当前位置：呆小猴 > 安全 > Android > 某通 V2.2.12 逆向破解Vip线路

某通 V2.2.12 逆向破解Vip线路

2022-10-13 分类：Android 热度：636 评论： 0

项目环境：

提示:不提供成品，仅供学习交流。

  • 目标Apk：某通V2.2.12
  • 其他工具：Frida 12.8.0、NP管理器、JADX、Fiddler

正文：

一.分析&动态修改

1.抓包

使用Fiddler对目标进行抓包，发现请求体存在加密部分，以4kA开头。

 

初步判断为base64加密。使用Frida对目标进行Hook。

var Base64Class = Java.use("android.util.Base64");
        Base64Class.encodeToString.overload("[B", "int").implementation = function(a,b){
 
            var StrCls = Java.use('java.lang.String');
            var OutStr = StrCls.$new(a);
 
            console.log("OutStr："+ OutStr);
 
            var re =  this.encodeToString(a,b);       
            console.log(">>> Base64： " + re);
            return re;
        }

运行后，发现没有结果。说明该字段加密是另有方法。

没办法，直接Hook StringBuilder toString方法，通过字符串去定位。

var strCls = Java.use("java.lang.StringBuilder");
        strCls.toString.implementation = function(){
            var result = this.toString();
 
            if(result.toString().indexOf("4kA") >= 0 )
            {
                console.log(result.toString());                           
                        //打印堆栈
                var stack = threadinstance.currentThread().getStackTrace();
                console.log("Re call stack:" + Where(stack));
 
            }
            return result;
        }

打印结果

4kA1n8n-W0cpJ_YTL3FUVz2lLz2PFHL7uDipswFoFrCTLqj0LeFPFHLBuDMX2r1pJpA3zpFPFrn-2eFonHiP20cPFrnq2rL-S0TpJ_Y0V_WPFHldSH2pJpAsweFPFHi7s8nq2pFoJw7puDq1F_I75eAkWDM1F_IpL3WgLzFp5eA-ueFoVzW0V_YTJz10Vw7pWDVpJ_FPFrQZnkFoFHLBSwMZu8fB5rn7SpFPFrL-nkFoF17x90uV41nMS8-fshnomDqH4qqr9_in9inTDDtHDclInqq-sDnbVqdE4Hnnn_VlzclnSDtD43iTzNdDViWxchlV8UuZ9rIlLUnoWUfEDhLTnqRGnclnJD9H4ri-nqjkDinoSzuD80UP9q1MshU_SDlD8Xiq9_i-nc-TDzuEV0LrwrIk9eAR
Re call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
i3.x.b(:6)
b8.a.b(:8)
z8.c.h(:14)
m8.d$r.onClick(:2)
android.view.View.performClick(View.java:5637)
android.view.View$PerformClick.run(View.java:22429)
android.os.Handler.handleCallback(Handler.java:751)
android.os.Handler.dispatchMessage(Handler.java:95)
android.os.Looper.loop(Looper.java:154)
android.app.ActivityThread.main(ActivityThread.java:6121)
java.lang.reflect.Method.invoke(Native Method)
com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)

定位到i3.x.b，用Jadx反编译目标apk，搜索到该方法，可以发现入参是字符串，返回值是字符串。

用Frida objection插件，对i3.x.b进行Hook，App发送加密请求则触发。

android hooking watch class_method i3.x.b --dump-args --dump-backtrace --dump-return

(agent) [1e9vrk1qy8w] Called i3.x.b(java.lang.String)
(agent) [1e9vrk1qy8w] Backtrace:
        i3.x.b(Native Method)
        b8.a.b(:8)
        z8.c.h(:14)
        m8.d$r.onClick(:2)
        android.view.View.performClick(View.java:5637)
        android.view.View$PerformClick.run(View.java:22429)
        android.os.Handler.handleCallback(Handler.java:751)
        android.os.Handler.dispatchMessage(Handler.java:95)
        android.os.Looper.loop(Looper.java:154)
        android.app.ActivityThread.main(ActivityThread.java:6121)
        java.lang.reflect.Method.invoke(Native Method)
        com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
        com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)
 
(agent) [1e9vrk1qy8w] Arguments i3.x.b({"device":18xxxxxx57,"cpuabi":"x86_64","country":"CN","vip":false,"version":1626,"lang":"ZH","apiver":9,"uid":0,"rand":"48155","it":1662189961,"ac":2,"pkg":"com.xxxx.vpn","sig":"L3ClLzcymzQhfzAifzYgV1YTVxYkfYLhfYiif_2XJzfYf31MLYmkVx1xLxV0V3PlL_WkVz1lVxWMJXcxf_neLY9efzqif_2XVzm7V_mlVY9hmcmlV_AeV1ieJxY7J3cgJz2T"})
(agent) [1e9vrk1qy8w] Return Value: 4kA1n8n-W0cpJ_YTL3FUVz2lLz2PFHL7uDipswFoFrCTLqj0LeFPFHLBuDMX2r1pJpA3zpFPFrn-2eFonHiP20cPFrnq2rL-S0TpJ_Y0V_WPFHldSH2pJpAsweFPFHi7s8nq2pFoJw7puDq1F_I75eAkWDM1F_IpL3ClLzcp5eA-ueFoVzW0V_YTJz10Vw7pWDVpJ_FPFrQZnkFoFHLBSwMZu8fB5rn7SpFPFrL-nkFoF17xm0lV4HLMS8-fshnomDqH4qqr9_in9inTDDtHDclInqq-sDnbVqdE4Hnnn_VlzclnSDtD43iTzNdDViWxchlV8UuZ9rIlSinT9XUEDhLTnqRGnclnJD9H4ri-nqjkDinoSzuD80UP9q1MshU_SDlD8Xiq9_i-nc-TDzuEV0LrwrIk9eAR

可以发现与抓包结果相一致。

2.展示Vip列表

在上一步Hook i3.x.b过程中时，是点击app刷新按钮。通过注册免费赠送的一天Vip，可以发现刷新按钮，是用来请求Vip服务器列表的。

通过抓包可以发现，请求Vip服务器列表，响应体中也是以4kA开头，本地apk肯定需要解密它。

既然加密在i3.x.b中，那么解密是不是也在i3.x这个类呢？

直接用objection hook i3.x。

android hooking watch class i3.x

(agent) [1gv2xiqsb6h] Called i3.x.b(java.lang.String)
(agent) [1gv2xiqsb6h] Called i3.x.b(java.lang.String)
(agent) [1gv2xiqsb6h] Called i3.x.a(java.lang.String)

发现除了调用了i3.x.b，还调用了i3.x.a。

那就hook i3.x.a，看看它的参数值。

(agent) [e5k5hzxxs5v] Called i3.x.a(java.lang.String)
(agent) [e5k5hzxxs5v] Backtrace:
        i3.x.a(Native Method)
        b8.a.d()
        b8.a$c.invoke(:2)
        p7.a.f(:3)
        p7.a.e(:11)
        p7.a$c.run()
        java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1133)
        java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:607)
        java.lang.Thread.run(Thread.java:761)
 
(agent) [e5k5hzxxs5v] Arguments i3.x.a(4kAbWg9k2H9GuiR0n8 ...[不展开了])
(agent) [e5k5hzxxs5v] Return Value: [object Object]

可以发现参数值，与抓包结果相一致。

那么重点来了，在没有登录的情况下，通过将带有vip列表的返回值，修改为i3.x.a的参数值，就可以实现展现vip列表了。

3.修改Vip天数

在展现Vip列表后，我们随机点击一个服务器，发现会自动跳转到登录页面，一定是在检测是否是Vip。

通过查找字符串资源，可以找到显示vip天数的字符串。

<string name="iw">%d天</string>

Jadx搜索R.string.iw，可以发现该文本的%d，取之于r8.b.a这个方法。

通过对r8.b这个类进行hook，可以发现r8.b.a是返回vip天数，r8.b.b是判断是否为vip。

然后用Frida，对r8.b.a返回值修改为1，即可。

以上为动态修改方法。

二.静态修改

1.去签名校验

使用NP管理器的超强去除签名校验2.0，即可去除校验。

这里有一个巨坑，在后面踩到了。原因是lib文件夹中会多出一个libfuck.so文件，而发送获取vip服务器列表请求，会对lib文件夹的文件数量进行判断，导致请求一直发送不出去。

2.修改Vip天数

直接在r8.b.a中的smali代码，返回值永远返回1，即可。

3.修改请求地址

因为新安装打开的App，没有Vip列表，获取Vip服务器列表，需要从对方服务器获取。所以将带有Vip列表的响应保存起来，自己写个接口，将请求发送给自己的服务器即可。

通过Hook字符串定位，找到原获取Vip服务器列表请求的Url。

var strCls = Java.use("java.lang.StringBuilder");
       strCls.toString.implementation = function(){
           var result = this.toString();
 
           if(result.toString().indexOf("get_config_v9") >= 0 )
           {
               console.log(result.toString());
 
               var stack = threadinstance.currentThread().getStackTrace();
               console.log("Re call stack:" + Where(stack));
 
           }
           return result;
       }

https://xxxxx.xxxxxxxxxx.com/get_config_v9
Re call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
java.util.Formatter.toString(Formatter.java:2326)
java.lang.String.format(String.java:2670)
b8.a.b(:2)
z8.c.h(:14) a8.a.a .b
m8.d$r.onClick(:2)
android.view.View.performClick(View.java:5637)
android.view.View$PerformClick.run(View.java:22429)
android.os.Handler.handleCallback(Handler.java:751)
android.os.Handler.dispatchMessage(Handler.java:95)
android.os.Looper.loop(Looper.java:154)
android.app.ActivityThread.main(ActivityThread.java:6121)
java.lang.reflect.Method.invoke(Native Method)
com.android.internal.os.ZygoteInit$MethodAndArgsCaller.run(ZygoteInit.java:889)
com.android.internal.os.ZygoteInit.main(ZygoteInit.java:779)

发现该Url在b8.a.b的String.format方法中生成。

查看smali代码，将v1的值改为修改的请求地址即可。

new-instance v7, Lp7/d;
 
const-string v1,"http://xxxxxx.com/xxx"
 
invoke-direct {v7, v0, v1}, Lp7/d;-><init>(Ljava/lang/Class;Ljava/lang/String;)V
 
sget-object v0, Lm7/a;->d:Lm7/a;

按道理来说，应该就可以了，结果我在这里卡了很长时间，就是遇到了之前的那个坑，请求发不出去。

那就看看原请求是怎么发送出去的。翻到之前打印的堆栈。

https://xxxxx.xxxxxxxx.com/get_config_v9
Rc Full call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
java.lang.Thread.getStackTrace(Thread.java:1566)
java.lang.StringBuilder.toString(Native Method)
java.util.Formatter.toString(Formatter.java:2326)
java.lang.String.format(String.java:2670)
b8.a.b(:2)
z8.c.h(:14)
m8.d$r.onClick(:2)
...

通过一系列的hook发现，修改后的请求，可以触发z8.c.h，却触发不到b8.a.b，说明在z8.c.h遇到了某条件判断。

Jadx没有反编译出来，可以通过NP管理器查看。

通过hook可以发现l7.d.f是获取lib文件夹地址的。在下面的文件个数判断中，要将listFiles.length == 6改为listFiles.length == 7。

发现下面有一个熟悉的方法，r8.b.b，这不是判断是否vip的方法嘛。

不管，先打包好，发送请求… … 失败… …

把!r8.b.b()的smali改为r8.b.b()，发现成功发送请求。

最终完成了apk的破解！

三.总结

破解过程中总感觉有点晕，但是最后写文章整理了一下，发现其实很简单… …

这可能就是当局者迷，破局者清吧。

最后感谢奋飞大佬的指点，还有大佬的文章~

期间遇到的其他问题：

Q1：破解了半天破不出来，换个版本？
A1：换个版本发现更晕。
除非注明，否则均为呆小猴博客原创文章，转载必须以链接形式标明本文链接！付费资源为虚拟物品，一经出售，概不退款！
呆小猴 » 某通 V2.2.12 逆向破解Vip线路
呆小猴

呆小猴

分享到：

相关推荐

发表回复

呆小猴 · 专注安全学习与分享

关于作者 联系作者