4399游戏盒最新算法讲解

admin

第一次发教程 出现问题请见谅
, H5 l1 L: ^0 M3 {3 I" E这次是最新版本的4399游戏盒登陆密码加密讲解和两个sign的讲解  
4 ^3 V. Q  X% {, H
由于我测试的时候是无法对这个APP进行IDA调试的 所以就静态分析了一下


  ?  E/ w4 p3 J7 x! D3 u# q6 F

1. POST https://mapi.4399api.net/user/box/android/v1.0/log-in.html HTTP/1.1
   ! o8 O' k8 j( X, J$ \9 l0 Y2 C$ F( l5 }
2. User-Agent: 4399GameCenter/5.2.0.39 (android;Nexus 6P;6.0;1440x2392;WIFI;1376.416;yaoqing)
   
3. mareacode: 350100
   
4. a-id: decd74ca59799d58
   
5. e-id: 867981022896164
   
6. m-id: D4%3A61%3A4E%3A13%3A10%3A1F
   
7. s-id:
   
8. mauth:
   0 H2 h8 k, c3 H/ J' j5 J* U
9. mudid: 1085glt3vuUywD5g808eZb67a
   
10. pauth:
    ) O1 W: E! O5 D# ?( r/ Y/ B; j
11. SM-DEVICEID: 2019101514035076086dc3e7e2dc00afe0043881a46e18018036cbcdd51ca5
    
12. mdeviceId: 867981022896164
    
13. mauthcode:
    
14. Content-Type: application/x-www-form-urlencoded
    * @) q) k7 u2 B% B4 B/ x/ j9 k
15. Content-Length: 161
    
16. Host: mapi.4399api.net
    
17. Connection: Keep-Alive
    - q9 m  z( |! f. q5 g
18. Accept-Encoding: gzip
    
19. password=JE%2FYTsyiLwE%3D&deviceIdentifier=867981022896164&dateline=1571863440&sign=c80c8c800fa61cccc02e12e87da33620&model=Nexus%206P&username=13665098754&info=1

复制代码

这是抓到的登陆包
7 q! Z" H7 X$ }' P. f大概能看到两个参数需要处理 一个password 一个sign

反编译
3 w" B! Z, [) G+ A
1 ]# i! w+ g* J  L# I  I+ g找到关键点

* {) Y4 r5 ^9 V; {, i/ h1 u1 c跟进以后就是Native函数了 这里我们从名字就能大概知道password是一个DESCBC类型的加密(不排除重写) 我们也只是猜测


: v; _) ]7 ~2 z" g; q6 x9 a

1. public class AppNativeHelper {
   
2. static {
   
3. try {
   
4. SoFix.loadLibrary (BaseApplication.getApplication (), "m4399");
   , E+ {% T. b; D
5. Log.d ("AppNativeHelper", "load libm4399.so");
   
6. }
   8 g: |$ U* W/ U8 t* [, L. V
7. catch (SoLoadFailureException v0) {
   ) X. R: H! e5 w% c& ~" {  |& W/ ?
8. v0.printStackTrace ();
   3 T- N. q/ |, V
9. }
   
10. }
    
11. public AppNativeHelper () {
    ; L' d; a* m8 Y, ?. e
12. super ();
    / b! l. z9 Q, N2 c" a
13. }
    ) j# G+ J, Y$ M
14. public static native int applyPatch (String arg0, String arg1, String arg2) {
    
15. }
    3 F4 q/ x) F- d
16. public static native int delayRestartProcess (String arg0, String arg1, long arg2) {
    " ?) s9 J6 U, S* X
17. }
    4 r7 N$ B5 f6 Y: K7 H! ^8 u
18. public static final native String desCbcDecrypt (String arg0) {
    0 t# X5 D# Z  N6 _
19. }
    
20. public static final native String desCbcEncrypt (String arg0) {
    / |* S6 j9 \; k" E5 V& V) E" Q" j
21. }

复制代码

拿出libm4399.so拖进IDA进行处理  
1 V& j3 k. B: `. G
2 y3 X# k- C' ~  n' l/ U这个So是动态注册函数

所以我们进入Jni_onload 导入头文件 找到RegisterNatives函数
8 {; m) [/ ?  M* N! ^- g+ m$ cRegisterNatives中第三个参数就是我们注册Java函数的实际地址
- U7 G& W3 N. F9 U, b4 P; Z3 P


进去以后是DCD格式的 第一项是函数名 第二项好像是格式还是啥 重要的是第三项 这就是我们的函数地址了 找到我们要的函数 然后找到函数地址
, e5 e4 O: T$ i) J2 g6 b

然后进来这个函数

" Z0 P) M$ J$ r# X2 j- M
8 P+ P+ E, _$ h2 w& U5 z

1. int __fastcall sub_17024(int a1, int a2)
   ) m0 S% @3 L: Q# p  [# [5 [, T" b
2. {
   5 I( Q( V  ~+ `. }, w# d5 f" k3 m
3.   int v2; // r4
   
4.   int v3; // r5
   
5.   char *v4; // r6
   
6.   int v5; // r0
   " E% N$ i; G; S
7.   int v6; // r3
   / P, F0 n# O8 h8 a
8.   char v7; // r2
   ( ?& Q9 V* A$ j1 v( H
9.   int v8; // r4
   
10. 
    
11.   v2 = a2;
    ( \8 F8 ^% u: M2 ^( {- w
12.   v3 = a1;
    3 y* g! ?  }5 V+ O2 T
13.   v4 = sub_17274(9, 1);
    2 t: W6 j! s; s# Q# ?
14.   v5 = 0;
    
15.   do
    
16.   {
    
17.     v6 = (dword_1B040[-v5] + 101) >> 15;
    
18.     v7 = v6 ^ 151;
    2 m) _, i& }/ l, [0 x0 [
19.     if ( v6 >= 102 )
    
20.       v7 = v6;
    : s0 j' ^- Q% x( O
21.     v4[-v5--] = v7;
    
22.   }
    
23.   while ( v5 != -8 );                           // 循环8次 获取DESkey
    
24.   v8 = sub_64B8(v3, v2, v4);                    // //进入加密函数
    
25.   sub_17284(v4);
    $ x3 a0 M/ L1 e& _
26.   return v8;
    
27. }

复制代码

通过前前后后的分析 这里就是获取Key的重要地方了 从一个地址里面取值出来 然后循环处理8次 然后我们进入dword_1B040看

: B0 }7 F1 S0 f& c
5 J, P6 {4 s* k) n
; N0 {% s% {( n9 K+ X
1 j, O+ S0 a9 {) w! r. e看不出什么猫腻 我们转换一下格式 先转Double再转为array IDA右键就有
# g8 f" w  l% a. [  h: M

% e5 z/ |5 `+ q3 I

然后我用js翻译了这小段so逻辑理清楚后一下子就明白了

! T' J) A& T+ L# q
2 u4 j4 Y2 `+ t, e. T! B8 w

1. function get(a) {
   
2.     v6 = (a + 101) >> 15;
   
3.     v7 = v6 ^ 151;
   " b9 F$ f( t, t: b
4.     if (v6 >= 102) {
   
5.         v7 = v6;
   
6.     }
   
7.     return v7
   
8. }
   , n- d' o- M  e' Y- t
9. function a() {
   / |  [9 H5 w! ~4 ]6 @5 S
10.     arr = [0x3A7F9B, 0xFFDAFF9B, 0x3EFF9B, 0xFFD9FF9B, 0xFFCFFF9B, 0xFFEB7F9B, 0x3B7F9B, 0xFFD37F9B];
    ; X) g, c+ g1 k) O
11.     var aa = new Array();
    
12.     for (var i = 0; i < 8; i++) {
    
13.         aa.push(get(arr[i]))
    ! S3 C/ H* l4 f, A
14.     }
    
15.     return aa
    
16. }

复制代码

" e, I, w" V) g0 y& c这里返回的就应该是key数组了 {117,-223,126,-221,-201,-192,119,-208}
4 y# b8 L7 x6 D. A8 Q9 S然后转换到易语言的字节集就是{117,33,126,35,55,64,119,48}文本为u!~#7@w0 (这里的转换就是由于其他语言的byte取值范围 -128~ 127) 易语言好像没上限 所以我们只需要把-的给他加上256就能变成易语言的字节集了）

) h' L" [" l- M/ i" L* ?' o! ]0 F到这一步我们已经拿到了KEY了

现在就差一步IV了
, O3 U, W2 \8 ^4 }
. F( e5 E! T& o1 R前面一直没说
# f: J5 ~7 C. G2 F5 n5 }
- a% s2 ~, V0 B" C- Y( [% y# _因为这个so函数名全是匿名的 所以在分析的时候很难去判断这个函数到底是干嘛的 这种so分析起来就需要自己花点时间和结合经验来操作了
: P9 `" C0 [% p$ ~8 }1 A& L
这里我都给大家分析完了
$ z7 X# b( |  Z3 z6 k3 L

/ h2 i& V) p" m

, {9 `0 o% G1 ^6 `& O9 ~. k
我们已经找到了最关键的加密点了 而且我们现在key也有了 只差IV了
/ O: Y# Y: s3 B3 D: y, l8 T- e4 T( e
/ E# h% v: H, |5 A" O+ B" ?sub_4720这个匿名函数其实就是DES_cbc_encrypt
: _  A) G: R" H9 _# L- B+ r
, a2 j3 |% U) P# E; d' J+ Bvoid DES_ncbc_encrypt(const unsigned char *input,unsigned char *output,
/ z" I( M6 l, V) T0 o$ j' a              long length,DES_key_schedule *schedule,DES_cblock *ivec,
              int enc);

1 Q2 I0 S1 d/ a' f6 C9 d5 C; N这是DES_cbc_encrypt参数的定义
4 k' ~/ M6 d1 x7 }4 `
7 G% \( G7 J* \4 O2 j依次是输入流 输出流 长度 key iv flag
; ~: \3 O$ l# }. b- k( V" i! S
恰好能 对应上我们的函数 所以 iv应该就是我们&v11所指向的值了

, r9 k3 P. X& J6 _5 N2 a
) k* k9 m7 U6 ^; A" o! S

1. .text:00006618 ; 20:   v12 = 0xEFCDAB90;
   + f: q" F* ]1 f0 L! O
2. .text:00006618                 LDR     R0, =0xEFCDAB90
   
3. .text:0000661A                 STR     R0, [SP,#0xB0+var_9C]
   - N6 ~7 ]$ L, q- l
4. .text:0000661C ; 21:   v11 = 0x78563412;
   
5. .text:0000661C                 LDR     R0, =0x78563412
   5 f( v& a4 _0 [& n8 w1 t0 f
6. .text:0000661E                 STR     R0, [SP,#0xB0+var_A0]

复制代码

这里V11在我们的伪C代码中只赋值了0x78563412  但在汇编里面他实际是赋值了0xEFCDAB90 和0x78563412的 所以我们的iv应该就是0x1234567890ABCDEF
; D( a. X& J2 \% M; z
8 {( R8 M* {3 o6 c; o$ r6 O8 Z在我们运行的时候 取值事从后往前取得 两个一组 这个我确实也不太明白具体原因 也是在无名侠前辈哪里学得 也就是 EF CD AB 90 78 56 34 12 这样来拼接得
5 H8 U4 g. L+ S; M) }; [( G9 s
好了 现在我们key iv都有了 我们在不排除有变异得情况下可以来测试一下能不能解开密文




成功解开

这次so分析得难点其实就在于无法动态调试获取key或者IV 每一步逻辑都需要自己去看
其次就是全是匿名函数 需要自己花点时间去查看每个函数的功能

% j% ~6 Q9 h2 w8 N$ }* T& f  I& R但总统上还是不算难得 只是需要慢慢琢磨一下得
- G/ f( S. a9 p3 [5 D/ A
实在是太累了 如果大家对登陆得sign和签到得sign有想法我下次再给大家写文章把
3 |4 y  l1 k8 \) m8 w  t. x/ c


6 \+ s% g. u. j( ]! g