小程序泡泡玛特小程序解包

hybpjx 发表于 2024-5-16 17:13

# 前言

最近看到泡泡玛特很火啊，于是就跟风研究一下。在逆向的时候发现很有意思啊，回到了过去小程序解包反编译的时候，于是心血来潮，写一篇文章来记录一下。

# 目标网站

!(https://s2.loli.net/2024/05/16/tcXqZYISNRBbdpv.png)

我们用pc版打开，它会提示如下:

!(https://s2.loli.net/2024/05/16/ftJ2vPu7oFD6lYW.png)

现在我们用手机加载小程序，小程序的路径在`/data/data/com.tencent.mm/MicroMsg/appbrand/pkg/general/`

!(https://s2.loli.net/2024/05/16/8zhimdYDvcCj9KU.png)

接下来我们使用adb 的pull命令把文件全部拉取过来

由于手机上的wxapkg的包是不需要进行解密的，所以我们可以直接用unveilr.exe 进行解包

!(https://s2.loli.net/2024/05/16/FofPdtLaUugxSr9.png)

接下来我们手动把他复制到同一个文件夹中，之后我们就可以把他弄到微信开发者工具进行反编译了调试代码了。

!(https://s2.loli.net/2024/05/16/tF62A4mYCE8nTQD.png)

# 修复小程序

我这里已经导入过了，所以直接打开就可以，接下来进行一些简单的修复和补充，**简单来说就是什么报错就把什么给删掉**。

像这种plugins下的我们可以全部删除就好，因为我们是没权限去调用他的插件应用的。

!(https://s2.loli.net/2024/05/16/J6s1TkBERZGFcyt.png)

修复完之后，发现出现很多关于渲染层网络的错误啊，这个我们没办法解决，因为我们不是开发者，没有具备配置request合法域名的权限。我们就只能碰运气，不停的去更换加载页面，哪怕是请求无法发出，因为他的参数是在本地生成的，只要碰到能生成的sign和x-sign的接口，我们就可以逆向了。

经过不懈的努力，我们找到了这个页面

!(https://s2.loli.net/2024/05/16/rOUk31IDXla6KsL.png)

触发的条件就是搜索的接口

!(https://s2.loli.net/2024/05/16/J4WdSpxe5oTwrC7.png)

# 参数分析

## X-Sign

全局搜索只有一处，我们点进去，然后下好断点，重新搜索触发

!(https://s2.loli.net/2024/05/16/v8oLTSBMwJkChNy.png)

发现成功断住，接着我们来分析怎么生成的

```javascript
r["X-Sign"] = "".concat((0,
               u.default)("".concat(c, ",").concat(null === o || void 0 === o || null === (a = o.login) || void 0 === a ? void 0 : a.client_key)), ",").concat(c)

```

!(https://s2.loli.net/2024/05/16/6qwc42klpy78DBG.png)

由图上，我们知道的信息是可能是一个32的md5，应该是13位时间戳拼接一个client_key然后在md5,不知道哪里得到原因导致我们的client_key是undefined，所以我们只能找来源了

我这里不卖关子了，直接说明了，他不是本地生成的，他是调用的函数，返回的client_key，我们直接重新进入网络，在查尔斯或者其他抓包工具中去搜索client_key

!(https://s2.loli.net/2024/05/16/5P18gDLpevG2d9j.png)

我这里的值4ejk2eqvpbwgxi3wj，每个人肯定是不同的，我们去验证一下我们的猜想是否正确

!(https://s2.loli.net/2024/05/16/b7FiRzo1LQK8JUV.png)

完全正确，所以我们知道了，x-sign的算法就是 13位时间戳拼接,在拼接函数的client_key在拼接,拼接13位时间戳

代码格式写一下就是

```
def md5(enc_str):
m = hashlib.md5()
m.update(enc_str.encode("utf-8"))
return m.hexdigest()
time_now = str(int(time.time()*1000))
x-sign = md5(time_now+","+"4ejk2eqvpbwgxi3wj")+","+time_now
```

## sign

很明显sign加密就在下面，我们断点然后进去然后刷新

!(https://s2.loli.net/2024/05/16/1BKNJAXCxOigZR8.png)

点进去sign方法映入眼帘的就是md5然后拼接，我们断点后逐步分析。
!(https://s2.loli.net/2024/05/16/LVtHh25c8AkPXMO.png)

其他的都能读懂，难点主要在buildQueryString的作用，我们点进去看一下

!(https://s2.loli.net/2024/05/16/FPCuYcizZyKnR7V.png)

其实也很直白，就是键值对大小写排序，然后把键值用=连接，各个键值对末尾拼接一个&

其实看下图也能明白他的作用

!(https://s2.loli.net/2024/05/16/e36Yh84RmrMLdfx.png)

所以我们就懂了，整体加密就是把请求的url中的参数经过buildQueryString之后，最后末尾在拼接一个&noceStr=boxonline 进行大写的md5即可，我们验证一下

!(https://s2.loli.net/2024/05/16/4p2zVmBcoEOCvAQ.png)

!(https://s2.loli.net/2024/05/16/e8ow6jldib1BZ3P.png)

转化一下代码就是

```python
def process_event(e):

# 过滤掉特定的键和空值或未定义的值
filtered_keys = is not None and str(e) != "" and t not in ["session_id", "sign", "charset", "signType", "v"]]
# 对键进行排序
sorted_keys = sorted(filtered_keys)

# 将键值对转换为字符串，如果是对象则JSON序列化
def serialize_value(t):
   r = e
   if isinstance(r, (dict, list)):# 假设'object'对应于Python中的字典或列表
         return f"{t}={json.dumps(r,ensure_ascii=False,separators=(',', ':'))}"
   else:
         return f"{t}={r}"

# 使用map将处理函数应用于排序后的键，然后使用join连接结果
result = "&".join(map(serialize_value, sorted_keys))
return result

data = {"ts":1715842921746}
sign =md5(process_event(data)+"&noceStr=boxonline").upper()
print(sign)
data['sign'] = sign
```

结果也是没问题的，至此关于泡泡玛特的两个参数都分析完毕。

# 结尾

由于我没需求，就不写一些代码进行验证了，自己梳理一下，其实也是很简单的东西，整体过程并不是很难，重在耐心。

mychose 发表于 2024-5-16 19:06

不错的分析，支持作者

DJxiaojun 发表于 2024-8-9 00:35

我的小程序导入修复完之后页面都是空白看不到搜索大佬你是怎么看到搜索的？还有这个sign是怎么定位的可以教教吗

xiaotian847 发表于 2024-5-16 17:15

值得推荐

xxcs373 发表于 2024-5-16 17:37

背景美女壁纸分享一下

xixicoco 发表于 2024-5-16 18:17

不错的分析，支持作者

q12569463 发表于 2024-5-16 18:26

不错的分析，支持作者

Scan 发表于 2024-5-16 19:19

工具发出来吧，楼主，写的不错

笨蛋蛋 发表于 2024-5-16 21:26

主要是云函数抓不到包吧

wasm2023 发表于 2024-5-16 21:34

云函数是难点

handicap 发表于 2024-5-16 21:34

有点意思，通过这种方式拼接的，感谢分享

页: [1] 2 3 4 5 6 7 8 9 10

吾爱破解 - 52pojie.cn's Archiver

小程序泡泡玛特小程序解包