猿人学APP逆向对抗前三题

第一题是java层加密，第二道是so加密，第三道是so混淆，经过分析前三道题sign生成算法不同，但是可以用相同的方法获取flag，这里以第一题为例：charles + postern抓包分析获取到两个接口。/time接口获取时间戳，/app1接口传入参数page，sign和前面获取的时间戳，返回数据就是对应page页面的所有数据。

题目需要计算所有0-100页面中所有值的和。有两个思路，一是主动调用app发送http请求的函数并hook接收返回数据的函数获取所有页面的值，二是分析sign的算法，然后主动调用sign算法生成sign值并构造http请求获取0-100页面的值，最后将值相加。

分析sign算法主动构造http请求#

因为/app1接口会请求对应page页面的数据，jadx直接搜索接口字符串可以看到对应的接口函数。

查看什么位置调用了此接口函数。

来到接口函数调用处，很清楚的看到其将"page=" + page页面值 + 时间戳组合后调用sign函数生成sign值。

对应的sign函数貌似就是一个md4的哈希函数，接下来就可以通过主动调用此sign函数生成sign值并构造http请求了。

js中主动调用sign函数并导出，python利用rpc调用此导出函数生成sign并构造http请求即可获得所有页面的值，最后计算和为4902423。

function callsign(string1){
    var sign_value;
    Java.perform(function(){
        sign_value = Java.use("com.yuanrenxue.match2022.security.Sign").$new().sign(stringToByte(string1));
    })
    return sign_value;
}

rpc.exports = {
    callsign: callsign,
};

hook app自身的收发包函数#

另一种方法就是直接通过主动调用app的发包函数和hook收包函数来计算所有页面的值。查看反编译代码发现lambda$initListeners$3函数会先获取时间戳，然后调用lambda$initListeners$2获取页面数据，所以只要主动调用100次此函数就可以获取到所有页面的值。

lambda$initListeners$3是ChallengeOneFragment类的成员函数，所以需要先在内存中找到ChallengeOneFragment类实例。

var ChallengeOne_instance;
Java.choose("com.yuanrenxue.match2022.fragment.challenge.ChallengeOneFragment", {
    onMatch:function(instance){
        ChallengeOne_instance = instance;
        console.log(ChallengeOne_instance);
    },onComplete:function(){}
})

lambda$initListeners$3还有一个参数是一个接口类，右键查看调用实例发现OooO0oO函数会调用lambda$initListeners$3并传递接口类作为参数。

紧接着右键查看是哪个函数调用的OooO0oO，可以看到有两个位置会调用此函数并且传入的参数都是com.scwang.smartrefresh.layout.SmartRefreshLayout类实例。

最后就得到lambda$initListeners$3函数的参数是com.scwang.smartrefresh.layout.SmartRefreshLayout类实例，所以需要先在内存中找到此实例。

var Smart_instance;
Java.choose("com.scwang.smartrefresh.layout.SmartRefreshLayout",{
    onMatch:function(instance){
        Smart_instance = instance;
        console.log(Smart_instance);
    },onComplete:function(){

    } 
})

现在就可以主动调用lambda$initListeners$3函数请求0-100所有页面的数据了。

for(var i = 0; i < 100; i++){
    ChallengeOne_instance.page.value = i;
    ChallengeOne_instance.lambda$initListeners$3(Smart_instance);
    Thread.sleep(1)
}

还需要hook接收数据包的函数，进一步获取所有请求的返回值并计算所有页面之和。再次查看lambda$initListeners$3函数发现其最后会调用subscribe函数并new了一个对象。

查看此对象对应的类发现了onNext函数，此函数的参数是一个C3751OooO00o（名称反混淆过了）类对象。

查看此类对象发现其成员包含了返回数据包中的state, data。而data是一个类对象列表，列表中对象的成员变量包含了页面的value值。

所以通过hook onNext函数并调用C3751OooO00o类的成员函数即可获得此次请求返回的页面value值，onNext类是内部类com.yuanrenxue.match2022.fragment.challenge.ChallengeOneFragment$OooO0O0的成员函数。这里还要特别注意onNext函数的参数是java.lang.Object类型，需要先利用Java.cast强制转换为对应的类后才能调用对应的成员函数和获取其成员变量。

var sum = 0;
Java.use("com.yuanrenxue.match2022.fragment.challenge.ChallengeOneFragment$OooO0O0").onNext.overload('java.lang.Object').implementation = function(arg1){
    var class1 = Java.cast(arg1, Java.use("o00O000.OooO00o"));
    var class2_array = class1.OooO00o().toArray();
    for(var i = 0; i < class2_array.length; i++){
        var class2 = Java.cast(class2_array[i], Java.use("o00O000.OooO0OO"));
        var value_string = class2.OooO00o();    
        sum = sum + int64(value_string);
    }
}

最后通过主动调用app发包函数，并hook收包函数获取所有页面的value之和为4902423

完整的脚本如下：

function main(){
    Java.perform(function(){
       Java.use("com.yuanrenxue.match2022.security.Sign").sign.overload('[B').implementation = function(arg1){
            var arg1_string = byteToString(arg1);
            console.log("\narg1 :", arg1_string);
            console.log("sign_value is :", this.sign(arg1));
            return this.sign(arg1);
       }

        var ChallengeOne_instance;
        Java.choose("com.yuanrenxue.match2022.fragment.challenge.ChallengeOneFragment", {
            onMatch:function(instance){
                ChallengeOne_instance = instance;
                console.log(ChallengeOne_instance);
            },onComplete:function(){}
        })

        var Smart_instance;
        Java.choose("com.scwang.smartrefresh.layout.SmartRefreshLayout",{
            onMatch:function(instance){
                Smart_instance = instance;
                console.log(Smart_instance);
            },onComplete:function(){

            } 
        })

        var sum = 0;
        Java.use("com.yuanrenxue.match2022.fragment.challenge.ChallengeOneFragment$OooO0O0").onNext.overload('java.lang.Object').implementation = function(arg1){
            var class1 = Java.cast(arg1, Java.use("o00O000.OooO00o"));
            var class2_array = class1.OooO00o().toArray();
            for(var i = 0; i < class2_array.length; i++){
                var class2 = Java.cast(class2_array[i], Java.use("o00O000.OooO0OO"));
                var value_string = class2.OooO00o();    
                sum = sum + int64(value_string);
            }
        }
       
        for(var i = 0; i < 100; i++){
            ChallengeOne_instance.page.value = i;
            ChallengeOne_instance.lambda$initListeners$3(Smart_instance);
            Thread.sleep(1)
        }
        console.log("sum is ", sum);
    })
}
setImmediate(main)