一、目标

李老板：奋飞呀，最近被隔离在小区里，没啥可干的呀。

奋飞：看小说呀，量大管饱。

我们今天的目标就是某小说App v2021_09_53

二、步骤

搜索url字符串

App请求小说内容的时候没有加签名，但是返回的数据是加密的。

那么我们先去jadx搜索一下这个url(novel-content)，看看有没有发现。

结果是没有收获。

那么很有可能这个url不是在apk中写死的，而是某个请求返回的。

Charles可以搜索数据包，我们从返回包里面找到了这个url。

那就好办了，看看是哪块代码去解析了这个 content_url ，我们在jadx中搜索

"content_url"

这次倒是有收获，但是看不出来这个变量再哪里用了。

插播一个屏蔽登录

只能再想想别的办法了，办法还没想出来，又遇到了新的问题。

第二次启动app的时候，就不让我看书了。一定要我登录，一怒之下登录了，居然还不让我看。还要买VIP。

这下忍不了了，我不过是想写个分析教程，何必这么为难我。

先从提示入手， 搜索 "登录" 来到这里

理论上说干掉这两个函数应该就可以了，写代码

1    var CacheUtilsCls =  Java.use('com.xxoo.net.net.CacheUtils');
2
3    CacheUtilsCls.isVip.implementation = function(){
4
5            return true;
6
7    };
8
9
10    CacheUtilsCls.isLogin.implementation = function(){
11
12            return true;
13
14    };
15

作者这个类名起的好风趣呀，我都不忍心打码了。

过滤url

既然知道请求小说内容的url了，我在url这里做一次过滤，应该就可以定位了吧

1    var URL = Java.use('java.net.URL');
2
3    URL.openConnection.overload().implementation = function() {
4
5        var retval = this.openConnection();
6
7        console.log('URL openConnection' + retval);
8
9
10        return retval;
11
12    };
13
14
15    var OkHttpClient = Java.use("okhttp3.OkHttpClient");
16
17
18    OkHttpClient.newCall.implementation = function (request) {
19
20        var result = this.newCall(request);
21
22        console.log(request.toString());
23
24        var stack = threadinstance.currentThread().getStackTrace();
25
26        console.log("http >>> Full call stack:" + Where(stack));
27
28        return result;
29
30    };

url和返回数据我都hook了。木有逮住。

大海捞针大法

下面就试试咱们老用的字符串匹配大法了。不管你怎么玩，解密之后的数据大概率是要赋值给字符串的。我们先把字符串赋值来捞一遍。

1    var strCls = Java.use("java.lang.StringBuilder");
2
3    strCls.toString.implementation = function(){
4
5        var result = this.toString();
6
7        console.log(result.toString());
8
9        return result;
10
11    }

这次就比较幸运了，我们不仅捞到了明文，还捞到了重要提示

大海告诉我们，大概率是AES CBC算法做的解密。

字符串匹配定位

有了重要提示，我们就依据这个提示来定位

1    var strCls = Java.use("java.lang.StringBuilder");
2
3    strCls.toString.implementation = function(){
4
5        var result = this.toString();
6
7        // console.log(result.toString());
8
9        if(result.toString().indexOf("AES/CBC/PKCS5Padding") >= 0 )
10
11        {
12
13            console.log(result.toString());
14
15            var stack = threadinstance.currentThread().getStackTrace();
16
17            console.log("Rc Full call stack:" + Where(stack));
18
19        }
20
21        return result;
22
23    }
24

跑一下，漂亮的堆栈就出来

漂亮的堆栈会说话

这个堆栈告诉我们，重点怀疑对象是 NativeBds.dae1

,从名字和外形上看，它大概率是个Native函数。

但是后面的堆栈告诉我们一个好消息，虽然运算过程在Native里面，但是它居然回调了javax.crypto来做加解密，也太敷衍老板了，这在我司是要被扣工资的。

先不管了，终于找到你了，hook之

1    var  DecodeCls = Java.use('com.baidu.searchbox.NativeBds');
2
3    DecodeCls.dae1.implementation = function(a,b){
4
5        var rc = this.dae1(a,b);
6
7
8        var StrCls = Java.use('java.lang.String');
9
10        var inStr = StrCls.$new(rc);
11
12        console.log(inStr);
13
14        return rc;
15
16    }

跑一下，没问题，明文出来了，收工，下雨了，没法上鲜啤了。

三、总结

不要嫌打印的数据太多，大海捞针也是考验你火眼金睛的时候。

对常见加解密算法要敏感，要成为条件反射。看到iv就要想到aes，看到32位就要想到md5，看到64位就要怀疑sha256。看到太阳就要想到鲜啤，看到飞哥的文章就要想到转发。

新一代的财富都是通过代码或者媒体创造的 --- 纳瓦尔

TIPS:

本文的目的只有一个就是学习更多的逆向技巧和思路，如果有人利用本文技术去进行非法商业获取利益带来的法律责任都是操作者自己承担，和本文以及作者没关系，本文涉及到的代码项目可以去 奋飞的朋友们 知识星球自取，欢迎加入知识星球一起学习探讨技术。有问题可以加我wx: fenfei331 讨论下。

关注微信公众号: 奋飞安全，最新技术干货实时推送