory.readCString(args[0]))
        },
        onLeave: function (retvalue) {
            console.log("*_md5 onLeave", Memory.readCString(retvalue))
        }
    })

Hook之后得到这么多  
![file][file 13]  
其实a4698cf0eea7a9b92a0194618079aba9是did`2a0194618079aba9a4698cf0eea7a9b9`  
中间进行切割，然后交换位置。  
5nhrec75lf3drenb09a349366a5b7eda4ee99d7a104fb38b8a5f746c1c9c99c0b458e1ed510845e5  
是随机字符串+md5(a4698cf0eea7a9b92a0194618079aba9)+8a5f746c1c9c99c0b458e1ed510845e5的结果  
`8a5f746c1c9c99c0b458e1ed510845e5`是固定值，随机字符串是java层算法。  
python这一部分的实现

did = '2a0194618079aba9a4698cf0eea7a9b9'
        rstr = 'yqkdfs6y4d2ci8wm'  # 随机字did[:符串
        new_did = did[len(did) // 2:] + len(did) // 2]
        did_md5 = get_md5(new_did)
        sss = rstr + did_md5 + '8a5f746c1c9c99c0b458e1ed510845e5'
        dest = get_md5(sss)

cpp实现：

string did = "2a0194618079aba9a4698cf0eea7a9b9";
        string ranstr = "28npqz4cpmw6ifpc";
        string new_did = getStringSubs(did);
        string did_md5 = getMd5(new_did);
        string sss = ranstr + did_md5 + "8a5f746c1c9c99c0b458e1ed510845e5";
        string dest = getStringSubs(getMd5(sss));

上边的dest是新字符串拼接需要的  
![file][file 14]  
这里有一个json的操作，其实刚开始我也不知道干了什么，最后我用frida-trac 就轻松解决了。

frida-trace -FU -i "strlen"

![file][file 15]

array[i] = buffer[2 * i] & 0xF0 | buffer[2 * i + 1] & 0xF;

这个是对字符串进行了高低位的操作，也就是这个app的signV3唯一个非标准算法。  
拿到高低位操作之后的字符串之后，拼接了之前的dest（我自己写的那个），然后进行sha1操作。  
sha1之后取了第8位到最后的字符串，然后又中间进行切割，然后交换位置，最后生成的就是signV3的结果。  
cpp最后实现的算法：

string getMd5(const string &message) {
        return MD5(message).toStr();
    }
    string getSha1(const string &message) {
        SHA1 checksum;
        checksum.update(message);
        const string hash = checksum.final();
        return hash;
    }
    string getStringSubs(const string &message) {
        string string1 = message.substr(0, message.length() / 2);
        string string2 = message.substr(message.length() / 2);
        return string2 + string1;
    }

void SignV3() {
        string did = "2a0194618079aba9a4698cf0eea7a9b9";
        string ranstr = "28npqz4cpmw6ifpc";
        string new_did = getStringSubs(did);
        string did_md5 = getMd5(new_did);
        string sss = ranstr + did_md5 + "8a5f746c1c9c99c0b458e1ed510845e5";
        string dest = getStringSubs(getMd5(sss));
        string arr = "aid=fbef33334c2388ccee5757dc2dbb0b45&comments_sort=asc&isnewsession=false&mark_read_sid=361595316249559936&mcc=&mnc=&nextkey=&timestamp=1592463682&ua=Mozilla/5.0 (Linux; Android 8.1.0; AOSP on msm8996 Build/OPM4.171019.021.D1; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/61.0.3163.98 Mobile Safari/537.36";

const char *buffer = "aid=fbef33334c2388ccee5757dc2dbb0b45&comments_sort=asc&isnewsession=false&mark_read_sid=361595316249559936&mcc=&mnc=&nextkey=&timestamp=1592463682&ua=Mozilla/5.0 (Linux; Android 8.1.0; AOSP on msm8996 Build/OPM4.171019.021.D1; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/61.0.3163.98 Mobile Safari/537.36";
        int i = 0;
    //这里的算法可以看看ida的图 自己实现呐
       string new_sss = arr.substr(0, i) + dest;
        string sha1Res = getSha1(new_sss).substr(8);
        string sign_v3 = getStringSubs(sha1Res);
        cout << "_sign_v3=" << sign_v3;
    }
    int main() {
        SignV3();
        return 0;
    }

### 算法检验 ###

![file][file 16]  
至于为什么最后不放python算法，实在是因为，还原成python之后，高低位操作的时候，部分数据不对了。。就只有cpp了  
此文章仅用于学习交流，请勿商业用途和传播。

[使用frida破解native层算法（原文）][frida_native]

[frida_native]: http://zhaoxincheng.com/index.php/2020/09/26/nicapp%E7%9A%84native%E5%B1%82%E7%AE%97%E6%B3%95%E7%A0%B4%E8%A7%A3/
[file]: /images/20221123/818fde241321458d9ff69d94e23ecf59.png
[file 1]: /images/20221123/5a314669cd16451daafe56d9bd0aeb66.png
[file 2]: /images/20221123/f9cb4ff1c044425b8f3af87dc4ee7bfe.png
[file 3]: /images/20221123/aee4cc464a3042b4a26c673620e2de23.png
[file 4]: /images/20221123/ed2074c2506f40eaa1a5c34c337a2d44.png
[file 5]: /images/20221123/f720c5e602224e66923bcc177b07e91c.png
[file 6]: /images/20221123/4daf5d78c4f745d9858ab3106f8f9bca.png
[file 7]: /images/20221123/26ae541bc990456c8a243ab83dd03222.png
[file 8]: /images/20221123/f5643d41fb4f49b6a62ce4ea8af9459e.png
[file 9]: /images/20221123/8c2c9e85cb17493b8dc6dcb33c10406e.png
[file 10]: /images/20221123/3e2a9d26f5984452a9dade437f5ccab0.png
[file 11]: /images/20221123/1f9fc48a09364d5dabc5f04ae698f4f0.png
[file 12]: /images/20221123/41d7b5b2638f4090992b9c07c19c2841.png
[file 13]: /images/20221123/35535100f5d4400b9d59bb2b597a9640.png
[file 14]: /images/20221123/977716393f74403081cd4c6a27ce3a4c.png
[file 15]: /images/20221123/906b43d716364b889828559d3b8e3cf6.png
[file 16]: /images/20221123/67b00fee5c0f43299ef7b4a290d7d26a.png