某通 V2.2.12 逆向破解Vip线路

项目环境:

提示:不提供成品,仅供学习交流。

  • 目标Apk:某通V2.2.12
  • 其他工具:Frida 12.8.0、NP管理器、JADX、Fiddler

正文:

一.分析&动态修改

1.抓包

使用Fiddler对目标进行抓包,发现请求体存在加密部分,以4kA开头。

 

初步判断为base64加密。使用Frida对目标进行Hook。

var Base64Class = Java.use("android.util.Base64");
        Base64Class.encodeToString.overload("[B", "int").implementation = function(a,b){
 
            var StrCls = Java.use('java.lang.String');
            var OutStr = StrCls.$new(a);
 
            console.log("OutStr:"+ OutStr);
 
            var re =  this.encodeToString(a,b);       
            console.log(">>> Base64: " + re);
            return re;
        }

运行后,发现没有结果。说明该字段加密是另有方法。

没办法,直接Hook StringBuilder toString方法,通过字符串去定位。

var strCls = Java.use("java.lang.StringBuilder");
        strCls.toString.implementation = function(){
            var result = this.toString();
 
            if(result.toString().indexOf("4kA") >= 0 )
            {
                console.log(result.toString());                           
                        //打印堆栈
                var stack = threadinstance.currentThread().getStackTrace();
                console.log("Re call stack:" + Where(stack));
 
            }
            return result;
        }

打印结果

4kA1n8n-W0cpJ_YTL3FUVz2lLz2PFHL7uDipswFoFrCTLqj0LeFPFHLBuDMX2r1pJpA3zpFPFrn-2eFonHiP20cPFrnq2rL-S0TpJ_Y0V_WPFHldSH2pJpAsweFPFHi7s8nq2pFoJw7puDq1F_I75eAkWDM1F_IpL3WgLzFp5eA-ueFoVzW0V_YTJz10Vw7pWDVpJ_FPFrQZnkFoFHLBSwMZu8fB5rn7SpFPFrL-nkFoF17x90uV41nMS8-fshnomDqH4qqr9_in9inTDDtHDclInqq-sDnbVqdE4Hnnn_VlzclnSDtD43iTzNdDViWxchlV8UuZ9rIlLUnoWUfEDhLTnqRGnclnJD9H4ri-nqjkDinoSzuD80UP9q1MshU_SDlD8Xiq9_i-nc-TDzuEV0LrwrIk9eAR
Re call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
i3.x.b(:6)
b8.a.b(:8)
z8.c.h(:14)
m8.d$r.onClick(:2)
android.view.View.performClick(View.java:5637)
android.view.View$PerformClick.run(View.java:22429)
android.os.Handler.handleCallback(Handler.java:751)
android.os.Handler.dispatchMessage(Handler.java:95)
android.os.Looper.loop(Looper.java:154)
android.app.ActivityThread.main(ActivityThread.java:6121)
java.lang.reflect.Method.invoke(Native Method)
com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)

定位到i3.x.b,用Jadx反编译目标apk,搜索到该方法,可以发现入参是字符串,返回值是字符串。

在这里插入图片描述

用Frida objection插件,对i3.x.b进行Hook,App发送加密请求则触发。

android hooking watch class_method i3.x.b --dump-args --dump-backtrace --dump-return
(agent) [1e9vrk1qy8w] Called i3.x.b(java.lang.String)
(agent) [1e9vrk1qy8w] Backtrace:
        i3.x.b(Native Method)
        b8.a.b(:8)
        z8.c.h(:14)
        m8.d$r.onClick(:2)
        android.view.View.performClick(View.java:5637)
        android.view.View$PerformClick.run(View.java:22429)
        android.os.Handler.handleCallback(Handler.java:751)
        android.os.Handler.dispatchMessage(Handler.java:95)
        android.os.Looper.loop(Looper.java:154)
        android.app.ActivityThread.main(ActivityThread.java:6121)
        java.lang.reflect.Method.invoke(Native Method)
        com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
        com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)
 
(agent) [1e9vrk1qy8w] Arguments i3.x.b({"device":18xxxxxx57,"cpuabi":"x86_64","country":"CN","vip":false,"version":1626,"lang":"ZH","apiver":9,"uid":0,"rand":"48155","it":1662189961,"ac":2,"pkg":"com.xxxx.vpn","sig":"L3ClLzcymzQhfzAifzYgV1YTVxYkfYLhfYiif_2XJzfYf31MLYmkVx1xLxV0V3PlL_WkVz1lVxWMJXcxf_neLY9efzqif_2XVzm7V_mlVY9hmcmlV_AeV1ieJxY7J3cgJz2T"})
(agent) [1e9vrk1qy8w] Return Value: 4kA1n8n-W0cpJ_YTL3FUVz2lLz2PFHL7uDipswFoFrCTLqj0LeFPFHLBuDMX2r1pJpA3zpFPFrn-2eFonHiP20cPFrnq2rL-S0TpJ_Y0V_WPFHldSH2pJpAsweFPFHi7s8nq2pFoJw7puDq1F_I75eAkWDM1F_IpL3ClLzcp5eA-ueFoVzW0V_YTJz10Vw7pWDVpJ_FPFrQZnkFoFHLBSwMZu8fB5rn7SpFPFrL-nkFoF17xm0lV4HLMS8-fshnomDqH4qqr9_in9inTDDtHDclInqq-sDnbVqdE4Hnnn_VlzclnSDtD43iTzNdDViWxchlV8UuZ9rIlSinT9XUEDhLTnqRGnclnJD9H4ri-nqjkDinoSzuD80UP9q1MshU_SDlD8Xiq9_i-nc-TDzuEV0LrwrIk9eAR

在这里插入图片描述

可以发现与抓包结果相一致。

2.展示Vip列表

在上一步Hook i3.x.b过程中时,是点击app刷新按钮。通过注册免费赠送的一天Vip,可以发现刷新按钮,是用来请求Vip服务器列表的。

通过抓包可以发现,请求Vip服务器列表,响应体中也是以4kA开头,本地apk肯定需要解密它。

在这里插入图片描述

既然加密在i3.x.b中,那么解密是不是也在i3.x这个类呢?

直接用objection hook i3.x

android hooking watch class i3.x
(agent) [1gv2xiqsb6h] Called i3.x.b(java.lang.String)
(agent) [1gv2xiqsb6h] Called i3.x.b(java.lang.String)
(agent) [1gv2xiqsb6h] Called i3.x.a(java.lang.String)

发现除了调用了i3.x.b,还调用了i3.x.a

那就hook i3.x.a,看看它的参数值。

(agent) [e5k5hzxxs5v] Called i3.x.a(java.lang.String)
(agent) [e5k5hzxxs5v] Backtrace:
        i3.x.a(Native Method)
        b8.a.d()
        b8.a$c.invoke(:2)
        p7.a.f(:3)
        p7.a.e(:11)
        p7.a$c.run()
        java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1133)
        java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:607)
        java.lang.Thread.run(Thread.java:761)
 
(agent) [e5k5hzxxs5v] Arguments i3.x.a(4kAbWg9k2H9GuiR0n8 ...[不展开了])
(agent) [e5k5hzxxs5v] Return Value: [object Object]

可以发现参数值,与抓包结果相一致。

那么重点来了,在没有登录的情况下,通过将带有vip列表的返回值,修改为i3.x.a的参数值,就可以实现展现vip列表了。

3.修改Vip天数

在展现Vip列表后,我们随机点击一个服务器,发现会自动跳转到登录页面,一定是在检测是否是Vip。

通过查找字符串资源,可以找到显示vip天数的字符串。

<string name="iw">%d天</string>

Jadx搜索R.string.iw,可以发现该文本的%d,取之于r8.b.a这个方法。

在这里插入图片描述

通过对r8.b这个类进行hook,可以发现r8.b.a是返回vip天数,r8.b.b是判断是否为vip。

在这里插入图片描述

然后用Frida,对r8.b.a返回值修改为1,即可。

以上为动态修改方法。

二.静态修改

1.去签名校验

使用NP管理器的超强去除签名校验2.0,即可去除校验。

这里有一个巨坑,在后面踩到了。原因是lib文件夹中会多出一个libfuck.so文件,而发送获取vip服务器列表请求,会对lib文件夹的文件数量进行判断,导致请求一直发送不出去。

2.修改Vip天数

直接在r8.b.a中的smali代码,返回值永远返回1,即可。

3.修改请求地址

因为新安装打开的App,没有Vip列表,获取Vip服务器列表,需要从对方服务器获取。所以将带有Vip列表的响应保存起来,自己写个接口,将请求发送给自己的服务器即可。

通过Hook字符串定位,找到原获取Vip服务器列表请求的Url。

var strCls = Java.use("java.lang.StringBuilder");
       strCls.toString.implementation = function(){
           var result = this.toString();
 
           if(result.toString().indexOf("get_config_v9") >= 0 )
           {
               console.log(result.toString());
 
               var stack = threadinstance.currentThread().getStackTrace();
               console.log("Re call stack:" + Where(stack));
 
           }
           return result;
       }
https://xxxxx.xxxxxxxxxx.com/get_config_v9
Re call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
java.util.Formatter.toString(Formatter.java:2326)
java.lang.String.format(String.java:2670)
b8.a.b(:2)
z8.c.h(:14) a8.a.a .b
m8.d$r.onClick(:2)
android.view.View.performClick(View.java:5637)
android.view.View$PerformClick.run(View.java:22429)
android.os.Handler.handleCallback(Handler.java:751)
android.os.Handler.dispatchMessage(Handler.java:95)
android.os.Looper.loop(Looper.java:154)
android.app.ActivityThread.main(ActivityThread.java:6121)
java.lang.reflect.Method.invoke(Native Method)
com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)

发现该Url在b8.a.bString.format方法中生成。

在这里插入图片描述

查看smali代码,将v1的值改为修改的请求地址即可。

在这里插入图片描述

new-instance v7, Lp7/d;
 
const-string v1,"http://xxxxxx.com/xxx"
 
invoke-direct {v7, v0, v1}, Lp7/d;-><init>(Ljava/lang/Class;Ljava/lang/String;)V
 
sget-object v0, Lm7/a;->d:Lm7/a;

按道理来说,应该就可以了,结果我在这里卡了很长时间,就是遇到了之前的那个坑,请求发不出去。

那就看看原请求是怎么发送出去的。翻到之前打印的堆栈。

https://xxxxx.xxxxxxxx.com/get_config_v9
Rc Full call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
java.util.Formatter.toString(Formatter.java:2326)
java.lang.String.format(String.java:2670)
b8.a.b(:2)
z8.c.h(:14)
m8.d$r.onClick(:2)
...

通过一系列的hook发现,修改后的请求,可以触发z8.c.h,却触发不到b8.a.b,说明在z8.c.h遇到了某条件判断。

Jadx没有反编译出来,可以通过NP管理器查看。

np

通过hook可以发现l7.d.f是获取lib文件夹地址的。在下面的文件个数判断中,要将listFiles.length == 6改为listFiles.length == 7

发现下面有一个熟悉的方法,r8.b.b,这不是判断是否vip的方法嘛。

不管,先打包好,发送请求… … 失败… …

!r8.b.b()的smali改为r8.b.b(),发现成功发送请求。

最终完成了apk的破解!

三.总结

破解过程中总感觉有点晕,但是最后写文章整理了一下,发现其实很简单… …

这可能就是当局者迷,破局者清吧。

最后感谢奋飞大佬的指点,还有大佬的文章~

期间遇到的其他问题:

Q1:破解了半天破不出来,换个版本?
A1:换个版本发现更晕。
除非注明,否则均为呆小猴博客原创文章,转载必须以链接形式标明本文链接!付费资源为虚拟物品,一经出售,概不退款!
呆小猴 » 某通 V2.2.12 逆向破解Vip线路

发表回复

呆小猴 · 专注安全学习与分享

关于作者 联系作者