一个伪装成”QQ厘米秀自动抢”的锁机样本分析

youjianfeidao · 发表于 2016-6-27 14:33

本帖最后由 youjianfeIDAo 于 2016-6-28 12:50 编辑

【文章作者】: youjianfeidao
【软件名称】: 厘米秀自动送花抢胶囊V3.1.7
【软件大小】: 3.85M
【下载地址】: 链接: http://pan.baidu.com/s/1qXNYbVI 密码: n36h（文件解压密码52pojie）
【加壳方式】: 未加壳
【编写语言】: java
【使用工具】: androidkiller，逍遥模拟器
【操作平台】: 安卓平台
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
现在应该很多人在玩厘米秀，我也是其中一员，哈哈，所以为了厘米秀的秀友，我就分析了下这个冒充厘米秀的锁机。

【详细过程】

把软件拖入模拟器中打开，
首先这软件会让你激活设备管理器，并且把app名字弄得老长，应该是为了隐藏激活设备管理器出现的警告信息。
可能有人为了急切使用软件或者不明白设备管理器的重要性，稍不注意就会激活了。
QQ截图20160627133122.png

真正的警告信息需要一直往下拉才能看到
QQ截图20160627134115.png

激活之后手机就会立即被锁，出现下面这个界面，
根据我后面代码的分析，这时也把PIN锁换了。
QQ截图20160627134719.png

好了，接下来开始分析代码，
把软件直接拖到androidkill里，
看看Java源码，
这软件应该是手机端AIDE写的。
QQ截图20160627132844.png

主类以M命名，好像大部分锁机都是这样的，应该是同一伙人干的，
QQ截图20160627135328.png

软件一开始立即调用开启设备管理器的类“myadmin”，
QQ截图20160627135841.png

我们进myadmin看看
发现在这个类的
onPasswordChanged中直接重置了pin密码为1999
QQ截图20160627140220.png

并且在这类的onEnabled中又跳转到了s类中
QQ截图20160627140507.png

接下来进s类中看看

根据那个密码验证语句，确定那个passw就是存放的加密后的密码文件，然后通过decrypt方法解密与输入密码比较。
再往下看了看，在oncreate中找到了生成密码的代码
QQ截图20160627141436.png

序列号是pass，生成方法是调用了随机函数Math.random()
密码就是（序列号+1999）*2
接下来总结下软件流程
首先软件打开请求激活设备管理器，激活之后置换pin密码，然后设置全局悬浮窗，并设置第二重密码。置换pin密码的目的应该是为了软件打开做缓冲，因为在手机重启后，开机自启的软件并不是立即执行的，还有一个是在软件后台服务被某些软件停止后强行重启自身服务做缓冲。
刚看了下 Hoimk 的那个锁机样本，核心代码跟我这个一模一样，应该是出自一人之手，只不过密码的算法稍微改了下数，并去除了root部分的代码，应该是专为无root用户打造的。

--------------------------------------------------------------------------------
【版权声明】: 本文原创于youjianfeidao, 转载请注明作者并保持文章的完整, 谢谢!

2016年06月27日 14:26:52

youjianfeidao · 发表于 2016-6-28 18:38

无心丶发表于 2016-6-28 15:27
大神帮忙看下我的刚被锁跟你这个差不多样本链接：http://pan.baidu.com/s/1hsqECvi

链接取消了，这类软件最好设置下解压密码再上传

lyx1104 · 发表于 2016-6-28 23:15

CH_2014 发表于 2016-6-27 14:49
表示手机从不root，因为我是vivo党

蓝绿大厂谢绝还价。百元机的处理器卖3K 。不知道蓝绿大厂用户都是咋想的。

Aliman · 发表于 2016-6-27 14:42

楼主干的漂亮，抵制锁机狗从我做起！

Death死神 · 发表于 2016-6-27 14:42

膜拜大神前排出售瓜子可乐

a348188312 · 发表于 2016-6-27 14:48

看技术中·2·····

CH_2014 · 发表于 2016-6-27 14:49

表示手机从不root，因为我是vivo党

z120813918 · 发表于 2016-6-27 14:51

链接挂了！

youjianfeidao · 发表于 2016-6-27 15:20

z120813918 发表于 2016-6-27 14:51
链接挂了！

链接已补

LOVE_TT · 发表于 2016-6-27 15:22

发个样本{:1_916:}

z120813918 · 发表于 2016-6-27 15:24

链接又挂了..

lf1169210280 · 发表于 2016-6-27 15:28

大神你号厉害就是我看不懂代码啥的哎

帐号		自动登录	找回密码
密码			注册[Register]

[移动样本分析] 一个伪装成”QQ厘米秀自动抢”的锁机样本分析

点评

免费评分

免费评分