議逆向?qū)崙?zhàn)：Frida動(dòng)態(tài)Hook與加密算法還原)
1. 項(xiàng)目概述一次對(duì)短視頻SDK核心協(xié)議的深度“解構(gòu)”最近在分析一些移動(dòng)應(yīng)用時(shí)我遇到了一個(gè)典型的場(chǎng)景一個(gè)集成了某流行短視頻SDK的應(yīng)用其核心的get_token接口請(qǐng)求被加密得嚴(yán)嚴(yán)實(shí)實(shí)。無論是想了解其安全機(jī)制還是進(jìn)行一些合規(guī)的協(xié)議分析這個(gè)加密流程都像一堵墻擋在前面。這讓我決定必須把這堵墻拆開看看里面到底是怎么砌的。逆向工程尤其是針對(duì)移動(dòng)端SDK的協(xié)議分析從來都不是為了破壞而是為了理解。理解一個(gè)成熟SDK如何設(shè)計(jì)其安全通信層對(duì)于安全研究員、開發(fā)者在構(gòu)建自身防御體系或進(jìn)行合規(guī)測(cè)試時(shí)具有極高的參考價(jià)值。本次實(shí)戰(zhàn)我們就聚焦于這個(gè)看似簡(jiǎn)單的get_token協(xié)議我將帶你一步步拆解其加密流程并分享在動(dòng)態(tài)調(diào)試過程中如何使用Frida這個(gè)“瑞士軍刀”來繞過反調(diào)試、Hook關(guān)鍵函數(shù)最終還原出清晰的加密邏輯。無論你是對(duì)移動(dòng)安全感興趣的初學(xué)者還是有一定經(jīng)驗(yàn)但想深入?yún)f(xié)議層的開發(fā)者相信這篇詳盡的解析都能給你帶來實(shí)實(shí)在在的收獲。2. 逆向目標(biāo)與核心思路拆解2.1 目標(biāo)SDK與接口定位我們的目標(biāo)是一個(gè)廣泛用于內(nèi)容分享、用戶鑒權(quán)的短視頻SDK。其get_token接口通常是應(yīng)用啟動(dòng)或用戶會(huì)話初始化時(shí)調(diào)用的第一個(gè)關(guān)鍵請(qǐng)求用于從服務(wù)器獲取一個(gè)臨時(shí)的、有時(shí)效性的令牌Token后續(xù)幾乎所有需要身份驗(yàn)證的請(qǐng)求都會(huì)攜帶這個(gè)Token。因此這個(gè)接口的加密強(qiáng)度往往代表了該SDK安全設(shè)計(jì)的基線水平。通過抓包工具如Charles或Fiddler對(duì)集成了該SDK的應(yīng)用進(jìn)行流量捕獲我們可以清晰地看到這個(gè)請(qǐng)求。它通常是一個(gè)HTTPS POST請(qǐng)求URL路徑可能類似于/api/v1/token/get。請(qǐng)求體Body和關(guān)鍵的請(qǐng)求頭如某個(gè)自定義的X-Sign或X-Gorgon看起來是一串毫無規(guī)律的字符串明顯是經(jīng)過加密或簽名的結(jié)果。我們的核心目標(biāo)就是逆向出生成這串“亂碼”的完整算法流程。2.2 逆向分析的核心方法論面對(duì)一個(gè)閉源的、混淆過的SDK靜態(tài)分析直接閱讀反編譯的代碼往往步履維艱尤其是當(dāng)代碼被高度混淆類名、方法名變成a, b, c, d之后。因此動(dòng)態(tài)分析成為了更高效的選擇。我們的核心思路是“動(dòng)靜結(jié)合”靜態(tài)初探使用反編譯工具如JADX-GUI for Android, hopper/IDA for iOS快速瀏覽SDK的Java/Kotlin或Objective-C/Swift代碼結(jié)構(gòu)尋找可能與“token”、“encrypt”、“sign”、“crypto”相關(guān)的類和方法。即使名稱被混淆字符串常量、特定的API調(diào)用如MessageDigest.getInstance(“SHA-256”)或引入的第三方庫如okhttp3的攔截器都可能成為突破口。動(dòng)態(tài)追蹤這是本次實(shí)戰(zhàn)的重頭戲。我們會(huì)在設(shè)備或模擬器上運(yùn)行目標(biāo)應(yīng)用并注入Frida腳本。Frida允許我們?cè)趹?yīng)用運(yùn)行時(shí)動(dòng)態(tài)地?cái)r截Hook任意Java/Objective-C方法查看其傳入?yún)?shù)、返回值甚至修改其邏輯。我們的策略是從網(wǎng)絡(luò)層開始逐步向上追溯。起點(diǎn)Hook網(wǎng)絡(luò)庫如OkHttp的Interceptor或Call執(zhí)行方法iOS的NSURLSession相關(guān)方法。當(dāng)get_token請(qǐng)求發(fā)出時(shí)我們就能捕獲到即將發(fā)送的原始請(qǐng)求對(duì)象觀察其Body和Header在最終發(fā)出前一刻的狀態(tài)。回溯從網(wǎng)絡(luò)庫Hook點(diǎn)獲得的線索比如發(fā)現(xiàn)某個(gè)Header的值是由一個(gè)名為com.xxx.sdk.security.EncryptUtils.calculateSignature的方法生成的我們?cè)僦苯尤ook這個(gè)可疑的加密或簽名方法。驗(yàn)證與還原通過多次Hook記錄下該方法的輸入明文參數(shù)如時(shí)間戳、設(shè)備ID等和輸出加密后的簽名。通過分析多組輸入輸出數(shù)據(jù)結(jié)合靜態(tài)分析看到的算法代碼片段我們就能逐步推導(dǎo)并還原出完整的加密算法。注意現(xiàn)代SDK普遍具備反調(diào)試和反Hook能力。它們會(huì)檢測(cè)Frida等工具的存在導(dǎo)致應(yīng)用崩潰或行為異常。因此掌握如何繞過這些檢測(cè)是動(dòng)態(tài)分析能否成功的前提。我們會(huì)在后續(xù)章節(jié)專門討論Frida的“攻防”技巧。3. 環(huán)境準(zhǔn)備與工具鏈搭建工欲善其事必先利其器。一個(gè)穩(wěn)定、隱蔽的分析環(huán)境是成功的一半。3.1 設(shè)備與環(huán)境選擇Android平臺(tái)推薦使用一臺(tái)已Root的物理安卓手機(jī)或者使用內(nèi)置了Magisk等Root方案的Android模擬器如夜神、雷電模擬器的特定版本。物理手機(jī)的真實(shí)性更高但模擬器在快照、多開方面更方便。絕對(duì)不要使用生產(chǎn)環(huán)境的主力機(jī)。iOS平臺(tái)分析iOS應(yīng)用需要越獄設(shè)備。可以選用Checkra1n越獄的舊款iPhoneiPhone X及以下或者使用一些較新的越獄工具。在越獄設(shè)備上安裝Frida后分析流程與Android類似但對(duì)象是Objective-C/Swift的運(yùn)行時(shí)。本次實(shí)戰(zhàn)以Android為例因?yàn)槠涔ぞ哝湼_放受眾更廣。但核心的Frida Hook思想和繞過技巧是跨平臺(tái)相通的。3.2 核心工具安裝與配置Frida服務(wù)端 (frida-server)下載與你的設(shè)備CPU架構(gòu)通常是arm或arm64對(duì)應(yīng)的frida-server文件通過adb push推送到設(shè)備并賦予可執(zhí)行權(quán)限在后臺(tái)運(yùn)行。客戶端 (frida-tools)在你的電腦分析機(jī)上使用pip安裝pip install frida-tools。安裝后可以通過frida-ps -U命令查看設(shè)備上運(yùn)行的進(jìn)程列表以驗(yàn)證連接是否成功。抓包工具Charles Proxy或mitmproxy。用于捕獲HTTPS流量。必須要在設(shè)備和電腦上安裝并信任Charles/mitmproxy的CA證書才能解密HTTPS通信。這是觀察明文請(qǐng)求加密前和服務(wù)器響應(yīng)解密后的窗口。反編譯工具JADX-GUI。用于將目標(biāo)APK文件反編譯為可讀的Java代碼進(jìn)行靜態(tài)瀏覽和搜索。雖然動(dòng)態(tài)分析為主但靜態(tài)查看能提供關(guān)鍵的上下文和線索。開發(fā)環(huán)境Python 3和Node.js。Frida腳本可以用Python或JavaScript編寫我個(gè)人更推薦JS因其在Frida環(huán)境中更原生、靈活。準(zhǔn)備一個(gè)代碼編輯器如VSCode來編寫和調(diào)試你的Frida腳本。3.3 目標(biāo)應(yīng)用準(zhǔn)備獲取目標(biāo)應(yīng)用的APK文件。可以從官方應(yīng)用商店下載后使用工具提取或者從一些第三方APK鏡像網(wǎng)站獲取。務(wù)必確保你分析的應(yīng)用版本與你的研究目標(biāo)一致。將APK拖入JADX-GUI先進(jìn)行一遍快速靜態(tài)分析搜索“token”、“get”、“encrypt”、“sign”、“aes”、“rsa”、“md5”、“sha”等關(guān)鍵詞對(duì)SDK的代碼結(jié)構(gòu)有個(gè)初步印象記下一些可疑的類名和方法名哪怕它們是混淆過的。4. 動(dòng)態(tài)分析實(shí)戰(zhàn)從抓包到Hook4.1 網(wǎng)絡(luò)流量捕獲與初步觀察首先確保你的設(shè)備代理設(shè)置正確指向運(yùn)行Charles的電腦。在Charles中開啟SSL代理并確保設(shè)備已安裝并信任Charles的根證書。啟動(dòng)目標(biāo)應(yīng)用觸發(fā)get_token請(qǐng)求通常是啟動(dòng)應(yīng)用或進(jìn)行需要登錄的操作。在Charles中你應(yīng)該能看到一個(gè)HTTPS請(qǐng)求其響應(yīng)可能是一個(gè)JSON包含token、expires_in等字段。但我們的焦點(diǎn)在請(qǐng)求上。查看這個(gè)POST請(qǐng)求URL確認(rèn)是目標(biāo)接口。Headers重點(diǎn)關(guān)注那些非標(biāo)準(zhǔn)的、看似隨機(jī)的Header例如X-SignX-KhronosX-Gorgon等。這些往往是簽名或加密后的結(jié)果。X-Khronos很可能就是明文的時(shí)間戳。Body可能是application/x-www-form-urlencoded格式的鍵值對(duì)也可能是application/json。但很多時(shí)候Body本身也可能被加密顯示為一串Base64編碼的字符串或直接是二進(jìn)制數(shù)據(jù)。記下這些加密后的字符串Signature/Body以及同時(shí)刻的明文信息如URL路徑、可能的時(shí)間戳X-Khronos、請(qǐng)求體若未加密則記錄其內(nèi)容。我們需要多收集幾組在不同時(shí)間、不同設(shè)備信息下的請(qǐng)求數(shù)據(jù)以便后續(xù)分析算法的輸入輸出關(guān)系。4.2 Frida Hook網(wǎng)絡(luò)層定位加密點(diǎn)現(xiàn)在Frida要上場(chǎng)了。我們的第一個(gè)Hook目標(biāo)是網(wǎng)絡(luò)庫。對(duì)于大多數(shù)Android應(yīng)用OkHttp3是最流行的HTTP客戶端庫。編寫一個(gè)Frida JavaScript腳本Hookokhttp3.OkHttpClient的newCall方法或者更精確地Hookokhttp3.Interceptor接口的intercept方法因?yàn)楹灻壿嫵３７旁谧远x的Interceptor里。// hook_network.js Java.perform(function () { var OkHttpClient Java.use(okhttp3.OkHttpClient); var Interceptor Java.use(okhttp3.Interceptor); // 方法1Hook OkHttpClient的newCall打印所有請(qǐng)求的URL和Headers OkHttpClient.newCall.implementation function (request) { console.log([*] OkHttpClient.newCall called!); var url request.url().toString(); var headers request.headers(); console.log(URL: url); console.log(Headers: headers.toString()); // 特別打印我們關(guān)心的自定義Header var signHeader headers.get(X-Sign); if (signHeader) { console.log([*] Found X-Sign: signHeader); } // 打印請(qǐng)求體如果是簡(jiǎn)單的類型 var body request.body(); if (body) { // 注意body內(nèi)容可能需要特殊處理才能讀取這里是一個(gè)簡(jiǎn)單示例 try { var buffer Java.use(okio.Buffer).$new(); body.writeTo(buffer); var bodyString buffer.readUtf8(); console.log(Request Body: bodyString); } catch (e) { console.log(Cannot read body: e); } } // 繼續(xù)執(zhí)行原方法 return this.newCall(request); }; // 方法2尋找并Hook可能的簽名Interceptor // 通常SDK會(huì)通過addInterceptor添加自己的簽名邏輯 // 我們可以枚舉所有Interceptor或者通過堆棧分析找到它 });運(yùn)行腳本frida -U -f com.target.app -l hook_network.js --no-pause觀察控制臺(tái)輸出當(dāng)get_token請(qǐng)求觸發(fā)時(shí)你會(huì)看到詳細(xì)的請(qǐng)求信息。關(guān)鍵是要看在請(qǐng)求最終發(fā)出前那些加密的Header如X-Sign是否已經(jīng)存在。如果存在說明加密發(fā)生在更早的階段我們需要回溯。更有效的方法是在打印請(qǐng)求信息的同時(shí)打印當(dāng)前的調(diào)用堆棧Java.use(“android.util.Log”).getStackTraceString(Java.use(“java.lang.Exception”).$new())。從堆棧信息中你可以看到是哪個(gè)類的哪個(gè)方法最終調(diào)用了newCall順著這個(gè)堆棧往上找很可能就找到了執(zhí)行加密簽名操作的那個(gè)核心方法。4.3 定位并Hook核心加密方法通過堆棧分析或靜態(tài)搜索你可能會(huì)定位到一個(gè)疑似負(fù)責(zé)簽名的類比如com.xxx.sdk.security.SignatureHelper里面有一個(gè)方法calculateSign。編寫新的Frida腳本去Hook它// hook_signature.js Java.perform(function () { var targetClass com.xxx.sdk.security.SignatureHelper; // 替換為實(shí)際類名 var targetMethod calculateSign; // 替換為實(shí)際方法名 var SignatureHelper Java.use(targetClass); // 注意方法可能有重載需要指定參數(shù)類型 // 使用.overload(...)來指定如果不確定可以先枚舉所有方法 SignatureHelper[targetMethod].overload(java.lang.String, java.lang.String, java.util.Map).implementation function (url, timestamp, params) { console.log(\n[*] Hooked targetClass . targetMethod !); console.log(Input - URL: url); console.log(Input - Timestamp: timestamp); console.log(Input - Params: params); // 調(diào)用原方法獲取計(jì)算結(jié)果 var result this[targetMethod](url, timestamp, params); console.log(Output - Sign: result); // 將輸入輸出保存下來用于后續(xù)分析 send({ type: sign_data, input: {url: url, timestamp: timestamp, params: JSON.stringify(params)}, output: result }); return result; // 返回原結(jié)果不影響程序運(yùn)行 }; });這個(gè)腳本會(huì)在加密方法被調(diào)用時(shí)打印出其所有的輸入?yún)?shù)明文和輸出結(jié)果密文。收集多組這樣的數(shù)據(jù)對(duì)是逆向算法的基石。4.4 繞過SDK的反調(diào)試與反Hook機(jī)制這是動(dòng)態(tài)分析中最具挑戰(zhàn)性的環(huán)節(jié)之一。SDK可能會(huì)集成以下檢測(cè)檢測(cè)Frida通過檢查特定端口如27042Frida默認(rèn)端口、查找frida-agent相關(guān)字符串、或嘗試連接Frida服務(wù)端來檢測(cè)。檢測(cè)調(diào)試器檢查android.os.Debug.isDebuggerConnected()、TracerPid等。檢測(cè)Hook通過校驗(yàn)自身關(guān)鍵方法的字節(jié)碼或調(diào)用棧深度是否異常。應(yīng)對(duì)策略端口隱藏啟動(dòng)Frida-server時(shí)使用非默認(rèn)端口并通過-l參數(shù)綁定到本地回環(huán)地址避免外部檢測(cè)./frida-server -l 127.0.0.1:8080。在客戶端連接時(shí)指定端口。字符串隱藏使用Frida的Interceptor修改內(nèi)存將進(jìn)程內(nèi)存中出現(xiàn)的“frida”、“gum-js”等特征字符串替換為亂碼。主動(dòng)對(duì)抗直接Hook這些檢測(cè)方法讓它們返回“安全”的結(jié)果。// anti_anti_frida.js Java.perform(function () { // 示例繞過 isDebuggerConnected 檢測(cè) var Debug Java.use(android.os.Debug); Debug.isDebuggerConnected.implementation function () { console.log([*] Bypass isDebuggerConnected check); return false; // 永遠(yuǎn)返回未調(diào)試 }; // 示例如果SDK通過讀取/proc/self/status檢查TracerPid var FileInputStream Java.use(java.io.FileInputStream); FileInputStream.$init.overload(java.io.File).implementation function (file) { var path file.getPath(); if (path.indexOf(/proc/self/status) ! -1) { console.log([*] Intercepting read of /proc/self/status); // 這里可以返回一個(gè)偽造的File對(duì)象或進(jìn)行更復(fù)雜的替換需要根據(jù)具體情況設(shè)計(jì) // 一種思路是Hook讀取內(nèi)容的方法將‘TracerPid:\t[非零]’替換為‘TracerPid:\t0’ } return this.$init(file); }; });使用更隱蔽的模式Frida的D-Bus通信模式可能被檢測(cè)可以嘗試使用repl模式或研究其他注入方式。終極方案如果SDK保護(hù)極其強(qiáng)悍可能需要結(jié)合Xposed針對(duì)Java層、內(nèi)核模塊針對(duì)Native層或使用基于仿真器的動(dòng)態(tài)分析平臺(tái)如Unicorn, QEMU進(jìn)行脫機(jī)分析但這已超出本文基礎(chǔ)范疇。實(shí)操心得反調(diào)試對(duì)抗是一個(gè)貓鼠游戲。沒有一勞永逸的方案。最實(shí)用的方法是“按需繞過”——先讓應(yīng)用跑起來當(dāng)觸發(fā)崩潰或異常行為時(shí)通過日志或崩潰堆棧定位到具體的檢測(cè)點(diǎn)然后針對(duì)性地Hook或修改。同時(shí)保持Frida和腳本的更新關(guān)注安全社區(qū)的新繞過技術(shù)。5. 加密算法還原與驗(yàn)證在成功Hook到核心加密方法并收集了足夠多的輸入輸出數(shù)據(jù)對(duì)后就可以開始算法還原了。5.1 數(shù)據(jù)分析與模式識(shí)別假設(shè)我們Hook到的方法簽名是calculateSign(String url, String timestamp, Map params) 輸出一個(gè)32位的十六進(jìn)制字符串看起來像MD5。固定輸入觀察輸出保持url和params不變僅改變timestamp觀察輸出sign是否變化。如果變化說明timestamp是簽名因子之一。變化輸入觀察規(guī)律改變params中的某個(gè)值看sign的變化是否劇烈且無直接關(guān)聯(lián)。這符合哈希函數(shù)的特性。猜測(cè)算法類型輸出長(zhǎng)度32位十六進(jìn)制128位很可能是MD5。輸出長(zhǎng)度64位十六進(jìn)制256位很可能是SHA-256。輸出長(zhǎng)度不定且包含/、、可能是Base64編碼后的AES或RSA加密結(jié)果。拼接實(shí)驗(yàn)最常見的簽名算法是將所有參數(shù)按特定順序和格式拼接成一個(gè)字符串然后進(jìn)行哈希計(jì)算。例如sign md5(url “” timestamp “” sorted(params_kv_string))。你可以用收集到的明文參數(shù)按照不同的拼接方式直接拼接、加分隔符、鍵值對(duì)用連接等和排序規(guī)則按鍵名升序本地計(jì)算哈希值然后與Hook到的sign對(duì)比。一旦匹配成功算法就還原了。5.2 算法還原實(shí)例假設(shè)我們通過對(duì)比分析推測(cè)算法是sign md5( url “|” timestamp “|” sorted(params_kv) )其中params_kv是將paramsMap中的所有鍵值對(duì)按鍵名升序排列拼接成key1value1key2value2的格式。我們可以用Python快速驗(yàn)證import hashlib import urllib.parse def calculate_sign(url, timestamp, params): # 對(duì)params按鍵名排序 sorted_params sorted(params.items(), keylambda x: x[0]) # 拼接鍵值對(duì) params_str .join([f{k}{v} for k, v in sorted_params]) # 構(gòu)造待簽名字符串 string_to_sign f{url}|{timestamp}|{params_str} # 計(jì)算MD5 m hashlib.md5() m.update(string_to_sign.encode(utf-8)) return m.hexdigest() # 使用從Frida Hook中捕獲的一組真實(shí)數(shù)據(jù)測(cè)試 test_url /api/v1/token/get test_timestamp 1689134215 test_params {device_id: abc123, version: 1.0.0} calculated_sign calculate_sign(test_url, test_timestamp, test_params) print(fCalculated Sign: {calculated_sign}) # 與你Hook到的真實(shí)sign對(duì)比如果計(jì)算結(jié)果與真實(shí)sign一致恭喜你算法還原成功如果不一致檢查拼接順序、分隔符、是否對(duì)值進(jìn)行了URL編碼、是否包含了一些隱藏的固定鹽值salt或密鑰。5.3 處理更復(fù)雜的加密AES/RSA如果加密體是請(qǐng)求Body本身算法可能更復(fù)雜涉及對(duì)稱加密如AES或非對(duì)稱加密如RSA。AES需要找到密鑰Key和初始化向量IV。它們可能硬編碼在代碼里也可能由服務(wù)器動(dòng)態(tài)下發(fā)但首次get_token時(shí)可能需要一個(gè)預(yù)置的或非對(duì)稱加密保護(hù)的密鑰。Hook加密方法時(shí)除了輸入輸出還要留意方法內(nèi)部的SecretKeySpec或IvParameterSpec的生成過程。RSA通常用于加密一個(gè)臨時(shí)的AES密鑰即混合加密。需要找到SDK內(nèi)置的公鑰。公鑰可能以字符串形式硬編碼或從某個(gè)配置文件中讀取。HookCipher.getInstance(“RSA/ECB/PKCS1Padding”)等初始化方法以及cipher.init(Cipher.ENCRYPT_MODE, publicKey)。對(duì)于這類加密動(dòng)態(tài)Hook獲取到密鑰材料后就可以在本地完全復(fù)現(xiàn)加密過程了。6. 常見問題排查與Frida調(diào)試技巧實(shí)錄在實(shí)際操作中你會(huì)遇到各種各樣的問題。這里記錄一些典型的坑和解決技巧。6.1 Frida連接與注入失敗癥狀frida-ps -U無輸出或提示連接被拒絕。排查檢查設(shè)備連接adb devices確認(rèn)設(shè)備在線。檢查frida-server通過adb shell進(jìn)入設(shè)備執(zhí)行ps | grep frida確認(rèn)frida-server進(jìn)程在運(yùn)行。檢查是否使用了正確的架構(gòu)版本。檢查端口與網(wǎng)絡(luò)確保電腦和設(shè)備在同一網(wǎng)絡(luò)防火墻沒有阻止相關(guān)端口。如果使用USB確保adb forward配置正確Frida通常自動(dòng)處理。權(quán)限問題在已Root的設(shè)備上frida-server可能需要以root用戶啟動(dòng)。6.2 Hook方法時(shí)找不到類或方法癥狀Java.use(‘com.xxx.Class’)拋出ClassNotFoundException。排查類加載器Android中有多個(gè)ClassLoader。使用Java.enumerateClassLoaders()來枚舉所有加載器并嘗試在每個(gè)加載器下查找類。Java.perform(function () { Java.enumerateClassLoaders({ onMatch: function (loader) { try { Java.classFactory.loader loader; var targetClass Java.use(com.xxx.Class); console.log([*] Found class with loader: loader); // Hook邏輯... } catch (e) { // 這個(gè)loader沒有繼續(xù)嘗試下一個(gè) } }, onComplete: function () {} }); });類名混淆你看到的類名可能是混淆后的如a.b.c。通過靜態(tài)分析查看調(diào)用關(guān)系或者Hook已知方法如網(wǎng)絡(luò)請(qǐng)求入口后打印堆棧從堆棧中尋找可疑的類名。方法重載使用.overload(‘java.lang.String’)來指定確切的參數(shù)類型。使用Class.$methods或Class.$ownMethods查看類所有方法確定正確的簽名。6.3 應(yīng)用崩潰或行為異常反調(diào)試觸發(fā)癥狀注入Frida腳本后應(yīng)用立即閃退或網(wǎng)絡(luò)請(qǐng)求失敗。排查延遲注入不要一開始就注入所有Hook腳本。先注入一個(gè)最簡(jiǎn)單的、只打印日志的腳本確認(rèn)基礎(chǔ)環(huán)境OK。然后逐步添加Hook定位是哪個(gè)Hook導(dǎo)致了崩潰。時(shí)序問題有些方法可能在非常早的時(shí)機(jī)如Application.onCreate就被調(diào)用此時(shí)Frida的Java運(yùn)行時(shí)可能還未完全準(zhǔn)備好。可以嘗試使用setImmediate或setTimeout來延遲Hook操作。主動(dòng)繞過如4.4節(jié)所述編寫反反調(diào)試腳本并優(yōu)先注入。可以搜索網(wǎng)絡(luò)上開源的“Frida反反調(diào)試”腳本作為基礎(chǔ)進(jìn)行修改。6.4 加密算法還原驗(yàn)證失敗癥狀本地實(shí)現(xiàn)的算法計(jì)算結(jié)果與Hook到的值不一致。排查數(shù)據(jù)完整性確認(rèn)Hook時(shí)打印的輸入?yún)?shù)是完整的、未經(jīng)修改的。有些參數(shù)可能在傳遞過程中被編碼如URL編碼、Base64。編碼問題確保拼接字符串時(shí)使用的字符編碼UTF-8與SDK內(nèi)部一致。在計(jì)算哈希前將字符串轉(zhuǎn)換成字節(jié)數(shù)組時(shí)指定編碼。隱藏參數(shù)算法可能包含一些未顯式傳遞的“固定鹽值”或“設(shè)備指紋”這些值可能從SharedPreferences、系統(tǒng)屬性、或某個(gè)全局單例中獲取。需要Hook更廣的范圍來發(fā)現(xiàn)它們。算法細(xì)節(jié)哈希算法可能有多次迭代、加鹽哈希HMAC等變種。仔細(xì)查看靜態(tài)反編譯代碼中MessageDigest或Mac用于HMAC的初始化過程。6.5 Frida腳本調(diào)試技巧使用console.log()這是最基本的調(diào)試手段打印變量、堆棧、方法調(diào)用信息。使用send()和recv()在Python端編寫Frida腳本時(shí)可以用send()將數(shù)據(jù)從JS發(fā)送到Python用recv()接收Python端的指令實(shí)現(xiàn)雙向通信便于動(dòng)態(tài)控制和分析。異常處理在Hook的實(shí)現(xiàn)函數(shù)中用try-catch包裹你的代碼和原方法調(diào)用避免因?yàn)槟愕哪_本錯(cuò)誤導(dǎo)致應(yīng)用崩潰。查看對(duì)象結(jié)構(gòu)對(duì)于不熟悉的Java對(duì)象可以使用JSON.stringify(Java.use(‘a(chǎn)ndroid.util.Log’).getStackTraceString(obj))或者直接遍歷對(duì)象的字段和方法。逆向分析是一個(gè)需要極大耐心和細(xì)致觀察力的過程。每一個(gè)加密的SDK都可能是一套獨(dú)特的謎題。本次對(duì)短視頻SDKget_token協(xié)議的解析不僅是一次技術(shù)實(shí)踐更是一次完整的方法論演練。從環(huán)境搭建、工具使用到動(dòng)態(tài)Hook、反調(diào)試對(duì)抗再到最后的算法還原與驗(yàn)證每一步都充滿了挑戰(zhàn)和樂趣。掌握這套流程后你面對(duì)大多數(shù)移動(dòng)端的協(xié)議加密分析時(shí)都將擁有清晰的思路和有力的工具。記住核心永遠(yuǎn)是大膽假設(shè)小心求證動(dòng)態(tài)追蹤靜動(dòng)結(jié)合。 短視頻SDK安全協(xié)議逆向?qū)崙?zhàn)：Frida動(dòng)態(tài)Hook與加密算法還原
1. 項(xiàng)目概述一次對(duì)短視頻SDK核心協(xié)議的深度“解構(gòu)”最近在分析一些移動(dòng)應(yīng)用時(shí)我遇到了一個(gè)典型的場(chǎng)景一個(gè)集成了某流行短視頻SDK的應(yīng)用其核心的get_token接口請(qǐng)求被加密得嚴(yán)嚴(yán)實(shí)實(shí)。無論是想了解其安全機(jī)制還是進(jìn)行一些合規(guī)的協(xié)議分析這個(gè)加密流程都像一堵墻擋在前面。這讓我決定必須把這堵墻拆開看看里面到底是怎么砌的。逆向工程尤其是針對(duì)移動(dòng)端SDK的協(xié)議分析從來都不是為了破壞而是為了理解。理解一個(gè)成熟SDK如何設(shè)計(jì)其安全通信層對(duì)于安全研究員、開發(fā)者在構(gòu)建自身防御體系或進(jìn)行合規(guī)測(cè)試時(shí)具有極高的參考價(jià)值。本次實(shí)戰(zhàn)我們就聚焦于這個(gè)看似簡(jiǎn)單的get_token協(xié)議我將帶你一步步拆解其加密流程并分享在動(dòng)態(tài)調(diào)試過程中如何使用Frida這個(gè)“瑞士軍刀”來繞過反調(diào)試、Hook關(guān)鍵函數(shù)最終還原出清晰的加密邏輯。無論你是對(duì)移動(dòng)安全感興趣的初學(xué)者還是有一定經(jīng)驗(yàn)但想深入?yún)f(xié)議層的開發(fā)者相信這篇詳盡的解析都能給你帶來實(shí)實(shí)在在的收獲。2. 逆向目標(biāo)與核心思路拆解2.1 目標(biāo)SDK與接口定位我們的目標(biāo)是一個(gè)廣泛用于內(nèi)容分享、用戶鑒權(quán)的短視頻SDK。其get_token接口通常是應(yīng)用啟動(dòng)或用戶會(huì)話初始化時(shí)調(diào)用的第一個(gè)關(guān)鍵請(qǐng)求用于從服務(wù)器獲取一個(gè)臨時(shí)的、有時(shí)效性的令牌Token后續(xù)幾乎所有需要身份驗(yàn)證的請(qǐng)求都會(huì)攜帶這個(gè)Token。因此這個(gè)接口的加密強(qiáng)度往往代表了該SDK安全設(shè)計(jì)的基線水平。通過抓包工具如Charles或Fiddler對(duì)集成了該SDK的應(yīng)用進(jìn)行流量捕獲我們可以清晰地看到這個(gè)請(qǐng)求。它通常是一個(gè)HTTPS POST請(qǐng)求URL路徑可能類似于/api/v1/token/get。請(qǐng)求體Body和關(guān)鍵的請(qǐng)求頭如某個(gè)自定義的X-Sign或X-Gorgon看起來是一串毫無規(guī)律的字符串明顯是經(jīng)過加密或簽名的結(jié)果。我們的核心目標(biāo)就是逆向出生成這串“亂碼”的完整算法流程。2.2 逆向分析的核心方法論面對(duì)一個(gè)閉源的、混淆過的SDK靜態(tài)分析直接閱讀反編譯的代碼往往步履維艱尤其是當(dāng)代碼被高度混淆類名、方法名變成a, b, c, d之后。因此動(dòng)態(tài)分析成為了更高效的選擇。我們的核心思路是“動(dòng)靜結(jié)合”靜態(tài)初探使用反編譯工具如JADX-GUI for Android, hopper/IDA for iOS快速瀏覽SDK的Java/Kotlin或Objective-C/Swift代碼結(jié)構(gòu)尋找可能與“token”、“encrypt”、“sign”、“crypto”相關(guān)的類和方法。即使名稱被混淆字符串常量、特定的API調(diào)用如MessageDigest.getInstance(“SHA-256”)或引入的第三方庫如okhttp3的攔截器都可能成為突破口。動(dòng)態(tài)追蹤這是本次實(shí)戰(zhàn)的重頭戲。我們會(huì)在設(shè)備或模擬器上運(yùn)行目標(biāo)應(yīng)用并注入Frida腳本。Frida允許我們?cè)趹?yīng)用運(yùn)行時(shí)動(dòng)態(tài)地?cái)r截Hook任意Java/Objective-C方法查看其傳入?yún)?shù)、返回值甚至修改其邏輯。我們的策略是從網(wǎng)絡(luò)層開始逐步向上追溯。起點(diǎn)Hook網(wǎng)絡(luò)庫如OkHttp的Interceptor或Call執(zhí)行方法iOS的NSURLSession相關(guān)方法。當(dāng)get_token請(qǐng)求發(fā)出時(shí)我們就能捕獲到即將發(fā)送的原始請(qǐng)求對(duì)象觀察其Body和Header在最終發(fā)出前一刻的狀態(tài)。回溯從網(wǎng)絡(luò)庫Hook點(diǎn)獲得的線索比如發(fā)現(xiàn)某個(gè)Header的值是由一個(gè)名為com.xxx.sdk.security.EncryptUtils.calculateSignature的方法生成的我們?cè)僦苯尤ook這個(gè)可疑的加密或簽名方法。驗(yàn)證與還原通過多次Hook記錄下該方法的輸入明文參數(shù)如時(shí)間戳、設(shè)備ID等和輸出加密后的簽名。通過分析多組輸入輸出數(shù)據(jù)結(jié)合靜態(tài)分析看到的算法代碼片段我們就能逐步推導(dǎo)并還原出完整的加密算法。注意現(xiàn)代SDK普遍具備反調(diào)試和反Hook能力。它們會(huì)檢測(cè)Frida等工具的存在導(dǎo)致應(yīng)用崩潰或行為異常。因此掌握如何繞過這些檢測(cè)是動(dòng)態(tài)分析能否成功的前提。我們會(huì)在后續(xù)章節(jié)專門討論Frida的“攻防”技巧。3. 環(huán)境準(zhǔn)備與工具鏈搭建工欲善其事必先利其器。一個(gè)穩(wěn)定、隱蔽的分析環(huán)境是成功的一半。3.1 設(shè)備與環(huán)境選擇Android平臺(tái)推薦使用一臺(tái)已Root的物理安卓手機(jī)或者使用內(nèi)置了Magisk等Root方案的Android模擬器如夜神、雷電模擬器的特定版本。物理手機(jī)的真實(shí)性更高但模擬器在快照、多開方面更方便。絕對(duì)不要使用生產(chǎn)環(huán)境的主力機(jī)。iOS平臺(tái)分析iOS應(yīng)用需要越獄設(shè)備。可以選用Checkra1n越獄的舊款iPhoneiPhone X及以下或者使用一些較新的越獄工具。在越獄設(shè)備上安裝Frida后分析流程與Android類似但對(duì)象是Objective-C/Swift的運(yùn)行時(shí)。本次實(shí)戰(zhàn)以Android為例因?yàn)槠涔ぞ哝湼_放受眾更廣。但核心的Frida Hook思想和繞過技巧是跨平臺(tái)相通的。3.2 核心工具安裝與配置Frida服務(wù)端 (frida-server)下載與你的設(shè)備CPU架構(gòu)通常是arm或arm64對(duì)應(yīng)的frida-server文件通過adb push推送到設(shè)備并賦予可執(zhí)行權(quán)限在后臺(tái)運(yùn)行。客戶端 (frida-tools)在你的電腦分析機(jī)上使用pip安裝pip install frida-tools。安裝后可以通過frida-ps -U命令查看設(shè)備上運(yùn)行的進(jìn)程列表以驗(yàn)證連接是否成功。抓包工具Charles Proxy或mitmproxy。用于捕獲HTTPS流量。必須要在設(shè)備和電腦上安裝并信任Charles/mitmproxy的CA證書才能解密HTTPS通信。這是觀察明文請(qǐng)求加密前和服務(wù)器響應(yīng)解密后的窗口。反編譯工具JADX-GUI。用于將目標(biāo)APK文件反編譯為可讀的Java代碼進(jìn)行靜態(tài)瀏覽和搜索。雖然動(dòng)態(tài)分析為主但靜態(tài)查看能提供關(guān)鍵的上下文和線索。開發(fā)環(huán)境Python 3和Node.js。Frida腳本可以用Python或JavaScript編寫我個(gè)人更推薦JS因其在Frida環(huán)境中更原生、靈活。準(zhǔn)備一個(gè)代碼編輯器如VSCode來編寫和調(diào)試你的Frida腳本。3.3 目標(biāo)應(yīng)用準(zhǔn)備獲取目標(biāo)應(yīng)用的APK文件。可以從官方應(yīng)用商店下載后使用工具提取或者從一些第三方APK鏡像網(wǎng)站獲取。務(wù)必確保你分析的應(yīng)用版本與你的研究目標(biāo)一致。將APK拖入JADX-GUI先進(jìn)行一遍快速靜態(tài)分析搜索“token”、“get”、“encrypt”、“sign”、“aes”、“rsa”、“md5”、“sha”等關(guān)鍵詞對(duì)SDK的代碼結(jié)構(gòu)有個(gè)初步印象記下一些可疑的類名和方法名哪怕它們是混淆過的。4. 動(dòng)態(tài)分析實(shí)戰(zhàn)從抓包到Hook4.1 網(wǎng)絡(luò)流量捕獲與初步觀察首先確保你的設(shè)備代理設(shè)置正確指向運(yùn)行Charles的電腦。在Charles中開啟SSL代理并確保設(shè)備已安裝并信任Charles的根證書。啟動(dòng)目標(biāo)應(yīng)用觸發(fā)get_token請(qǐng)求通常是啟動(dòng)應(yīng)用或進(jìn)行需要登錄的操作。在Charles中你應(yīng)該能看到一個(gè)HTTPS請(qǐng)求其響應(yīng)可能是一個(gè)JSON包含token、expires_in等字段。但我們的焦點(diǎn)在請(qǐng)求上。查看這個(gè)POST請(qǐng)求URL確認(rèn)是目標(biāo)接口。Headers重點(diǎn)關(guān)注那些非標(biāo)準(zhǔn)的、看似隨機(jī)的Header例如X-SignX-KhronosX-Gorgon等。這些往往是簽名或加密后的結(jié)果。X-Khronos很可能就是明文的時(shí)間戳。Body可能是application/x-www-form-urlencoded格式的鍵值對(duì)也可能是application/json。但很多時(shí)候Body本身也可能被加密顯示為一串Base64編碼的字符串或直接是二進(jìn)制數(shù)據(jù)。記下這些加密后的字符串Signature/Body以及同時(shí)刻的明文信息如URL路徑、可能的時(shí)間戳X-Khronos、請(qǐng)求體若未加密則記錄其內(nèi)容。我們需要多收集幾組在不同時(shí)間、不同設(shè)備信息下的請(qǐng)求數(shù)據(jù)以便后續(xù)分析算法的輸入輸出關(guān)系。4.2 Frida Hook網(wǎng)絡(luò)層定位加密點(diǎn)現(xiàn)在Frida要上場(chǎng)了。我們的第一個(gè)Hook目標(biāo)是網(wǎng)絡(luò)庫。對(duì)于大多數(shù)Android應(yīng)用OkHttp3是最流行的HTTP客戶端庫。編寫一個(gè)Frida JavaScript腳本Hookokhttp3.OkHttpClient的newCall方法或者更精確地Hookokhttp3.Interceptor接口的intercept方法因?yàn)楹灻壿嫵３７旁谧远x的Interceptor里。// hook_network.js Java.perform(function () { var OkHttpClient Java.use(okhttp3.OkHttpClient); var Interceptor Java.use(okhttp3.Interceptor); // 方法1Hook OkHttpClient的newCall打印所有請(qǐng)求的URL和Headers OkHttpClient.newCall.implementation function (request) { console.log([*] OkHttpClient.newCall called!); var url request.url().toString(); var headers request.headers(); console.log(URL: url); console.log(Headers: headers.toString()); // 特別打印我們關(guān)心的自定義Header var signHeader headers.get(X-Sign); if (signHeader) { console.log([*] Found X-Sign: signHeader); } // 打印請(qǐng)求體如果是簡(jiǎn)單的類型 var body request.body(); if (body) { // 注意body內(nèi)容可能需要特殊處理才能讀取這里是一個(gè)簡(jiǎn)單示例 try { var buffer Java.use(okio.Buffer).$new(); body.writeTo(buffer); var bodyString buffer.readUtf8(); console.log(Request Body: bodyString); } catch (e) { console.log(Cannot read body: e); } } // 繼續(xù)執(zhí)行原方法 return this.newCall(request); }; // 方法2尋找并Hook可能的簽名Interceptor // 通常SDK會(huì)通過addInterceptor添加自己的簽名邏輯 // 我們可以枚舉所有Interceptor或者通過堆棧分析找到它 });運(yùn)行腳本frida -U -f com.target.app -l hook_network.js --no-pause觀察控制臺(tái)輸出當(dāng)get_token請(qǐng)求觸發(fā)時(shí)你會(huì)看到詳細(xì)的請(qǐng)求信息。關(guān)鍵是要看在請(qǐng)求最終發(fā)出前那些加密的Header如X-Sign是否已經(jīng)存在。如果存在說明加密發(fā)生在更早的階段我們需要回溯。更有效的方法是在打印請(qǐng)求信息的同時(shí)打印當(dāng)前的調(diào)用堆棧Java.use(“android.util.Log”).getStackTraceString(Java.use(“java.lang.Exception”).$new())。從堆棧信息中你可以看到是哪個(gè)類的哪個(gè)方法最終調(diào)用了newCall順著這個(gè)堆棧往上找很可能就找到了執(zhí)行加密簽名操作的那個(gè)核心方法。4.3 定位并Hook核心加密方法通過堆棧分析或靜態(tài)搜索你可能會(huì)定位到一個(gè)疑似負(fù)責(zé)簽名的類比如com.xxx.sdk.security.SignatureHelper里面有一個(gè)方法calculateSign。編寫新的Frida腳本去Hook它// hook_signature.js Java.perform(function () { var targetClass com.xxx.sdk.security.SignatureHelper; // 替換為實(shí)際類名 var targetMethod calculateSign; // 替換為實(shí)際方法名 var SignatureHelper Java.use(targetClass); // 注意方法可能有重載需要指定參數(shù)類型 // 使用.overload(...)來指定如果不確定可以先枚舉所有方法 SignatureHelper[targetMethod].overload(java.lang.String, java.lang.String, java.util.Map).implementation function (url, timestamp, params) { console.log(\n[*] Hooked targetClass . targetMethod !); console.log(Input - URL: url); console.log(Input - Timestamp: timestamp); console.log(Input - Params: params); // 調(diào)用原方法獲取計(jì)算結(jié)果 var result this[targetMethod](url, timestamp, params); console.log(Output - Sign: result); // 將輸入輸出保存下來用于后續(xù)分析 send({ type: sign_data, input: {url: url, timestamp: timestamp, params: JSON.stringify(params)}, output: result }); return result; // 返回原結(jié)果不影響程序運(yùn)行 }; });這個(gè)腳本會(huì)在加密方法被調(diào)用時(shí)打印出其所有的輸入?yún)?shù)明文和輸出結(jié)果密文。收集多組這樣的數(shù)據(jù)對(duì)是逆向算法的基石。4.4 繞過SDK的反調(diào)試與反Hook機(jī)制這是動(dòng)態(tài)分析中最具挑戰(zhàn)性的環(huán)節(jié)之一。SDK可能會(huì)集成以下檢測(cè)檢測(cè)Frida通過檢查特定端口如27042Frida默認(rèn)端口、查找frida-agent相關(guān)字符串、或嘗試連接Frida服務(wù)端來檢測(cè)。檢測(cè)調(diào)試器檢查android.os.Debug.isDebuggerConnected()、TracerPid等。檢測(cè)Hook通過校驗(yàn)自身關(guān)鍵方法的字節(jié)碼或調(diào)用棧深度是否異常。應(yīng)對(duì)策略端口隱藏啟動(dòng)Frida-server時(shí)使用非默認(rèn)端口并通過-l參數(shù)綁定到本地回環(huán)地址避免外部檢測(cè)./frida-server -l 127.0.0.1:8080。在客戶端連接時(shí)指定端口。字符串隱藏使用Frida的Interceptor修改內(nèi)存將進(jìn)程內(nèi)存中出現(xiàn)的“frida”、“gum-js”等特征字符串替換為亂碼。主動(dòng)對(duì)抗直接Hook這些檢測(cè)方法讓它們返回“安全”的結(jié)果。// anti_anti_frida.js Java.perform(function () { // 示例繞過 isDebuggerConnected 檢測(cè) var Debug Java.use(android.os.Debug); Debug.isDebuggerConnected.implementation function () { console.log([*] Bypass isDebuggerConnected check); return false; // 永遠(yuǎn)返回未調(diào)試 }; // 示例如果SDK通過讀取/proc/self/status檢查TracerPid var FileInputStream Java.use(java.io.FileInputStream); FileInputStream.$init.overload(java.io.File).implementation function (file) { var path file.getPath(); if (path.indexOf(/proc/self/status) ! -1) { console.log([*] Intercepting read of /proc/self/status); // 這里可以返回一個(gè)偽造的File對(duì)象或進(jìn)行更復(fù)雜的替換需要根據(jù)具體情況設(shè)計(jì) // 一種思路是Hook讀取內(nèi)容的方法將‘TracerPid:\t[非零]’替換為‘TracerPid:\t0’ } return this.$init(file); }; });使用更隱蔽的模式Frida的D-Bus通信模式可能被檢測(cè)可以嘗試使用repl模式或研究其他注入方式。終極方案如果SDK保護(hù)極其強(qiáng)悍可能需要結(jié)合Xposed針對(duì)Java層、內(nèi)核模塊針對(duì)Native層或使用基于仿真器的動(dòng)態(tài)分析平臺(tái)如Unicorn, QEMU進(jìn)行脫機(jī)分析但這已超出本文基礎(chǔ)范疇。實(shí)操心得反調(diào)試對(duì)抗是一個(gè)貓鼠游戲。沒有一勞永逸的方案。最實(shí)用的方法是“按需繞過”——先讓應(yīng)用跑起來當(dāng)觸發(fā)崩潰或異常行為時(shí)通過日志或崩潰堆棧定位到具體的檢測(cè)點(diǎn)然后針對(duì)性地Hook或修改。同時(shí)保持Frida和腳本的更新關(guān)注安全社區(qū)的新繞過技術(shù)。5. 加密算法還原與驗(yàn)證在成功Hook到核心加密方法并收集了足夠多的輸入輸出數(shù)據(jù)對(duì)后就可以開始算法還原了。5.1 數(shù)據(jù)分析與模式識(shí)別假設(shè)我們Hook到的方法簽名是calculateSign(String url, String timestamp, Map params) 輸出一個(gè)32位的十六進(jìn)制字符串看起來像MD5。固定輸入觀察輸出保持url和params不變僅改變timestamp觀察輸出sign是否變化。如果變化說明timestamp是簽名因子之一。變化輸入觀察規(guī)律改變params中的某個(gè)值看sign的變化是否劇烈且無直接關(guān)聯(lián)。這符合哈希函數(shù)的特性。猜測(cè)算法類型輸出長(zhǎng)度32位十六進(jìn)制128位很可能是MD5。輸出長(zhǎng)度64位十六進(jìn)制256位很可能是SHA-256。輸出長(zhǎng)度不定且包含/、、可能是Base64編碼后的AES或RSA加密結(jié)果。拼接實(shí)驗(yàn)最常見的簽名算法是將所有參數(shù)按特定順序和格式拼接成一個(gè)字符串然后進(jìn)行哈希計(jì)算。例如sign md5(url “” timestamp “” sorted(params_kv_string))。你可以用收集到的明文參數(shù)按照不同的拼接方式直接拼接、加分隔符、鍵值對(duì)用連接等和排序規(guī)則按鍵名升序本地計(jì)算哈希值然后與Hook到的sign對(duì)比。一旦匹配成功算法就還原了。5.2 算法還原實(shí)例假設(shè)我們通過對(duì)比分析推測(cè)算法是sign md5( url “|” timestamp “|” sorted(params_kv) )其中params_kv是將paramsMap中的所有鍵值對(duì)按鍵名升序排列拼接成key1value1key2value2的格式。我們可以用Python快速驗(yàn)證import hashlib import urllib.parse def calculate_sign(url, timestamp, params): # 對(duì)params按鍵名排序 sorted_params sorted(params.items(), keylambda x: x[0]) # 拼接鍵值對(duì) params_str .join([f{k}{v} for k, v in sorted_params]) # 構(gòu)造待簽名字符串 string_to_sign f{url}|{timestamp}|{params_str} # 計(jì)算MD5 m hashlib.md5() m.update(string_to_sign.encode(utf-8)) return m.hexdigest() # 使用從Frida Hook中捕獲的一組真實(shí)數(shù)據(jù)測(cè)試 test_url /api/v1/token/get test_timestamp 1689134215 test_params {device_id: abc123, version: 1.0.0} calculated_sign calculate_sign(test_url, test_timestamp, test_params) print(fCalculated Sign: {calculated_sign}) # 與你Hook到的真實(shí)sign對(duì)比如果計(jì)算結(jié)果與真實(shí)sign一致恭喜你算法還原成功如果不一致檢查拼接順序、分隔符、是否對(duì)值進(jìn)行了URL編碼、是否包含了一些隱藏的固定鹽值salt或密鑰。5.3 處理更復(fù)雜的加密AES/RSA如果加密體是請(qǐng)求Body本身算法可能更復(fù)雜涉及對(duì)稱加密如AES或非對(duì)稱加密如RSA。AES需要找到密鑰Key和初始化向量IV。它們可能硬編碼在代碼里也可能由服務(wù)器動(dòng)態(tài)下發(fā)但首次get_token時(shí)可能需要一個(gè)預(yù)置的或非對(duì)稱加密保護(hù)的密鑰。Hook加密方法時(shí)除了輸入輸出還要留意方法內(nèi)部的SecretKeySpec或IvParameterSpec的生成過程。RSA通常用于加密一個(gè)臨時(shí)的AES密鑰即混合加密。需要找到SDK內(nèi)置的公鑰。公鑰可能以字符串形式硬編碼或從某個(gè)配置文件中讀取。HookCipher.getInstance(“RSA/ECB/PKCS1Padding”)等初始化方法以及cipher.init(Cipher.ENCRYPT_MODE, publicKey)。對(duì)于這類加密動(dòng)態(tài)Hook獲取到密鑰材料后就可以在本地完全復(fù)現(xiàn)加密過程了。6. 常見問題排查與Frida調(diào)試技巧實(shí)錄在實(shí)際操作中你會(huì)遇到各種各樣的問題。這里記錄一些典型的坑和解決技巧。6.1 Frida連接與注入失敗癥狀frida-ps -U無輸出或提示連接被拒絕。排查檢查設(shè)備連接adb devices確認(rèn)設(shè)備在線。檢查frida-server通過adb shell進(jìn)入設(shè)備執(zhí)行ps | grep frida確認(rèn)frida-server進(jìn)程在運(yùn)行。檢查是否使用了正確的架構(gòu)版本。檢查端口與網(wǎng)絡(luò)確保電腦和設(shè)備在同一網(wǎng)絡(luò)防火墻沒有阻止相關(guān)端口。如果使用USB確保adb forward配置正確Frida通常自動(dòng)處理。權(quán)限問題在已Root的設(shè)備上frida-server可能需要以root用戶啟動(dòng)。6.2 Hook方法時(shí)找不到類或方法癥狀Java.use(‘com.xxx.Class’)拋出ClassNotFoundException。排查類加載器Android中有多個(gè)ClassLoader。使用Java.enumerateClassLoaders()來枚舉所有加載器并嘗試在每個(gè)加載器下查找類。Java.perform(function () { Java.enumerateClassLoaders({ onMatch: function (loader) { try { Java.classFactory.loader loader; var targetClass Java.use(com.xxx.Class); console.log([*] Found class with loader: loader); // Hook邏輯... } catch (e) { // 這個(gè)loader沒有繼續(xù)嘗試下一個(gè) } }, onComplete: function () {} }); });類名混淆你看到的類名可能是混淆后的如a.b.c。通過靜態(tài)分析查看調(diào)用關(guān)系或者Hook已知方法如網(wǎng)絡(luò)請(qǐng)求入口后打印堆棧從堆棧中尋找可疑的類名。方法重載使用.overload(‘java.lang.String’)來指定確切的參數(shù)類型。使用Class.$methods或Class.$ownMethods查看類所有方法確定正確的簽名。6.3 應(yīng)用崩潰或行為異常反調(diào)試觸發(fā)癥狀注入Frida腳本后應(yīng)用立即閃退或網(wǎng)絡(luò)請(qǐng)求失敗。排查延遲注入不要一開始就注入所有Hook腳本。先注入一個(gè)最簡(jiǎn)單的、只打印日志的腳本確認(rèn)基礎(chǔ)環(huán)境OK。然后逐步添加Hook定位是哪個(gè)Hook導(dǎo)致了崩潰。時(shí)序問題有些方法可能在非常早的時(shí)機(jī)如Application.onCreate就被調(diào)用此時(shí)Frida的Java運(yùn)行時(shí)可能還未完全準(zhǔn)備好。可以嘗試使用setImmediate或setTimeout來延遲Hook操作。主動(dòng)繞過如4.4節(jié)所述編寫反反調(diào)試腳本并優(yōu)先注入。可以搜索網(wǎng)絡(luò)上開源的“Frida反反調(diào)試”腳本作為基礎(chǔ)進(jìn)行修改。6.4 加密算法還原驗(yàn)證失敗癥狀本地實(shí)現(xiàn)的算法計(jì)算結(jié)果與Hook到的值不一致。排查數(shù)據(jù)完整性確認(rèn)Hook時(shí)打印的輸入?yún)?shù)是完整的、未經(jīng)修改的。有些參數(shù)可能在傳遞過程中被編碼如URL編碼、Base64。編碼問題確保拼接字符串時(shí)使用的字符編碼UTF-8與SDK內(nèi)部一致。在計(jì)算哈希前將字符串轉(zhuǎn)換成字節(jié)數(shù)組時(shí)指定編碼。隱藏參數(shù)算法可能包含一些未顯式傳遞的“固定鹽值”或“設(shè)備指紋”這些值可能從SharedPreferences、系統(tǒng)屬性、或某個(gè)全局單例中獲取。需要Hook更廣的范圍來發(fā)現(xiàn)它們。算法細(xì)節(jié)哈希算法可能有多次迭代、加鹽哈希HMAC等變種。仔細(xì)查看靜態(tài)反編譯代碼中MessageDigest或Mac用于HMAC的初始化過程。6.5 Frida腳本調(diào)試技巧使用console.log()這是最基本的調(diào)試手段打印變量、堆棧、方法調(diào)用信息。使用send()和recv()在Python端編寫Frida腳本時(shí)可以用send()將數(shù)據(jù)從JS發(fā)送到Python用recv()接收Python端的指令實(shí)現(xiàn)雙向通信便于動(dòng)態(tài)控制和分析。異常處理在Hook的實(shí)現(xiàn)函數(shù)中用try-catch包裹你的代碼和原方法調(diào)用避免因?yàn)槟愕哪_本錯(cuò)誤導(dǎo)致應(yīng)用崩潰。查看對(duì)象結(jié)構(gòu)對(duì)于不熟悉的Java對(duì)象可以使用JSON.stringify(Java.use(‘a(chǎn)ndroid.util.Log’).getStackTraceString(obj))或者直接遍歷對(duì)象的字段和方法。逆向分析是一個(gè)需要極大耐心和細(xì)致觀察力的過程。每一個(gè)加密的SDK都可能是一套獨(dú)特的謎題。本次對(duì)短視頻SDKget_token協(xié)議的解析不僅是一次技術(shù)實(shí)踐更是一次完整的方法論演練。從環(huán)境搭建、工具使用到動(dòng)態(tài)Hook、反調(diào)試對(duì)抗再到最后的算法還原與驗(yàn)證每一步都充滿了挑戰(zhàn)和樂趣。掌握這套流程后你面對(duì)大多數(shù)移動(dòng)端的協(xié)議加密分析時(shí)都將擁有清晰的思路和有力的工具。記住核心永遠(yuǎn)是大膽假設(shè)小心求證動(dòng)態(tài)追蹤靜動(dòng)結(jié)合。