每日优鲜mfsig分析

2021-06-06

so分析

找到native层的cL函数（该函数为动态注册，这个只需要hook RegisterNative即可看到详细地址）

nativeCL是我改的名字。点入该函数，直接看汇编

展开全文 >>

llvm编译

2021-06-06

要下载哪个版本的llvm

首先来到ndk的目录下的.../toolchains/llvm/prebuilt/linux-x86_64/bin,然后./clang --version查看clang的版本。

我们这里的版本是11.05,那我们就找最接近这个版本的11.01llvm版本来进行编译和使用。

构建编译环境

我们采用的是ubuntu18来进行编译。请在控制台执行如下命令

sudo apt-get install git-core gnupg flex bison build-essential zip curl zlib1g-dev gcc-multilib g++-multilib libc6-dev-i386 lib32ncurses5-dev x11proto-core-dev libx11-dev lib32z1-dev libgl1-mesa-dev libxml2-utils xsltproc unzip fontconfig

编译llvm

在llvm的目录下创建一个目录用来编译mkdir build_debug
执行如下命令cmake -G "Ninja" ../llvm/（release则为cmake -G Ninja -DMAKE_BUILD_TYPE=Release -DLLVM_INCLUDE_TEST=OFF -DLLVM_ENABLE_PROJECTS="clang" ../llvm）
此时可能会发生报错，大致的内容是llvm12.0以后只支持3.14及以上的cmake来进行编译，虽然我也纳闷我编译的是llvm11.01为啥会报错，既然报错，那我们就升级cmake,具体怎么升级，可以参考这个链接https://askubuntu.com/questions/1164459/how-to-install-cmake-3-14-on-ubuntu-18-04,编译cmake的过程可能会报错如下

此时需要执行如下命令
sudo apt install libssl-dev
再次执行命令

发现还是报这个问题，搜了一下是因为Ninja没有在$PATH环境变量里被找到。好吧，下一个吧。。。

参考这个链接https://ninja-build.org/,装好之后请添加Ninja到~/.bashrc当中。

再次编译，Ok~

执行ninja -jn，n的大小一般为核数 * 2最佳

等待编译结束。。。(以下截图是我编译Release之后的，但本教程其实是在编译Debug),出现截图这样的情况就意味着编译成功了~

展开全文 >>

非标准算法还原

2021-06-02

常见加密特征

Hash算法

CRC32: 4个字节的int
MD5: 返回结果的特征长度为32个字符或者0x10大小的buffer
sha1: 返回结果的特征长度为40个字符或者0x14大小的buffer
sha256: 返回结果的特征长度为64个字符或者0x20大小的buffer
HMAC: 常见的组合类型为搭配(md5、sha1、sha256)

为什么sha512很少见

因为网络传输占用带宽较多，且存储压力增加。

对称加密

待补充

非对称加密

压缩

gzip

hexdump开头是1f8b则可以判断出它是gzip压缩的

zlib

默认压缩等级
hexdump开头是789c

zip

开头是PK则可以判断它是zip压缩的

tar

它不算是压缩，应该是打包，其开头为文件名

7z

开头是7z的就是7z压缩

展开全文 >>

Android10内核编译并使用AndroidSyscallLogger

2021-05-22

本文在原文[原创][分享]AndroidSyscallLogger的基础上对Android10的内核进行编译，并迁移AndroidSyscallLogger到Android10（实际上就是直接搬过来\笑）,感谢原作者石头哥在我编译他原项目时所作的指导，磕磕绊绊完成他项目的使用和改进。废话不说多，开始我们的正文。

搭建环境

kali2021
pixel2/xl
已经编译过的aosp（本文略去编译aosp部分，只需要编译任意Android10即可，本人编译且自用是android10r41,且已刷入手机,官方的image我在8.1上刷的时候是刷不进我们编译的内核的，而刷编译之后的aosp则可以刷入，10我没测，但按8.1的做法来吧~）

Kernel下载

我们需要的是手动编译内核，而不需要官网的这个基于脚本编译内核，但是我们需要参考一下官网这里给出的repo路径找到我们应该需要clone的目录。

然后参考官方的手动构建内核下载源代码部分。clone 我们刚才标记的msm,即跟官方要clone的这部分一样

git clone https://android.googlesource.com/kernel/msm

NOTE: 科学需要大家自己各显神通哦~

下载完成之后切换分支git checkout -b android-msm-wahoo-4.4-android10-qpr3 origin/android-msm-wahoo-4.4-android10-qpr3

dang dang dang dang~

这样我们就把我们想要下的内核源码就下完了，但是我们还需要设置一下，原文用到make menuconfig，我们就不用了，那样的做法不科学。科学的做法实际上官方已经给出。

先在msm目录内执行以下步骤

export ARCH=arm64
export PATH=/root/aosp10r41/prebuilts/gcc/linux-x86/aarch64/aarch64-linux-android-4.9/bin/:$PATH
export PATH=/root/aosp10r41/prebuilts/gcc/linux-x86/arm/arm-linux-androideabi-4.9/bin:$PATH
export CROSS_COMPILE_ARM32=arm-linux-androideabi-
export CROSS_COMPILE=aarch64-linux-android-
make wahoo_defconfig

我们要配置的内容都在这个.config里面
我们按照原文的配置要求挨个去搜索然后配置好即可，这里略过，但给出相应需要配置的地方(有些地方可能找不到配置，无所谓那就略过呗~)


CONFIG_MODULES=Y
CONFIG_STRICT_MEMORY_RWX=N / CONFIG_DEBUG_RODATA=N
CONFIG_DEVMEM=Y
CONFIG_DEVKMEM=Y
CONFIG_KALLSYMS=Y
CONFIG_KALLSYMS_ALL=Y
CONFIG_HAVE_KPROBES=Y
CONFIG_HAVE_KRETPROBES=Y
CONFIG_HAVE_FUNCTION_TRACER=Y
CONFIG_HAVE_FUNCTION_GRAPH_TRACER=Y
CONFIG_TRACING=Y
CONFIG_FTRACE=Y

写好.config之后，make -j8

展开全文 >>

android.os.Build源码跟踪

2021-05-15

源码路径

/frameworks/base/core/java/android/os/Build.java

源码跟踪

读源码最终应该会统一到某一个函数内，我们试着跟看看。

前往getString(String str)

再往上跟SystemProperties.get 所在位置/frameworks/base/core/java/android/os/SystemProperties.java

private static native String native_get(String key);

可以看到这个是一个native函数，我们接着跟到JNI层。

可以看到该函数被动态注册了，其原函数为SystemProperties_getS

最终来到SystemProperties_getSS

展开全文 >>

RegisterNatives基于Android10r41的流程及增加Log输出动态注册地址

2021-05-14

ArtMethod::RegisterNatives

RegisterNatives函数是JNI动态注册时所用到的函数，其定义在结构体ArtMethod当中，其在Android10的具体实现是在/art/runtime/jni/jni_internal.cc。

RegisterNatives注册流程

static jint RegisterNatives(JNIEnv* env, jclass java_class, const JNINativeMethod* methods, jint method_count)

const void* ArtMethod::RegisterNative(const void* native_method)

void RuntimeCallbacks::RegisterNativeMethod(ArtMethod* method, const void* in_cur_method, /out/void** new_method)

void SetEntryPointFromJni(const void* entrypoint)

template
ALWAYS_INLINE void SetEntryPointFromJniPtrSize(const void* entrypoint, PointerSize pointer_size)

template
ALWAYS_INLINE void SetDataPtrSize(const void* data, PointerSize pointer_size)

template
ALWAYS_INLINE void SetNativePointer(MemberOffset offset, T new_value, PointerSize pointer_size)

展开全文 >>

monitor使用traceJava函数教程

2021-05-13

使用条件

Monitor(原来叫做DDMS)，使用必须把ro.debuggable=0 需要改成1,然后界面才能显示应用的进程。

ro.debuggable=0改成1的方法（手机需要root并刷入Magisk）

使用adb工具输入如下命令：

adb shell //adb进入命令行模式
su //切换至超级用户
magisk resetprop ro.debuggable 1  //设置debuggable
stop;start; //一定要通过该方式重启

改成之后打开monitor便可以看到应用进程。
monitor的目录在C:\Users\xxx\AppData\Local\Android\Sdk\tools

打开之后界面如下

找到我们想要trace的进程（图中显示一堆?应该是monitor的bug，如果找不到进程名，强退几次app应该就能看到了）。

点OK

然后再重新点击那个按钮，即可看到如图所示的刚才点开始到点结束的那段时间的Java函数的运行情况。

展开全文 >>

mtop加密分析

2021-05-13

分析流程

[Pixel 2 XL::com.wudaokou.hippo]-> from_method:  com.alibaba.wireless.security.open.initialize.b.$init.overload('java.lang.String')
java.lang.Throwable
        at com.alibaba.wireless.security.open.initialize.b.<init>(Native Method)
        at com.alibaba.wireless.security.open.initialize.a.<init>(Unknown Source:5)
        at com.alibaba.wireless.security.open.SecurityGuardManager.getInitializer(Unknown Source:36)
        at com.alibaba.wireless.security.open.SecurityGuardManager.getInstance(Unknown Source:42)
        at com.alibaba.wireless.security.open.SecurityGuardManager.getInstance(Native Method)
        at com.alibaba.wireless.security.open.SecurityGuardManager.getInstance(Unknown Source:24)
        at com.taobao.accs.utl.UtilityImpl.getAppsign(SourceFile:416)
        at com.taobao.accs.data.Message.buildBindApp(SourceFile:655)
        at com.taobao.accs.data.Message.buildBindApp(SourceFile:624)
        at com.taobao.accs.internal.ACCSManagerImpl.bindApp(SourceFile:249)
        at com.taobao.accs.ACCSClient.bindApp(SourceFile:210)
        at com.wudaokou.hippo.push.PushStarter.a(SourceFile:129)
        at com.wudaokou.hippo.push.PushStarter.a(SourceFile:44)
        at com.wudaokou.hippo.push.PushStarter$1.run(SourceFile:77)
        at com.wudaokou.hippo.common.executor.internal.JobWrapper.run(SourceFile:28)
        at com.wudaokou.hippo.common.executor.internal.CancelableJob.run(SourceFile:35)
        at java.util.concurrent.Executors$RunnableAdapter.call(Executors.java:462)
        at java.util.concurrent.FutureTask.run(FutureTask.java:266)
        at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1167)
        at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:641)
        at java.lang.Thread.run(Thread.java:919)

sendControlMessage(context, buildBindApp, 1, z);

<==

iACCSManager.bindApp(mContext, this.mConfig.getAppKey(), this.mConfig.getAppSecret(), str, iAppReceiver);

<==

buildBindApp(Context context, String str, String str2, String str3, String str4, String str5, String str6)

<==

buildBindApp(context, str2, intent.getStringExtra(“appKey”), intent.getStringExtra(“app_sercet”), stringExtra, intent.getStringExtra(“ttid”), intent.getStringExtra(“appVersion”));

sessionCenter.registerSessionInfo(SessionInfo.create(str, z, true, new Auth(this, str), this.smartHeartbeat, this))

==>

public Auth(BaseConnection baseConnection, String str) {
this.TAG = baseConnection.getTag();
this.authUrl = baseConnection.buildAuthUrl(“https://“ + str + “/accs/“);
this.connectionType = baseConnection.mConnectionType;
this.connection = baseConnection;
}

==>

public static SessionInfo create(String str, boolean z, boolean z2, IAuth iAuth, IHeartbeat iHeartbeat, DataFrameCb dataFrameCb2)

==>

private SessionInfo(String str, boolean z, boolean z2, IAuth iAuth, IHeartbeat iHeartbeat, DataFrameCb dataFrameCb2) {
this.host = str;
this.isAccs = z2;
this.auth = iAuth;
this.isKeepAlive = z;
this.heartbeat = iHeartbeat;
this.dataFrameCb = dataFrameCb2;
}

public String buildAuthUrl(String str) {
      String str2;
      IpChange ipChange = $ipChange;
      if (ipChange == null || !(ipChange instanceof IpChange)) {
          String deviceId = UtilityImpl.getDeviceId(this.mContext);
          try {
              str2 = URLEncoder.encode(deviceId);
          } catch (Throwable th) {
              ALog.e(getTag(), "buildAuthUrl", th, new Object[0]);
              str2 = deviceId;
          }
          String appsign = UtilityImpl.getAppsign(this.mContext, getAppkey(), this.mConfig.getAppSecret(), deviceId, this.mConfigTag);
          StringBuilder sb = new StringBuilder(256);
          // https://msgacs.m.taobao.com/accs/auth?1=YJyVD1H5%2BA0DAMjPxYaw6nxV&2=483c04ed186235e66a5bbc701e5204082da7366b&3=23228014&5=1&6=wifi&7=null&8=1.1.2&9=1620977928956&10=1&11=29&12=com.wudaokou.hippo&13=5.13.1&14=10005060@hmxs_android_5.13.1&15=Pixel+2+XL&16=google&17=221&19=1&20=
          sb.append(str);
          sb.append("auth?1=");
          sb.append(str2);
          sb.append("&2=");
          sb.append(appsign);
          sb.append("&3=");
          sb.append(getAppkey());
          if (this.mConnToken != null) {
              sb.append("&4=");
              sb.append(this.mConnToken);
          }
          sb.append("&5=");
          sb.append(this.mConnectionType);
          sb.append("&6=");
          sb.append(UtilityImpl.getNetworkType(this.mContext));
          sb.append("&7=");
          sb.append(UtilityImpl.getOperator(this.mContext));
          sb.append("&8=");
          sb.append(this.mConnectionType == 1 ? "1.1.2" : Integer.valueOf((int) com.taobao.accs.common.Constants.SDK_VERSION_CODE));
          sb.append("&9=");
          sb.append(System.currentTimeMillis());
          sb.append("&10=");
          sb.append(1);
          sb.append("&11=");
          sb.append(Build.VERSION.SDK_INT);
          sb.append("&12=");
          sb.append(this.mContext.getPackageName());
          sb.append("&13=");
          sb.append(UtilityImpl.getAppVersion(this.mContext));
          sb.append("&14=");
          sb.append(this.mTtid);
          sb.append("&15=");
          sb.append(UtilityImpl.urlEncode(Build.MODEL));
          sb.append("&16=");
          sb.append(UtilityImpl.urlEncode(Build.BRAND));
          sb.append("&17=");
          sb.append(OrangeAdapter.getCurrentVersion(this.mContext));
          sb.append("&19=");
          sb.append(!isSecurityOff());
          sb.append("&20=");
          sb.append(this.mConfig.getStoreId());
          if (OrangeAdapter.isChannelModeEnable()) {
              sb.append("&21=");
              sb.append(state);
          }
          return sb.toString();
      }
      return (String) ipChange.ipc$dispatch("buildAuthUrl.(Ljava/lang/String;)Ljava/lang/String;", new Object[]{this, str});
  }

展开全文 >>

hema_device_check

2021-05-13

请求

com.alipay.apmobilesecuritysdk.d.c // 风控设备信息参数组装处
[
    {
        "bizData": {
            "apdid": "",
            "apdidToken": "",
            "dynamicKey": null,
            "umidToken": "o3hLOMZLOjYV2DV5Y8DQ13KPpnIMruUr"
        },
        "bizType": "1",
        "deviceData": {
            "AA1": "com.wudaokou.hippo", // 当前阿里系APP包名
            "AA2": "5.13.1", // 当前阿里系APP版本
            "AA3": "APPSecuritySDK-TAOBAO", // SDK名称，
            "AA4": "3.4.0.202009091354", // SDK版本
            "AA6": "",
            "AC1": "",
            "AC2": "YJyVD1H5+A0DAMjPxYaw6nxV",
            "AC3": "",
            "AC4": "2f64f3634ea856bf208c403ffef5b267245f696b",
            "AC5": "",
            "AC6": "",
            "AC7": "",
            "AC8": "",
            "AC9": "",
            "AD1": "",
            "AD10": "1cb2d58b133c6085",
            "AD11": "0000000000000000",
            "AD12": "8",
            "AD13": "1900800",
            "AD14": "3749952",
            "AD15": "55782572032",
            "AD16": "55782572032",
            "AD17": "",
            "AD19": "0",
            "AD2": "",
            "AD20": "",
            "AD22": "",
            "AD23": "",
            "AD24": "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",
            "AD26": "",
            "AD27": "00:0000000",
            "AD28": "00:000",
            "AD29": "00:00000000",
            "AD3": "ed41d479ca40ff1a3f5daa69061dae7e0e0b761c",
            "AD30": "00:0",
            "AD31": "00:000000",
            "AD32": "1620872128000", // 时间戳+000
            "AD33": "2383453",
            "AD34": "0:0",
            "AD35": "1:100",
            "AD36": "WIFI:10.12.233.246", // 检测当前网络来自WIFI及当前WIFI网络下的手机IP
            "AD37": "GMT+08:00", // 时区
            "AD38": "zh_CN_#Hans", // 系统语言
            "AD39": "0",
            "AD40": "{\"ringermode\":\"0\",\"call\":\"5\",\"system\":\"0\",\"ring\":\"0\",\"music\":\"2\",\"alarm\":\"6\"}",
            "AD41": "53951950848",
            "AD42": "53951950848",
            "AD5": "1440*2712", // 手机分辨率
            "AD6": "1440", // 分辨率[0]
            "AD7": "2712", // 分辨率[1]
            "AD8": "72:52:92:FF:41:F0", // 当前网络MAC地址（每个wifi对应不同的MAC地址）
            "AD9": "",
            "AE1": "android", // 手机系统
            "AE10": "Pixel 2 XL", // 手机型号
            "AE11": "taimen", // 设备型号
            "AE12": "10", // Android系统版本
            "AE13": "29", // Android compileSdkVersion
            "AE14": "release-keys", // 发布序列号
            "AE15": "0",
            "AE16": "",
            "AE2": "1",
            "AE21": "AArch64 Processor rev 1 (aarch64)", // 系统CPU指令集
            "AE3": "0",
            "AE4": "taimen", // 设备型号
            "AE5": "google", // 设备厂商
            "AE6": "taimen", // 设备型号
            "AE7": "QQ3A.200805.001", // 系统版本号
            "AE8": "6578210", // 开机累计时长转换成秒，系统的时间格式是HH:MM:SS
            "AE9": "Google", // 设备厂商
            "AL3": "02:00:00:00:00:00"
        },
        "os": "android",
        "rpcVersion": "8"
    }
]

展开全文 >>

sekiro学习

2021-05-07

Sekiro的定义及github链接

github: https://github.com/virjar/sekiro

SEKIRO 是一个 android 下的 API 服务暴露框架，可以用在 app 逆向、app 数据抓取、android 群控等场景。

Sekiro的使用

添加Sekiro依赖

在Sekiro项目中的build.gradle中的dependencies里添加api project(':sekiro-lib') (若是在其他项目如Xposed项目中，以jar包形式使用sekiro,则需要添加相应的jar包到libs里，然后在build.gradle里的dependencies添加api 'com.virjar:sekiro-api:1.0.3'，以上版本号仅是示例，请以实际jar包版本为主)

在build.gradle中添加

packagingOptions {
    exclude 'META-INF/INDEX.LIST'
    exclude 'META-INF/io.netty.versions.properties'
}

Sekiro接口编写

在这之前要先了解Sekiro的几个概念

clientID

用于区分一个Sekiro客户端的一个ID

ServerHost

用于手机跟服务器链接的IP/域名，该服务器的作用是用于单个服务器管理多个手机用的。

group

展开全文 >>