今日XX一次简单登录逆向分析

loveqq520 · 发表于 2024-4-6 16:47

本文章仅用于信息安全逆向技术分享学习，请勿用于其他用途。包括但不爬虫，点赞等违法行为，用途违法与作者无关，并立即删除本文章，如往下看代表默认同意该声明。

样本：5LuK5pel6ZWH5rGf

工具：fiddler、jeb

一、初窥门径

1、先用fiddler抓包看一下，发现只有password参数被加密了，再抓一次看是否会变化，发现没有变化

二、崭露头角

1、把apk扔进jeb里进行反编译，搜索“password”，定位到有account和password的地方

2、这里应该就是了，反编译成java看一下

3、这里传入的s2可以看到是经过了hmacSHA256加密，其中第一个参数是密钥，第二个参数是加密的password，我们验证一下是否正确

4、发现与抓到的包一致，至此一次简单的分析已经结束

hackerxj · 发表于 2024-4-7 00:59

我最近也在分析登录过程，遇到一个问题始终不知问题在哪如何解决，就是登陆一个新的页面需要短信验证，如果是已经验证过一次，哪怕是退出重新登录都不会再要求短信验证，这种一般是哪里设定的？ cookies带了相关信息吗

hackerxj · 发表于 2024-4-7 22:49

tcprince 发表于 2024-4-7 09:57
有没有可能是绑定登录设备了？

是绑定登录设备的记录设备信息的，这种情况下 post登录怎样能做到二次登录不需要验证码？感觉每次启动设备的一个uid都会变

Yang02024 · 发表于 2024-4-6 17:02

感谢分享，看不懂唉

PigBrother · 发表于 2024-4-6 17:15

抓两次都一样说明加密过程没有随机

，楼主会反编译，换我只能找常用加密方式一个个试

giaosheng · 发表于 2024-4-6 17:41

思路可以的

xuhongling · 发表于 2024-4-6 20:04

作为新人我可能不是很懂，，，不过以后会用上，顶楼主

ppplp · 发表于 2024-4-6 20:19

看起来很OK啊

bbj2024 · 发表于 2024-4-6 20:54

学习了,感谢分享!!!

kaijinaini · 发表于 2024-4-6 21:33

可以可以

apple888 · 发表于 2024-4-6 22:15

学习了,感谢分享!!!

52pojie_xyf · 发表于 2024-4-6 23:54

楼主是怎么通过关键字找到具体 class文件进行反编译的

帐号		自动登录	找回密码
密码			注册[Register]

[Android 原创] 今日XX一次简单登录逆向分析