隽空头条

嘟嘟牛在线登陆加密分析-RPC调用

2024-10-10 17:08 由 思念思乡 发表于 #其他

加密参数
JADX反编译后搜索代码
user/login

基本可以确定就是从这里发起网络请求
跟进

addRequestMap
方法分析

这一看逻辑就清晰了
先添加一个时间戳，在对sign进行加密后在调用encodeDesMap进行加密
最后put到请求中
先分析

encodeDesMap


有KEY和IV，不是AES就是DES加密
encrypt64




DES加密后在Base64加密
那么data就是明文了，hook这个方法取到参数

let RequestUtil = Java.use("com.dodonew.online.http.RequestUtil");
        RequestUtil["encodeDesMap"].overload('java.lang.String', 'java.lang.String', 'java.lang.String').implementation = function (data, desKey, desIV) {
            console.log("**********获取DES明文**********");
            console.log(`参数明文----> ${data}, desKey= ${desKey}, desIV= ${desIV}`);
            let result = this["encodeDesMap"](data, desKey, desIV);
            console.log(`参数加密结果----> ${result}`);
            return result;
        };


与抓包结果一样，这样明文就拿到了。
sign分析，回到刚刚那个传递sign参数的那个函数


字符串最后拼接了一个key后在进行md5加密，
hook一下md5这个函数


很明显，拼接除了sign参数其余全部在添加一个key=sdlkjsdljf0j2fsjk 的最终字符串在进行md5加密。
这样sign与参数加密都分析完了。

RPC

from fastapi import FastAPI, Query
from fastapi.responses import JSONResponse
import frida
import uvicorn

# 创建FastAPI实例
app = FastAPI()

# 定义固定的 key 和 iv
FIXED_KEY = "65102933"
FIXED_IV = "32028092"


# 定义一个GET请求的路由:/decrpyt
@app.get("/decrypt")
def decrypt(encryptedData: str = Query(..., description="The encrypted data to be decrypted")):
    # 处理掉加密数据中的空格和换行符,不然解密函数无法正常解密
    encryptedData = encryptedData.replace(' ', '').replace('\\n', '')

    # 定义处理frida消息的回调函数
    def on_message(message, data):
        if message['type'] == 'send':
            print('[* message]', message['payload'])
        elif message['type'] == 'error':
            print('[!] error:', message['stack'])

    jsCode = """
    rpc.exports = {
        getDecryptInfo: function(encryptedData, key, iv) {
            var result = '';
            Java.perform(function(){
                var RequestUtil = Java.use("com.dodonew.online.http.RequestUtil");
                var instance = RequestUtil.$new();
        
                try {
                    console.log("encryptedData: " + encryptedData);
                    var decodedResult = instance.decodeDesJson(encryptedData, key, iv);
                try {
                    result = JSON.parse(decodedResult);
                } catch (e) {
                    console.log("Result is not valid JSON:", decodedResult);
                    result = decodedResult;
                }
            } catch (e) {
                console.log("调用 decodeDesJson 失败: " + e);
            }
            });
            return result;
        }
    };
    """
    process = frida.get_usb_device().attach('嘟嘟牛在线')
    script = process.create_script(jsCode)
    script.on('message', on_message)
    script.load()

    # 调用 Frida 的 RPC 方法，将 API 请求者传递的 jsonData 和固定的 key, iv 发送到 Frida
    getDecryptData = script.exports.get_decrypt_info(encryptedData, FIXED_KEY, FIXED_IV)
    return JSONResponse({'result': getDecryptData})


# 主入口，运行FastAPI应用
if __name__ == "__main__":
    uvicorn.run(app, host="127.0.0.1", port=50000)