另一个生鲜App 抓包和mfsig签名分析(一)

一、目标

市面上生鲜App一大堆，买菜也确实是高频次的刚需，这些生鲜App还都有一些有意思的共性：

大都加壳了
大都不好抓包

今天我们分析的是某生鲜App v9.9.59 的 mfsig 签名。

二、步骤

上jadx

看看这么少的包名和类名，基本可以断定是加壳了。

那就先复习下某酒店App sign、appcode签名解析(二) 脱壳分析

BlackDex脱壳

脱完壳的结果拖到PC上，赶紧jadx一下，搜一搜 "mfsig"

我去，一个结果都没有。

二种可能，一是 App有别的道道，mfsig签名相关运算和过程都在so里面；另一种可能就是脱壳不干净，关键数据木有出来。

不管是哪种可能，都得再想想别的办法了。

hook_libart

我们观察一下， mfsig签名的值都是 mfsnm 开头。这就有突破点了。

复习下某种草电商App签名算法解析(一) 把字符串匹配安排上。

1if (addrNewStringUTF != null) {
2    Interceptor.attach(addrNewStringUTF, {
3        onEnter: function (args) {
4            if (args[1] != null) {
5                var string = Memory.readCString(args[1]);
6
7                if(string != null) {
8                    if(string.toString().indexOf("mfsnm") >= 0   )
9                                            {
10                        console.log("[NewStringUTF] bytes:" + string);
11
12                        var threadef = Java.use('java.lang.Thread');
13                        var threadinstance = threadef.$new();
14
15                        var stack = threadinstance.currentThread().getStackTrace();
16                        console.log("Rc Full call stack:" + Where(stack));
17
18                        console.log(Thread.backtrace(this.context, Backtracer.FUZZY)
19                                .map(DebugSymbol.fromAddress).join("\n"))
20
21                    }
22                }
23            }
24        },
25        onLeave: function (retval) {}
26    });
27}

跑起来

frida -U -f cn.mxxxfxxxh.application -l ms.js  --no-pause

运气太好了，轻松逮住。

1[Pixel 2 XL::cn.mxxxfxxxh.application]-> [NewStringUTF] bytes:mfsnmtyBmRQEmRmAVpF48icnVLkAGJ1KJJ0bGZOGIKWEFIgLLKO7KJK9JKCHJJ5IKk50KZW7I+SII59FG+GHLZcBI654Jl9MKmcDJKWCJkO8IZ95KKP5mBY1ma
2Rc Full call stack:dalvik.system.VMStack.getThreadStackTrace(Native Method)
3java.lang.Thread.getStackTrace(Thread.java:1720)
4cn.mxxxfxxxh.wsg.SecurityLib.nativeSign(Native Method)
5cn.mxxxfxxxh.wsg.SecurityLib.a(SecurityLib.java:24)
6cn.mxxxfxxxh.wsg.a.a(SecurityManager.java:42)

赤果果的就是这个 nativeSign,之前脱壳出来的代码有用武之地了，盘它。

上Frida

1var signatureCls = Java.use('cn.mxxxfxxxh.wsg.SecurityLib');
2signatureCls.nativeSign.overload('android.content.Context', 'long', '[B').implementation = function(a,b,c){
3	var retval = this.nativeSign(a,b,c);
4
5	var StrCls = Java.use('java.lang.String');
6    var inStr = StrCls.$new(c);
7
8	console.log(">>> signature inStr  = " + inStr);
9    console.log(" >>>  signature rc= " + retval);
10    return retval;
11}

再跑一下，入参和结果都出来了。

TIP: 这里解释一下byte[] 参数的打印，我们通过堆栈回溯，发现

String a = C15603SecurityLib.m17628a(f13866a, C3748b.m17632a(str).getBytes("UTF-8"));

这个byte[] 其实就是String转的，所以我们要打印它，只需要调用String的构造方法就行了。

三、总结

脱壳才是第一生产力，所以要多掌握一些脱壳工具和rom。

套路就是那么的相似，多熟练几个套路，遇到新的App就先都给他安排上。

当我们为生活疲于奔命的时候，生活已经离我们远去。

TIP: 本文的目的只有一个就是学习更多的逆向技巧和思路，如果有人利用本文技术去进行非法商业获取利益带来的法律责任都是操作者自己承担，和本文以及作者没关系，本文涉及到的代码项目可以去 奋飞的朋友们 知识星球自取，欢迎加入知识星球一起学习探讨技术。有问题可以加我wx: fenfei331 讨论下。

关注微信公众号: 奋飞安全，最新技术干货实时推送