某车类软件登录逆向分析，初学者记录通杀过程！

loveqq520 · 发表于 2024-4-5 22:43

本帖最后由 loveqq520 于 2024-4-6 14:05 编辑

此次逆向分析过程复刻B站沐阳大佬的过程，视频链接：(https://www.bilibili.com/video/BV1uj411x7GV)

样本：6L2m5pm66LWiKw==（应用宝下载）
工具：JADX 1.4.4、Fiddler、MT管理器、APK Helper、frIDA 14、VS Code

一、初窥门径

1、安装好app，使用MT管理器提取安装包，发到电脑等待分析。手机配置好网络，电脑打开fiddler开始抓包

2、发现_sign、pwd、udid参数被加密了，再抓一次看看参数是否有变化

3、发现_sign、udid是变换的，pwd无变化，因为输入的密码是“a12345678”，其实这里已经猜到了是MD5加密

二、崭露头角

1、打开VSCode和frida，准备使用自吐脚本先梭哈一下

2、发现这里pwd果然是MD5加密，然后udid的值也被打印出来，跟本次抓包一致，还有一个_sign参数我们搜索一下，接下来继续进行分析

3、搜索到了，发现_sign也是MD5加密，我们继续分析明文的构成，因为其明文里有udid，所以直接拿sign开涮

4、拆分sign的明文发现其结构如下，其前后由一个固定的字符串W@oC!AH_6Ew1f6%8构成，唯一变化的是udid，那我们就可以直接分析udid了

三、略有小成

1、直接把apk扔进jadx分析，搜索udid，发现有很多处，这样一个个看效率太慢了，当然你也可以使用搜索技巧“‘udid“，但这次我们使用一个新的方法，堆栈定位

2、可以看到使用了3des加密，继续在jadx搜这个类进去看

3、按x查看交叉引用，可以看到第一个参数是context，这个其实是key，然后是第二个参数是获取手机IMEI，这个参数是不变的，追踪进去发现是sharepreference，其实可以在手机文件里查看

4、追踪进去可以看见IMEI，对比发现一致，这里惊喜注意到KEY_DEVICE_ID也跟最后一个参数一样的

5、第三个参数变化的那个是nanoTime，是从开机到目前时间的时间差，至此加密参数已经分析完，最后感谢沐阳大佬给的自吐脚本

AndroidStudy · 发表于 2024-4-7 12:57

吾爱的编辑器上传图片功能全世界第一难用，没人反驳吧。

loveqq520 · 发表于 2024-4-6 12:56

wuaitomyty 发表于 2024-4-6 09:18
图片失效了，只能盲猜楼主过程。

我人都快麻了，发个贴子太难了，一直在改，就是编辑好提交就显示帖子已被删除或正在审核，改不成，多次修改直接封我IP进不去论坛，我又搞了个图床，不会插，看版主教程，他的演示图片也挂了

kof21411 · 发表于 2024-4-5 22:56

朋友，你的图片全部掉了

loveqq520 · 发表于 2024-4-5 23:01

kof21411 发表于 2024-4-5 22:56
朋友，你的图片全部掉了

好的，我用md做的笔记，发个贴太慢了，改帖子改的突然491给我禁止了，我也不知道咋回事

怜渠客 · 发表于 2024-4-5 23:02

确实，如果导入MD的时候，能自动把图片一起上传就好了，希望论坛编辑器能改进一下

991547436 · 发表于 2024-4-6 00:10

图片不对

kldsj · 发表于 2024-4-6 07:39

过程很详细，就是看不到图片，可惜了！

wuaitomyty · 发表于 2024-4-6 09:18

图片失效了，只能盲猜楼主过程。

忧郁之子 · 发表于 2024-4-6 09:31

图片挂了太尴尬了

cjy2323 · 发表于 2024-4-6 10:03

啥呀，都看不到

w135684779 · 发表于 2024-4-6 10:32

没有图片

帐号		自动登录	找回密码
密码			注册[Register]

[Android 原创] 某车类软件登录逆向分析，初学者记录通杀过程！