某生活服务App返回数据密文解析(一) Android Device Monitor定位

某生活服务App返回数据密文解析(一) Android Device Monitor定位

一、目标

我们来分析某生活服务App的返回数据加密问题，先打开首页的一篇文章，抓包结果:

getfeedcontent.bin 这个接口就是我们要的数据,不过很明显，加密的比较彻底，全部都是密文。

二、步骤

返回数据加密和sign定位不一样，没有很明显的sign字符串可以去查，只能从http请求入手

hook okhttp3.OkHttpClient

var OkHttpClient = Java.use("okhttp3.OkHttpClient");wCall.implementation = function (request) {var result = wCall(request);console.String());var stack = threadinstance.currentThread().getStackTrace();console.log("http >>> Full call stack:" + Where(stack));return result;
};

跑一下，没有 getfeedcontent.bin 相关的数据。

hook openConnection 试试

var URL = Java.use('java.URL');
URL.openConnection.overload().implementation = function() {var retval = this.openConnection();console.log('URL openConnection' + retval);var stack = threadinstance.currentThread().getStackTrace();console.log(">>> openConnection Full call stack:" + Where(stack));return retval;
};

这次运气不错，找到了 getfeedcontent.bin 的请求，不过堆栈却没有什么参考价值。

堆栈唯一告诉我们的也就是App在网络访问这块用了RxJava，我们会看到一堆onNext和onComplete

怎么办？正在一筹莫展之际，突然想起 Android Device Monitor，

Note:
Android Device Monitor是android自带工具，在sdktoolsmonitor，可以查看特定行程中正在运行的线程以及堆栈信息。

Android Device Monitor

• 首先选中要查看的进程,然后点击红框处的按钮 " start method profiling ", 现在就进入到跟踪状态了
• 在App中打开一篇文章，等文章完全加载完毕之后，再点击刚才红框处的按钮，这时的功能是 " Stop Method Profiling "，点击之后停止Method Profiling。稍等片刻，会自动弹出TraceView窗口。
• TraceView窗口Name一栏中显示的方法调用就是需要关注的地方，每一个方法调用都有一个数字编号，不同的方法调用采用不同的颜色区分，点击方法调用左边的加号展开任意一个方法调用都会看到其下有Parents和Children两个子项，Parents表示该方法被哪个方法调用，Children表示该方法调用了哪些方法。所有的方法调用都以链表的形式依次显示，从上往下查看调用情况。
  接收数据并解密的函数一定在这次抓到的堆栈里面，我们搜索一下 onRequestFinish ，一共搜到了3处，(在搜索框直接回车可以切换高亮这搜到的三处)。

比较有嫌疑的是 onRequestFinish 之后调用了 resolveDate ，并且返回值还是个 String 。 Hook它看一眼。

var MapiModuleCls =  Java.use(&#picassomonbridge.MapiModule');
solveData.overload(&#archive.DPObject', 'boolean', 'int').implementation = function(a,b,c){var result = solveData(a,b,c);console.log("resolveData rc=" + result);return result;
}

跑一下结果出来了，收工。

三、总结
善用sdk自带的工具，往往事半功倍。

有问题可以加我wx: fenfei331