一个伪装成”QQ厘米秀自动抢”的锁机样本分析

youjianfeidao

【文章作者】: youjianfeidao
【软件名称】: 厘米秀自动送花抢胶囊V3.1.7
【软件大小】: 3.85M
【下载地址】: 链接: http://pan.baidu.com/s/1qXNYbVI 密码: n36h（文件解压密码52pojie）
【加壳方式】: 未加壳
【编写语言】: java
【使用工具】: androidkiller，逍遥模拟器
【操作平台】: 安卓平台
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
现在应该很多人在玩厘米秀，我也是其中一员，哈哈，所以为了厘米秀的秀友，我就分析了下这个冒充厘米秀的锁机。

【详细过程】

把软件拖入模拟器中打开，
首先这软件会让你激活设备管理器，并且把app名字弄得老长，应该是为了隐藏激活设备管理器出现的警告信息。
可能有人为了急切使用软件或者不明白设备管理器的重要性，稍不注意就会激活了。

真正的警告信息需要一直往下拉才能看到

激活之后手机就会立即被锁，出现下面这个界面，
根据我后面代码的分析，这时也把PIN锁换了。

好了，接下来开始分析代码，
把软件直接拖到androidkill里，
看看Java源码，
这软件应该是手机端AIDE写的。

主类以M命名，好像大部分锁机都是这样的，应该是同一伙人干的，


软件一开始立即调用开启设备管理器的类“myadmin”，

我们进myadmin看看
发现在这个类的
onPasswordChanged中直接重置了pin密码为1999

并且在这类的onEnabled中又跳转到了s类中

接下来进s类中看看

根据那个密码验证语句，确定那个passw就是存放的加密后的密码文件，然后通过decrypt方法解密与输入密码比较。
再往下看了看，在oncreate中找到了生成密码的代码

序 列 号是pass，生成方法是调用了随机函数Math.random()
密码就是（序 列 号+1999）*2
接下来总结下软件流程
首先软件打开请求激活设备管理器，激活之后置换pin密码，然后设置全局悬浮窗，并设置第二重密码。置换pin密码的目的应该是为了软件打开做缓冲，因为在手机重启后，开机自启的软件并不是立即执行的，还有一个是在软件后台服务被某些软件停止后强行重启自身服务做缓冲。
刚看了下  Hoimk  的那个锁机样本，核心代码跟我这个一模一样，应该是出自一人之手，只不过密码的算法稍微改了下数，并去除了root部分的代码，应该是专为无root用户打造的。

--------------------------------------------------------------------------------
【版权声明】: 本文原创于youjianfeidao, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2016年06月27日 14:26:52

youjianfeidao

无心丶 发表于 2016-6-28 15:27
大神帮忙看下我的  刚被锁跟你这个差不多   样本链接：http://pan.baidu.com/s/1hsqECvi

链接取消了，这类软件最好设置下解压密码再上传

lyx1104

CH_2014 发表于 2016-6-27 14:49
表示手机从不root，因为我是vivo党

蓝绿大厂 谢绝还价。  百元机的处理器 卖3K  。  不知道蓝绿大厂用户都是咋想的。

Aliman

楼主干的漂亮，抵制锁机狗从我做起！

Death死神

膜拜大神  前排出售瓜子可乐

a348188312

看技术中·2·····

CH_2014

表示手机从不root，因为我是vivo党

z120813918

链接挂了！

youjianfeidao

z120813918 发表于 2016-6-27 14:51
链接挂了！

链接已补

LOVE_TT

发个样本{:1_916:}

z120813918

链接又挂了..

lf1169210280

大神你号厉害 就是我看不懂代码啥的  哎