|
3572| 2
|
[会员申请] 申请ID：cysin【申请通过】 |
吾爱游客
发表于 2021-2-21 08:34
| ||
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
||
发表于 2021-2-23 15:02
| ||
RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )
GMT+8, 2024-11-14 14:40
Powered by Discuz!
Copyright © 2001-2020, Tencent Cloud.
按照文中所述，确实可以进入开发者模式，只是在进行点击操作时要快，若太慢不会生效。
xda文中还提供了一个github仓库https://github.com/codeage/root-honda，除破解脚本之外还提供了一些apk（但是并没有提供源码）。另外，从这个github提供的信息获知，最早提供破解脚本的大概是https://github.com/jersacct/2016PilotOneClick，提权利用的是CVE-2016-5195（Dirty copy-on-write）漏洞，相关代码实现https://github.com/timwr/CVE-2016-5195。由于这些代码和不开源的软件包可能会对系统造成不可逆修改，未进行实机测试。
由于有泄漏的漏洞源码，所以分析起来容易很多。有以下几点：1.入口页面会进行判断选择加载，只有目标机器才会加载正确的js文件，相关代码如下：
其中idvalue在不同浏览器特性下会有不同的值，决定了加载的js文件名。车机访问时：
所以可以强制idvalue='id'2.script.js中
加载stage4.js时有一个trk参数，根据stage4_js.py:
trk决定了aes密钥，可以强制trk='-213173581276'。实际上autohack并没有使用aes加密，所以这一步对autohack来说就关系不大。3.stage4.js中调用module.so时，根据具体实现不同，传入参数不同：vincicar:
若trk传入不正确，则上图第一行32个字节为fake key，无法进行正确的aes解密。autohack:
看到这里key其实是最早输入的auth code，不像是一个常规密钥，基本可以判定要么没加密，要么密钥hard code在module.so里。另外，这些参数应该最终都是字符串类型，因为js作为一个弱类型和脚本（文本）语言，很难搞一些其他类型的变量（不怎么做js，不知此观点是否正确）。4.通过分析js得知module.so的下载地址：vincicar: 
左为vincicar，右为autohack为了确认key是正确的，写了一个简单的aes解密工具，用来测试key是否正确。代码在https://github.com/cysin/honda_hacking_analysis/tree/main/aes_decrypt
看起来没问题。通过上文图中js代码传入的参数来看，vincicar的参数多为url，都是字符串类型，应该没什么特别。这里不用理会用png图片做的伪装，用urlrewrite即可实现。但是autohack的参数有一个flags=‘2’，为了避免掉入陷阱，需要看一下。用ghidra打开，看一下am_start函数：
其中DAT_00019004应该是传入的struct，DAT_00019004+0x400是struct的第五个参数，也就是flags；access是判断是否存在su文件。所以这里是判断有没有su文件，有的话才继续进行后续下载和其他操作。但是这个flags如果等于1的话，则忽略检查，强制进行后续工作。所以flags并没有什么特殊含义。通过ghidra看了一下基本确认没有啥太大问题的话，接下来模拟module.so的调用执行。首先安装ndk，可通过https://developer.android.com/ndk/downloads下载或通过android studio安装。下载临时编写的动态库调用代码https://github.com/cysin/honda_hacking_analysis/tree/main/loader，执行build.sh即可进行编译：
因为是测试分析，只要有安卓环境能够运行即可（实机测试过于危险），所以这里用了一个arm开发板（nanopi m4），刷成android：
​连接PC，用adb将loader和对应的module.so传到开发板：
执行loader：
vincicar：习惯性看一下src/main/res/values/strings.xml：
只有短短几行，看来只是一个下载器，需要找到下载真正apk的地址。但是用grep甚至是正则去找可能的下载地址字符串，都没有结果。把module.so下载的一堆文件翻了个遍也没有结果。难道是用了字符拼接或者ascii码防止逆向？或者是把url加密保存在系统里？把jadx导出的文件基本看了个遍也没有任何线索（事后证明想多了，这只是jadx的坑）。唯有把这个apk装上，做一下网络的traffic monitor看一下到底访问了什么地址。
于是一目了然。vincicar是先访问
尝试浏览器访问
尝试破解，用最简单的方法。首先从src/main/res/values-zh-rCN/strings.xml找到‘需要专业版’：
其对应的name是'pro_function'，从代码里找到包含pro_function的片段：
打开C1320tb.java，定位到pro_function：
从逻辑不难看出m5618a返回true，是已注册专业版，false则是未注册。但此时还无法判断m5618a是否就是唯一的检测函数，看一下代码里调用m5618a的地方：
有很多，看一下其中的代码逻辑，基本符合先前的预测，那就修改一下，让m5618a永远返回true，再测试一下。用apktool反编译：
下面是找到修改的位置。参考C1320tb.java中包含有一些固定字符串：
可用'google.com'作为关键词搜索：
然后打开./cn/autohack/hondahack/tb.smali，通过函数顺序，可以定位到m5618a函数对应的smali代码：
由于是第一次接触smali，照葫芦画瓢，在函数一开始加入两行，给p0赋值0x01，然后返回p0。保存之后用apktool重新打包，并重新签名：
总的来说smali字节码的修改要比修改二进制可执行文件简单的多，可直接插入新的代码而不用考虑原有代码的结构。重新安装之前需要卸载原来安装的版本，因为签名变了。重新安装后：
（后记：此方法对于6.9.16版本是有效的，但apktool对于最新版7.0.1支持可能有问题，导致重新编译后的apk无法运行，可以用注册机的方法实现破解）注册机方法：点一个锁定功能会弹出注册窗口：
随便输入一个注册码：
根据注册时的错误提示，找到对应文本：
​然后找到对应文件
​打开AsyncTaskC1224e.java，定位到regkey_error：
然后定位m5622c函数并打开相应的C1320tb.java文件：
可以看到m5622c基本包含了主要的注册码算法，所有代码都在这一个文件里，并不是很复杂。分析过程不再赘述，其主要思路是：1.获取蓝牙MAC地址2.添加‘PREFIX-’前缀3.获取hash4.转换成HEX5.添加'google.com'前缀6.获取hash7.做一些运算后取高16位做判断同时可以得到注册码的格式为：XXXX-XXXX，其中前4个XXXX是用来做判断的。一个用C++写的简单的注册机代码已经上传至github仓库：https://github.com/cysin/honda_hacking_analysis/blob/main/apk/autohack_register/register.cpp
其中machine code与上图中提示的设备ID一致，注册码只有前四位有用。将注册码填入：
这里的APK破解，其实并不像想象中那样复杂，主要是：1.jadx生成了质量极高且可读性极好的代码2.APK并没有采用什么特殊的保护措施3.代码实现也并未做特殊的逻辑处理4.注册逻辑相对简单，没有联网处理若是加入了一些packer，反跟踪和混淆等手段，再去反编译和破解可能就没那么容易了。vincicar：用jadx解压之后就没几个文件，应该是用了一些保护手段，用apkid看一下：
legu将主要字节码都保存在libshell-super.2019.so，用
sub_28960是根据tosversion的前16字节与固定密码'^o0o7Ql]M8Y5:+1m~nTcA&3a7|?GB1z@'做一些运算得到（可能的）密钥，sub_2AB7C则是具体的解密部分。解密之后再用NRV解压缩。由于时间关系，
