app逆向实战：某新闻7.38.0版本加固脱壳和参数分析

`本篇博客旨在记录学习过程，不可用于商用等其它途径`

入口

这次研究的是头条数据接口，每次向下滑动即可刷新请求
在这里插入图片描述

抓包

根据抓包结果得知动态参数是st和sn，大胆猜测sn的生成跟st有关，其它参数是固定的，后面看生成具体逻辑。
在这里插入图片描述

查壳

使用查壳工具发现app有腾讯加固，使用jadx反编译拿不到有用的代码文件
在这里插入图片描述

反射大师脱壳（只支持andriod 8以下）

apk下载：反射大师
下载好apk后通过adb install安装到andriod手机，注意事项：反射大师是Xposed插件，需要提前安装好Xposed
在这里插入图片描述

安装好后，双击进去开启模块，同时选择要控制的app，接下来最好是断掉网络再脱壳
在这里插入图片描述

打开选中的app，进去首页就能看到六星图案，这就说明反射大师控制成功了

在这里插入图片描述

点击这个六星图案然后选择当前ACTIVITY
在这里插入图片描述

搜索关键词sn，然后点击写出DEX按钮
在这里插入图片描述
好尴尬，到这里才发现反射大师只支持andriod 8一下的版本，服了！！！

frida-dexdump脱壳

运行frida和运行要脱壳的app，然后执行frida-dexdump -FU，需要先安装好frida-dexdump包
在这里插入图片描述
现在需要合并脱壳到的dex文件

将apk文件改名为rar文件
将脱壳得到的所有dex文件全部放进rar文件中，最好保留rar文件中原有的dex文件
重新将rar文件改名为apk文件

参数源码定位

使用jadx打开处理后的apk，现在已经能看到非常多的 class 文件了，证明已经完成脱壳

先搜索"sn"，搜出来的结果虽然不多，但是全看了一遍都没有符合期望的
在这里插入图片描述

搜索sn=，观察搜索结果，根据引用代码大概确定红框是具体位置所在
在这里插入图片描述

参数生成分析

这个位置包含了全部请求参数，我们主要看st和sn，
st的值是通过String.valueOf(valueOf) + ((int) ((Math.random() * 8999.0d) + 1000.0d));得到，这个其实就是对时间戳和随机值的处理
在这里插入图片描述

接下来跟踪sn，双击a(str, z)，进入下面的代码，可以看到str2是对多个值进行拼接
在这里插入图片描述

然后进入ces.b(str2)，可以到使用的是原生的md5
在这里插入图片描述

以上是关键参数的生成逻辑，通过跟踪代码，我们确定除了NativeSecureparam.readMD5Key、&st=、&sn=的值不确定外，其它参数都是固定值并可以通过frida hook提取，而&st=很明显是时间戳，&sn=需要依赖&st=和NativeSecureparam.readMD5Key经过md5生成，所以接下来我们要确定NativeSecureparam.readMD5Key的生成逻辑。

一般来说，我们大可以直接frida hook打印NativeSecureparam.readMD5Key的值，因为理论上它会是固定值，不过这里我们还是使用IDA打开ifeng_secure.so文件看一下代码吧。
在这里插入图片描述
注意：如果IDA打开so文件报Oops! internal error 40343 occured. ，是因为你的安装路径或者文件路径有中文，改成英文就可以了