Android逆向入门：某点中文app网络请求参数分析

ablist97

前言

前段时间终于有了吾爱的账号，后得知长时间不活跃的会被回收账号，遂抽出时间来发一贴……文章深度自然无法与吾爱的各位大佬相比，遂定位于“入门贴”。

为什么会想到这个题材呢，因为我之前的毕设是在线小说阅读器，而我又实在不想搭后台，爬数据，就想着能不能用某中文网的服务器数据。

阅读须知

本文所有内容仅供个人学习交流，严禁用于其它用途。

本文所含知识点：

• Fiddler 使用
• jadx 使用
• Xposed 模块编写
• IDA 使用
• 动态代{过}{滤}理

Fiddler 抓包

既然想拿到服务器的数据，第一件事肯定就是抓包分析一下它的网络请求参数，然后仿照它的格式构造我们自己的请求。抓包的工具有很多，我这里使用的是 Fiddler。下面简单介绍一下怎么用 Fiddler 抓移动端的包。

1. 打开 Fiddler，在上面的工具条那里点击 Tools-Options，然后切换到 https 选项卡，选中下面几项。
   • Capture HTTPS CONNECTs：捕获 https 连接；
   • Decrypt HTTPS traffic：解密 https 连接；
   • Ignore server certificate errors(unsafe)：忽略证书错误；

如果手机是第一次抓包，需要点击上面的 Actions，选择 Export Root Certificate to Desktop 将 Fiddler 自己的证书导出到桌面，然后推到手机里安装这个证书，否则手机不认可这个证书，抓 https 会失败。

之后选中Connections选项卡，如下图勾选。

• Fiddler listens on port：Fiddler 监听端口
• Allow remote computers to connect：允许远程主机连接（即我们自己的手机）。

2. 将电脑和手机置于同一个局域网下。如果是同一个 WIFI，只要路由器没有开 AP 隔离就可以。如果不行，就打开电脑的移动热点，然后把手机连接到这个热点。我这里选择第二种。

3. 查看电脑 IP。这个很简单啊，直接打开 cmd 执行 ipconfig，然后找到 ipv4 地址（通常有多个网络适配器，要选哪个要具体情况具体分析，实在不行就一个个试嘛）。
   

4. 手机连接电脑的热点。 代{过}{滤}理一项选择手动，服务器主机名一项输入上面的 ip 地址，端口号输入8888。连接成功之后，不出意外的话，手机端的所有请求都能被 Fiddler 捕获到了。

   • 注意：如果条件允许，请使用 Android 7.0 以下的 ROM，因为 Android 7 开始添加了对用户证书的限制，此时需要安装一个 just trust me 的 xposed 模块。

5. 清空 Fiddler 面板的所有连接，打开某中文应用，此时会有一大串连接，具体是哪个就要有点耐心找找了。我这里以广场内容示例，抓到的网络响应如图所示。
   

请求参数分析

看起来比较奇怪的东西就是：QDSign，QDInfo，AegisSign这三个参数。怎么看出来的呢，如果是一大串不明意义的字符，有很大概率是我们需要逆向的。但注意是“很大概率”，不一定全部都是。有的字符串是写死的，只要是同一设备，这个值就一样，那我们就没必要研究它到底是怎么得来的，直接“拿来主义”拿来用就好了，比如上面的 appId，qimei 等。这个参数每次都不一样，就必须打开 apk 看看是怎么得到的。

jadx 逆向 apk

这个 apk 内含有 4 个 dex 文件，如果直接用 jadx 反编译，很大概率会卡死，所以先试试把第一个 classes.dex 拖进去。文本搜索 "QDSign"，运气很好，只有一个结果，直接点进去。

可以看到，我们需要的全部三个参数都在这里定义。接下来就分别就这三个参数详细分析。

QDInfo

jadx 支持直接跳转，即按住 Ctrl + 鼠标左键跳转。如果像上图一样出现了类的全名或跳转不进，说明这个函数在另一个 dex 里。一步步跟进去看看。

可以看到随后又调用了另一个函数，其中一个参数是 B()。先不管这个 B()，跟进去看看。

看到这里，有经验的小伙伴应该能一眼看出来了，没错，就是一个非常典型的 DES 加密。jadx 反编译效果很好，直接拷贝到我们的项目中就可以了。接下来再看上面那个 B()。

似乎是将一些变量拼接成字符串。我们直接文本搜索 this.l =，发现这玩意似乎和 uuid 有关系。

到此差不多就可以明白了，这个类应该是记录 uuid，imei 这类信息的。既然如此，有必要弄明白这些变量到底是什么意思吗？答案是否定的，还是那句话，我们不需要知道它是怎么来的，只要知道怎么用就行。这里我们直接上万能的 Xposed 大法，hook 掉这个函数，看看到底返回了什么信息。

package com.ablist97.xqdreader.core;

import de.robv.android.xposed.IXposedHookLoadPackage;
import de.robv.android.xposed.XC_MethodHook;
import de.robv.android.xposed.XposedBridge;
import de.robv.android.xposed.XposedHelpers;
import de.robv.android.xposed.callbacks.XC_LoadPackage;

public class MainHook implements IXposedHookLoadPackage {
    private static final String TAG = "MainHook";

    private static final String PACKAGE_NAME = "com.qidian.QDReader";

    @Override
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam param) throws Throwable {
        XposedBridge.log("handleLoadPackage: " + param.packageName);

        if (! PACKAGE_NAME.equals(param.packageName)) {
            return;
        }

        XposedHelpers.findAndHookMethod("com.qidian.QDReader.core.config.c",
                param.classLoader,
                "B",
                new XC_MethodHook() {
                    @Override
                    protected void afterHookedMethod(MethodHookParam param) throws Throwable {
                        XposedBridge.log("afterHookedMethod: " + param.getResult());
                    }
                });
    }
}

对于 Xposed 不太熟悉的小伙伴可以百度一下，相关内容非常多。我这里使用的是 VirtualXposed，更新模块后不用重启，非常方便。看一下打印出的 log：

结合这份 log，应该可以猜得出上面那一串是什么东西，无非就是版本名，版本号，imei，uuid，屏幕分辨率一类的。

QDSign

老规矩，直接跳进去看看。

这里的逻辑比较清楚，根据网络请求的不同跳转到了不同的逻辑，我们这里进 GET 分支看看。

大致逻辑就是将传进来的 url 分割得到请求参数，然后再进一步分割，塞进 TreeMap 里排序。值得注意的是图中的第 85 行，调用 c.signParams 函数，返回了一个字节数组，看起来像是加密操作。我们跟进去看看。

果不其然，是一个 native 函数。重要的逻辑放到 native 层，这里要表扬一下。从上面的 static 块可以看到它加载了 c-lib 这个库，我们直接用 IDA 打开。

这里又有一个小技巧，对于 JNI 函数，我们一般使用 JNIEXPORT 将符号导出，此时它肯定在 Exports 窗口。javah 自动生成的函数名是 Java_类名_函数名_参数 这种格式的，比如 Java_com_ablist97_xqdreader_core_main_hook，非常好辨认。如果没有，说明可能使用了动态绑定，我们去 JNI_OnLoad 函数里看看，直接 F5 转伪代码。

第一眼看上去非常复杂，这都什么跟什么呀。实际上是 IDA 参数自动推导的问题。鼠标移动到 a1 处，我们都知道实际上是个 JavaVM* 类型，按下 Y 键修正数据类型。

跳转到 off_5004 查看。

直接双击，进入 j_s()函数，F5转伪代码。此时代码可读性仍然比较差，就需要按照 java 层函数的声明类型，手动修正参数。对于任意一个 JNI 函数，它的前两个参数都是 JNIEnv *env 和 jobject _this (或 jclass _class)。

非常明显的一个签名校验。如果转为 java 代码大概是这样的：

PackageManager pm = context.getPackageManager();
PackageInfo info = pm.getPackageInfo(context.getPackageName(), 
        PackageManager.GET_SIGNATURES);
String signature = info.signatures[0].toCharsString();

下面的代码主要是根据上面的签名进行 DES 加密，就不另外分析了。所以问题在于如何让它返回正确的签名。我们可以在 Application 初始化时用动态代{过}{滤}理替换掉 IPackage。

public static class IPackageManagerSpy implements InvocationHandler {
        private static final String TAG = "IPackageManagerSpy";

        public static void install(Application app) {
            try {
                // 获取 ActivityThread 里的 sPackageManager 原始对象
                Field sPackageManager = ActivityThread.class
                        .getDeclaredField("sPackageManager");
                sPackageManager.setAccessible(true);

                // 创建代{过}{滤}理对象
                Object chief = sPackageManager.get(null);
                Class<?> cls = chief.getClass();
                Object spy = Proxy.newProxyInstance(
                        cls.getClassLoader(),
                        cls.getInterfaces(),
                        new IPackageManagerSpy(chief)
                );

                // 替换掉 ActivityThread 里的 sPackageManager
                sPackageManager.set(null, spy);

                // 替换掉 ApplicationPackageManager 里的 mPm
                PackageManager pm = app.getPackageManager();
                Field mPm = ApplicationPackageManager.class.getDeclaredField("mPM");
                mPm.setAccessible(true);
                mPm.set(pm, spy);
            } catch (Throwable t) {
                Log.e(TAG, "install: failed", t);
            }
        }

        private static final String MY_PACKAGE_NAME = "com.ablist97.qdreader";
        private static final String FAKE_SIGNATURE = "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";

        private IPackageManagerSpy(Object pm) {
            mRemote = pm;
        }

        private final Object mRemote;

        private PackageInfo getPackageInfo(Method method, Object[] args) throws Throwable {
            PackageInfo info = (PackageInfo) method.invoke(mRemote, args);

            if (!MY_PACKAGE_NAME.equals(args[0]) || info == null) {
                Log.i(TAG, "getPackageInfo: ignore param: " + args[0]);
                return info;
            }

            if (info.signatures == null || info.signatures.length == 0) {
                Log.w(TAG, "getPackageInfo: signature is null");
                return info;
            }
            info.signatures[0] = new Signature(FAKE_SIGNATURE);
            return info;
        }

        @Override
        public Object invoke(Object proxy, Method method, Object[] args) throws Throwable {
            String name = method.getName();
            Log.i(TAG, "invoke: " + name);

            if ("getPackageInfo".equals(name)) {
                return getPackageInfo(method, args);
            }
            // 不要忘记调用原函数 ！！！
            return method.invoke(mRemote, args);
        }
    }

下一个问题又来了，signParams() 函数有这么多参数，怎么确定每个参数呢，答案很简单：Xposed 大法，直接打印出来就可以了。

AegisSign

这个参数的分析方法和前面的 QDSign 相同，就不多说了。有点奇怪的是，我计算出的 AegisSign 和官方的不一样，不知道为什么。本来想用 IDA 动态调试，但服务器似乎并没有校验这个参数，也就作罢。

总结

本文从抓包开始，使用 jadx 和 IDA 等工具，实现了简单的静态分析。我一再强调的一点是：逆向不同于普通 app 开发，不需要关心每个细节，只要服务器能正常下发数据，就一切 ok。比如上面的 libc-lib.so，com.qidian.QDReader.core.e.c 里的加密函数，不需要重新写，重新拷贝过来，能用就可以。

你上当了

蜜蜂科技 发表于 2020-8-6 14:05
大神，可以帮助破解安卓软件吗？有偿，不索取代码，就是破壳取包加验证

apk 链接看看

hututu_213

问一下楼主，我的手机没法root，有什么手机上用的或者电脑上用的虚拟机推荐吗？
最好是手机上用的虚拟机。
电脑的虚拟机一般不支持摇一摇 多点触控之类的吧，还有cpu架构问题

Hmily

图片盗链无法显示，上传到本地吧。

北辰没有林安

虽然图都看不了，但是还是学到了一点点解密的东西

迈克尔詹姆斯

楼主发帖不易，辛苦。。但是图片全挂了。忘重新编辑下。。加油

gneL

图全裂了

takpap

等一个补链后的贴, 好了戳我一下哦

你上当了

样本哪里

雨落惊鸿，

图挂了。。。。。