kuaidui作业sign逆向及unidbg实现

kuaidui作业sign逆向及unidbg实现

Java层

apk用frida_dump脱壳后，重新打包，jadx搜索sign=

image-20220125144710183

nativeGetSign这个名字就值得点进去看看

com.zuoyebang.baseutil.a.b

image-20220125144844816

com.zuoyebang.baseutil.NativeHelper.nativeGetSign

image-20220125144925303

找到函数了，hook验证一下

android hooking watch class_method com.zuoyebang.baseutil.NativeHelper.nativeGetSign --dump-args --dum-return

image-20220125151803309

输入是一个base64字符串，解码后是请求参数做个拼接。

接下来找找函数在哪个so里面，nativeInitBaseUtil看这函数名，应该是初始化的，查看用例

image-20220125150251992

com.zuoyebang.baseutil.a.a

image-20220125150416858

看来应该是在libbaseutil.so

so层

ida查看JNI_OnLoad

image-20220125150735443

image-20220125150811631

几个函数都找到了

image-20220125150909577

看看CRYMd5

image-20220125151008457

hook一下CRYMd5

function hook_md5() {
    var bptr = Module.findBaseAddress("libbaseutil.so");
    Interceptor.attach(bptr.add(0x2ae8), {
        onEnter: function(args) {
            console.log("md5-arg0: ", args[0].readCString());
        },
        onLeave: function(retval) {
            console.log("md5-ret:", retval.readCString(32));
        }
    })
}

image-20220125151533967

cyberchef验证是不是标准MD5

image-20220125165726612

多请求几次，发现objSpamServer.random_number，也就是cdAgblSOFM不变，说明它是个相对固定的值。

卸载app重装后，发现还是不变，说明和会话无关。

更换设备后，发现值改变了，说明该值和设备相关。

一个比较取巧也比较无奈的办法就是建立设备号和字符串的映射表，计算sign时选用对应的字符串即可。

unidbg实现

由于app只提供了64位的so，所以此次运行的是64位so。依旧是先搭个框架

public class Kuaidui extends AbstractJni {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final Module module;

    public static String pkgName = "com.kuaiduizuoye.scan";
    public static String apkPath = "unidbg-android/src/test/java/com/kuaidui/kuaidui540.apk";
    public static String soPath = "";

    public Kuaidui() {
        emulator = AndroidEmulatorBuilder.for64Bit().setProcessName(pkgName).build();
        Memory memory = emulator.getMemory();
        memory.setLibraryResolver(new AndroidResolver(23));
        vm = emulator.createDalvikVM(new File(apkPath));
        vm.setJni(this);
        vm.setVerbose(true);
        new AndroidModule(emulator, vm).register(memory);
        DalvikModule dm = vm.loadLibrary("baseutil", true);
        module = dm.getModule();
        dm.callJNI_OnLoad(emulator);
    }
    
    public static void main(String[] args) {
        Kuaidui test = new Kuaidui();
    }
}

image-20220125163430533

罕见的没有报错，那就开始调用。

public void call_sign() {
    List