4399游戏盒最新算法讲解

admin

第一次发教程 出现问题请见谅
这次是最新版本的4399游戏盒登陆密码加密讲解和两个sign的讲解  
( Q7 I' f- @; K7 l$ W
) X3 j, W1 L8 a1 {* n3 h由于我测试的时候是无法对这个APP进行IDA调试的 所以就静态分析了一下

5 o2 Y! ]( T# r

1. POST https://mapi.4399api.net/user/box/android/v1.0/log-in.html HTTP/1.1
   $ ]5 o9 Y: D3 N) g! J! y
2. User-Agent: 4399GameCenter/5.2.0.39 (android;Nexus 6P;6.0;1440x2392;WIFI;1376.416;yaoqing)
   
3. mareacode: 350100
   
4. a-id: decd74ca59799d58
   6 t" D, T( w; n' N! Y
5. e-id: 867981022896164
   
6. m-id: D4%3A61%3A4E%3A13%3A10%3A1F
   
7. s-id:
   
8. mauth:
   
9. mudid: 1085glt3vuUywD5g808eZb67a
   # b8 g3 Z* d4 I
10. pauth:
    
11. SM-DEVICEID: 2019101514035076086dc3e7e2dc00afe0043881a46e18018036cbcdd51ca5
    
12. mdeviceId: 867981022896164
    ( I1 c1 N0 s. _$ r: p' D6 [. j+ b
13. mauthcode:
    7 O; V# N! ?" x. W& s
14. Content-Type: application/x-www-form-urlencoded
    
15. Content-Length: 161
    4 {5 K( W4 m% ]
16. Host: mapi.4399api.net
    
17. Connection: Keep-Alive
    2 c* }' N0 k6 z0 Y9 \
18. Accept-Encoding: gzip
    ) d* N( `- y- t' f$ H+ U  ?; a* p
19. password=JE%2FYTsyiLwE%3D&deviceIdentifier=867981022896164&dateline=1571863440&sign=c80c8c800fa61cccc02e12e87da33620&model=Nexus%206P&username=13665098754&info=1

复制代码

这是抓到的登陆包
大概能看到两个参数需要处理 一个password 一个sign
# H% B, n6 F  Y2 h
反编译
5 i% e5 [" S1 H5 p) ?% J
找到关键点

跟进以后就是Native函数了 这里我们从名字就能大概知道password是一个DESCBC类型的加密(不排除重写) 我们也只是猜测

! M( F. o9 J7 L" e" s/ m8 R

1. public class AppNativeHelper {
   
2. static {
   ' }0 F; F+ I7 ]. t# t
3. try {
   
4. SoFix.loadLibrary (BaseApplication.getApplication (), "m4399");
   % v! [% J% S; H( Q# z
5. Log.d ("AppNativeHelper", "load libm4399.so");
   
6. }
   
7. catch (SoLoadFailureException v0) {
   0 t' q& F; G. U; D! j1 ^8 C
8. v0.printStackTrace ();
   
9. }
   0 B7 a# I- H! {) u$ D2 A& W
10. }
    
11. public AppNativeHelper () {
    + N$ k7 ^' @* k) H  O
12. super ();
    1 p% v+ a$ B7 G3 r) {7 M
13. }
      P$ E( m7 w0 R6 f4 G
14. public static native int applyPatch (String arg0, String arg1, String arg2) {
    
15. }
    5 v5 r  R2 U  x3 P- x% h+ _3 D1 p
16. public static native int delayRestartProcess (String arg0, String arg1, long arg2) {
    
17. }
    
18. public static final native String desCbcDecrypt (String arg0) {
    
19. }
    
20. public static final native String desCbcEncrypt (String arg0) {
    8 G4 b$ s- [4 L
21. }

复制代码

拿出libm4399.so拖进IDA进行处理  

; i' x3 s8 J4 f8 h( F" Y这个So是动态注册函数

所以我们进入Jni_onload 导入头文件 找到RegisterNatives函数
+ p1 ]* Q8 F- G$ M; X. T  bRegisterNatives中第三个参数就是我们注册Java函数的实际地址
' i# Q# e( Z8 N4 i7 z- P, r$ l
! N! I0 Z0 N: T7 ~  U; X. J
* @  b& @! h; O9 H7 U
/ f$ }0 b/ c  F7 f/ @5 w进去以后是DCD格式的 第一项是函数名 第二项好像是格式还是啥 重要的是第三项 这就是我们的函数地址了 找到我们要的函数 然后找到函数地址


然后进来这个函数

1. int __fastcall sub_17024(int a1, int a2)
   
2. {
   $ ]. L) s% i8 o6 w, d
3.   int v2; // r4
   ) L6 l5 N" p6 F2 K
4.   int v3; // r5
   ( N6 k9 ~" M( {
5.   char *v4; // r6
   
6.   int v5; // r0
   
7.   int v6; // r3
   
8.   char v7; // r2
   1 B9 |; D- c" o+ {( j8 a7 [
9.   int v8; // r4
   . I  {3 e# Q7 Q6 x  V; t' \
10. 
    
11.   v2 = a2;
      I2 V  Q9 c& q" c
12.   v3 = a1;
    7 J1 Y7 ?1 e0 D3 x* [3 ?. D! @
13.   v4 = sub_17274(9, 1);
    
14.   v5 = 0;
    7 a8 P: i6 w" ^' Z
15.   do
    9 R* D/ r4 H- ~( h0 ]
16.   {
    - z4 X' ~! t  p: f
17.     v6 = (dword_1B040[-v5] + 101) >> 15;
    2 G' p0 F' M; b9 b! i
18.     v7 = v6 ^ 151;
    : j# U* y1 ?/ Y5 e; }
19.     if ( v6 >= 102 )
    # }- m# C2 G+ p8 F
20.       v7 = v6;
    " W6 ]$ Q, K+ Y% W
21.     v4[-v5--] = v7;
    ; y; J7 D  H1 b+ J3 R% U7 R( `
22.   }
    
23.   while ( v5 != -8 );                           // 循环8次 获取DESkey
    1 s" z6 v. T. t9 j/ `" t8 F" \
24.   v8 = sub_64B8(v3, v2, v4);                    // //进入加密函数
    3 _1 |( _) y2 }; w% n
25.   sub_17284(v4);
    
26.   return v8;
    ) |  {7 T7 C" r5 u
27. }

复制代码

: ^# g# e. [& F3 w  S& d' ]' l" x通过前前后后的分析 这里就是获取Key的重要地方了 从一个地址里面取值出来 然后循环处理8次 然后我们进入dword_1B040看
( w6 P4 c  w/ [9 Z: ^+ O
# n* w8 U1 g) y/ }5 r& Y; X1 V5 g8 s


看不出什么猫腻 我们转换一下格式 先转Double再转为array IDA右键就有
8 R6 C% _- S( I$ t% H

+ m$ y' Y# ~6 H' B  n
) F9 E  }& Z! G- S  O; I
3 j( `0 S' X# {* z然后我用js翻译了这小段so逻辑理清楚后一下子就明白了

+ P5 b0 `; h% }  o
8 i/ Y! H3 O9 L0 }+ Z

1. function get(a) {
   3 E) \% R: W  }1 ?$ V3 r
2.     v6 = (a + 101) >> 15;
     k# p# X# s& l+ K( b
3.     v7 = v6 ^ 151;
   
4.     if (v6 >= 102) {
   
5.         v7 = v6;
   ' V2 p0 R" t8 Z& v1 r8 [
6.     }
   * V+ Z$ d" o3 q4 U
7.     return v7
   
8. }
   - Y1 D# {9 Q8 {2 P9 M2 D6 F
9. function a() {
   . B0 N( D. ~' E3 _$ N+ q! m
10.     arr = [0x3A7F9B, 0xFFDAFF9B, 0x3EFF9B, 0xFFD9FF9B, 0xFFCFFF9B, 0xFFEB7F9B, 0x3B7F9B, 0xFFD37F9B];
    
11.     var aa = new Array();
    : K+ w  P" l0 B! h! F8 G1 Y5 ?" R7 N7 I
12.     for (var i = 0; i < 8; i++) {
    
13.         aa.push(get(arr[i]))
    5 x- m; F3 C# n& S
14.     }
    " F" U4 L" m, d
15.     return aa
    ( v3 }  p' o6 ^" ^6 r+ l) T# T" `
16. }

复制代码

' I- v" p! p2 {* ~& v这里返回的就应该是key数组了 {117,-223,126,-221,-201,-192,119,-208}
然后转换到易语言的字节集就是{117,33,126,35,55,64,119,48}文本为u!~#[email protected] (这里的转换就是由于其他语言的byte取值范围 -128~ 127) 易语言好像没上限 所以我们只需要把-的给他加上256就能变成易语言的字节集了）

, p+ i1 t  g$ {, v到这一步我们已经拿到了KEY了
+ T0 {7 p# N% {! z) c
7 e( K; b3 b+ H$ X现在就差一步IV了
" s, p, }6 [6 ~! g
前面一直没说

" ^# |: }1 T; y8 F因为这个so函数名全是匿名的 所以在分析的时候很难去判断这个函数到底是干嘛的 这种so分析起来就需要自己花点时间和结合经验来操作了

  Y- c! q* }' h" M这里我都给大家分析完了


, _1 Z/ k& s  [5 B  P
. ^! n9 `+ }" u/ a  w) v' G

: K$ b: E: o$ _7 ~我们已经找到了最关键的加密点了 而且我们现在key也有了 只差IV了

3 Y9 I1 R3 F  Bsub_4720这个匿名函数其实就是DES_cbc_encrypt
- x$ b& ?0 H# u9 e
" \. j4 t& b* J/ {7 b; t/ qvoid DES_ncbc_encrypt(const unsigned char *input,unsigned char *output,
              long length,DES_key_schedule *schedule,DES_cblock *ivec,
- g. r% \, [" O+ C0 K0 P              int enc);

/ y. k" o, H7 c, N这是DES_cbc_encrypt参数的定义
$ O( n. u& P* _- z; {/ u5 J
" a4 p( F4 n2 ]! I9 C) K/ l0 d依次是输入流 输出流 长度 key iv flag

8 u0 d5 J: D3 |+ |7 ?5 x: Z恰好能 对应上我们的函数 所以 iv应该就是我们&v11所指向的值了

1 m4 @  {9 A5 b2 k. T

1. .text:00006618 ; 20:   v12 = 0xEFCDAB90;
   # R! Q( e/ z! k, Z( g9 Y
2. .text:00006618                 LDR     R0, =0xEFCDAB90
   
3. .text:0000661A                 STR     R0, [SP,#0xB0+var_9C]
   
4. .text:0000661C ; 21:   v11 = 0x78563412;
   ! @* v0 t- M8 k+ S; Q6 V1 i5 Q
5. .text:0000661C                 LDR     R0, =0x78563412
   
6. .text:0000661E                 STR     R0, [SP,#0xB0+var_A0]

复制代码

这里V11在我们的伪C代码中只赋值了0x78563412  但在汇编里面他实际是赋值了0xEFCDAB90 和0x78563412的 所以我们的iv应该就是0x1234567890ABCDEF

在我们运行的时候 取值事从后往前取得 两个一组 这个我确实也不太明白具体原因 也是在无名侠前辈哪里学得 也就是 EF CD AB 90 78 56 34 12 这样来拼接得

! Q8 a( v: P( g2 o) N好了 现在我们key iv都有了 我们在不排除有变异得情况下可以来测试一下能不能解开密文
5 S  U/ b& W" X5 U# c



成功解开
0 O- p' B' m1 v: j' o
这次so分析得难点其实就在于无法动态调试获取key或者IV 每一步逻辑都需要自己去看
# f3 P: Q8 _. @+ q其次就是全是匿名函数 需要自己花点时间去查看每个函数的功能

但总统上还是不算难得 只是需要慢慢琢磨一下得
! r- d- ~/ T& J. j+ m! H
实在是太累了 如果大家对登陆得sign和签到得sign有想法我下次再给大家写文章把
3 x" d  F# z7 R( C0 R: V9 Y0 H
' b6 f$ @; s" c- t; `. q+ j% J
* U# ]7 K! r2 P, X
" z  i2 ]' F8 }7 a' ]2 O
9 ]' ^$ Y, q( d7 p+ H