4399游戏盒最新算法讲解

admin

第一次发教程 出现问题请见谅
0 O. C4 _% e: X0 |  ]6 Y这次是最新版本的4399游戏盒登陆密码加密讲解和两个sign的讲解  

  e5 e" [5 H* C4 V7 p8 K由于我测试的时候是无法对这个APP进行IDA调试的 所以就静态分析了一下

8 Z0 `7 W* Y: h" c5 G9 R: M2 K
' {( N4 d( R: w! b7 C# C! P, H0 w

1. POST https://mapi.4399api.net/user/box/android/v1.0/log-in.html HTTP/1.1
   
2. User-Agent: 4399GameCenter/5.2.0.39 (android;Nexus 6P;6.0;1440x2392;WIFI;1376.416;yaoqing)
   ) N9 T. j3 O; V4 f
3. mareacode: 350100
   * M8 f. \4 V7 P- T" A. T
4. a-id: decd74ca59799d58
   9 C9 X! |# t/ R; |1 y  {
5. e-id: 867981022896164
   " o4 g4 }( S% L( e( d+ y0 B
6. m-id: D4%3A61%3A4E%3A13%3A10%3A1F
   
7. s-id:
   
8. mauth:
   
9. mudid: 1085glt3vuUywD5g808eZb67a
   + O" W4 P) t) I
10. pauth:
    $ C. P2 _! ~" E# r7 V0 u# q
11. SM-DEVICEID: 2019101514035076086dc3e7e2dc00afe0043881a46e18018036cbcdd51ca5
    
12. mdeviceId: 867981022896164
    
13. mauthcode:
    
14. Content-Type: application/x-www-form-urlencoded
    2 i3 Z6 H9 m& }" F  H* p3 J3 }0 ^
15. Content-Length: 161
    
16. Host: mapi.4399api.net
    
17. Connection: Keep-Alive
    0 R3 }, R- k! W# _
18. Accept-Encoding: gzip
    
19. password=JE%2FYTsyiLwE%3D&deviceIdentifier=867981022896164&dateline=1571863440&sign=c80c8c800fa61cccc02e12e87da33620&model=Nexus%206P&username=13665098754&info=1

复制代码

这是抓到的登陆包
大概能看到两个参数需要处理 一个password 一个sign
; c! _- `: b: G. o$ _. w6 X0 ?
) k, c+ `4 N2 P& j( t. w反编译

8 Q9 s; \" d* X! r2 x- U: K+ D' S  q找到关键点
: Y1 c* Q% G. S* q6 u
1 f. g! w. ]1 u跟进以后就是Native函数了 这里我们从名字就能大概知道password是一个DESCBC类型的加密(不排除重写) 我们也只是猜测


5 r* B0 _: q" T; K/ N

1. public class AppNativeHelper {
   
2. static {
   
3. try {
   ' W8 }. e4 M: F( b; M, K. V5 @
4. SoFix.loadLibrary (BaseApplication.getApplication (), "m4399");
   ) h5 {, a& ], F4 S4 c
5. Log.d ("AppNativeHelper", "load libm4399.so");
   
6. }
   7 @* n1 j' j* _% s8 u2 k
7. catch (SoLoadFailureException v0) {
   
8. v0.printStackTrace ();
   
9. }
   / H2 i: ?5 X+ _! s
10. }
    
11. public AppNativeHelper () {
    ( x& Y; H1 f( l& d0 k  M
12. super ();
    8 O% s- L0 V% |7 x
13. }
    
14. public static native int applyPatch (String arg0, String arg1, String arg2) {
    8 s" i# X7 C1 k& s1 X& a
15. }
    & |/ _9 l# \# q. r
16. public static native int delayRestartProcess (String arg0, String arg1, long arg2) {
    2 C4 [7 @) r0 z4 e+ h1 J% _
17. }
    / O1 L$ g' U. h9 R
18. public static final native String desCbcDecrypt (String arg0) {
    
19. }
    - o2 @1 Z' ^  P2 B" |2 {& O/ f3 g
20. public static final native String desCbcEncrypt (String arg0) {
    6 z. o; _, N: `# `8 ?1 {! D& @
21. }

复制代码

拿出libm4399.so拖进IDA进行处理  

这个So是动态注册函数
' n5 V; ?# s1 {4 n; D* }! L
所以我们进入Jni_onload 导入头文件 找到RegisterNatives函数
RegisterNatives中第三个参数就是我们注册Java函数的实际地址
9 L; F9 `( Q/ G
; k% i  G( g" Y. J( W$ B; N

7 F/ `6 `$ S: m; V- M2 A0 ~进去以后是DCD格式的 第一项是函数名 第二项好像是格式还是啥 重要的是第三项 这就是我们的函数地址了 找到我们要的函数 然后找到函数地址


然后进来这个函数

1. int __fastcall sub_17024(int a1, int a2)
   
2. {
   1 {; H2 o2 f- f( B# y3 q& T& H7 t
3.   int v2; // r4
   
4.   int v3; // r5
   
5.   char *v4; // r6
   6 Y; W8 ]2 [8 q# x) ~' R
6.   int v5; // r0
   
7.   int v6; // r3
   , U7 O, D: c1 ^/ J* b- n" w
8.   char v7; // r2
   
9.   int v8; // r4
   
10. 
    
11.   v2 = a2;
    
12.   v3 = a1;
    
13.   v4 = sub_17274(9, 1);
    
14.   v5 = 0;
    9 D7 {  a, r6 i4 `3 R5 g
15.   do
    
16.   {
    2 Z5 O) t7 b0 N6 W" V, ], s
17.     v6 = (dword_1B040[-v5] + 101) >> 15;
    
18.     v7 = v6 ^ 151;
    
19.     if ( v6 >= 102 )
    
20.       v7 = v6;
    
21.     v4[-v5--] = v7;
    / R, d' F$ k% m) N7 S1 |. ?% g
22.   }
    
23.   while ( v5 != -8 );                           // 循环8次 获取DESkey
    / Z8 i- W1 v  ?2 e
24.   v8 = sub_64B8(v3, v2, v4);                    // //进入加密函数
    
25.   sub_17284(v4);
    4 B7 A0 Y9 ~& `. K
26.   return v8;
    ) |. N; @4 P; t7 Y6 u% B: e& Z
27. }

复制代码

. e3 h* n1 _* a( E' J2 a通过前前后后的分析 这里就是获取Key的重要地方了 从一个地址里面取值出来 然后循环处理8次 然后我们进入dword_1B040看
" x% S4 m* B( H! P0 L

1 z9 n/ F7 N, T( ], @, X

0 ]: J  \, m( A看不出什么猫腻 我们转换一下格式 先转Double再转为array IDA右键就有
! e0 _$ ^% B6 g/ V4 I" C, h
/ }4 c* @: h' R+ W- _$ C


然后我用js翻译了这小段so逻辑理清楚后一下子就明白了
6 X0 ^( W8 u% O$ @( g

5 Q9 Z, ^. l* b7 X: ^9 p

1. function get(a) {
   1 A9 G5 B- }* Y) m. N3 W; u' V8 F' H. E
2.     v6 = (a + 101) >> 15;
   1 _% [4 b; L) L7 a1 w6 u7 w9 M! V0 L- p
3.     v7 = v6 ^ 151;
   * `0 J$ N& ~" T. g: t
4.     if (v6 >= 102) {
   6 m/ \4 k; g4 {) O/ G* h
5.         v7 = v6;
   
6.     }
   ( G* `, F9 w4 N  Y& Q: `
7.     return v7
     _% Q8 x5 t0 \- h" X! ~/ w
8. }
   " G6 \& P% B2 f7 P0 W  w& w8 q( ^
9. function a() {
   
10.     arr = [0x3A7F9B, 0xFFDAFF9B, 0x3EFF9B, 0xFFD9FF9B, 0xFFCFFF9B, 0xFFEB7F9B, 0x3B7F9B, 0xFFD37F9B];
    
11.     var aa = new Array();
    
12.     for (var i = 0; i < 8; i++) {
    ) g& p5 A& j) E% G+ V6 J9 u# v, v; C
13.         aa.push(get(arr[i]))
    1 A6 Y0 l* R* @6 |! W6 l: u. h: ~! G
14.     }
    
15.     return aa
    3 y) |) D, W2 ]
16. }

复制代码

这里返回的就应该是key数组了 {117,-223,126,-221,-201,-192,119,-208}
% N+ Z, C' i9 j' o8 Z$ N# N) R. z然后转换到易语言的字节集就是{117,33,126,35,55,64,119,48}文本为u!~#7@w0 (这里的转换就是由于其他语言的byte取值范围 -128~ 127) 易语言好像没上限 所以我们只需要把-的给他加上256就能变成易语言的字节集了）
3 X. _* w" Y5 b  A  g1 ^
到这一步我们已经拿到了KEY了
$ p# O$ I  Z) O. p  c
现在就差一步IV了
& }7 S+ Y6 F- M* J  g2 f
# F. |' l4 V5 I6 j前面一直没说
8 W% y3 X( [' Z7 z% V: ^% }
因为这个so函数名全是匿名的 所以在分析的时候很难去判断这个函数到底是干嘛的 这种so分析起来就需要自己花点时间和结合经验来操作了
: w9 U0 r* y5 c: B1 b
! h* F& J* U  C, K9 M这里我都给大家分析完了





我们已经找到了最关键的加密点了 而且我们现在key也有了 只差IV了

sub_4720这个匿名函数其实就是DES_cbc_encrypt
* k0 S6 F: c. q* o' y* T: m
void DES_ncbc_encrypt(const unsigned char *input,unsigned char *output,
( r# ?' ]; g* }, }! W& D+ _, K0 {              long length,DES_key_schedule *schedule,DES_cblock *ivec,
              int enc);
& h8 y- k) @: n3 F/ h) x6 g' l
这是DES_cbc_encrypt参数的定义
4 o  ]) s/ b+ l5 }7 J& \
依次是输入流 输出流 长度 key iv flag
3 z1 Z! [+ @0 W
( L* ]6 M) o& r+ Z0 R  J: O! V恰好能 对应上我们的函数 所以 iv应该就是我们&v11所指向的值了
9 x. O# Z- D# K2 D6 y9 E
& K! ]. u4 ~2 c- {& W: b# q" _! @
  x8 g" g2 ]( h* G

1. .text:00006618 ; 20:   v12 = 0xEFCDAB90;
   
2. .text:00006618                 LDR     R0, =0xEFCDAB90
   5 F1 a7 d! w0 F2 }7 H! N# P" R. r% Y
3. .text:0000661A                 STR     R0, [SP,#0xB0+var_9C]
   # ]4 L, w; B- h8 P, r  w% s
4. .text:0000661C ; 21:   v11 = 0x78563412;
   ; o; o4 |9 m% j
5. .text:0000661C                 LDR     R0, =0x78563412
   
6. .text:0000661E                 STR     R0, [SP,#0xB0+var_A0]

复制代码

这里V11在我们的伪C代码中只赋值了0x78563412  但在汇编里面他实际是赋值了0xEFCDAB90 和0x78563412的 所以我们的iv应该就是0x1234567890ABCDEF

/ B! n! n+ t# F在我们运行的时候 取值事从后往前取得 两个一组 这个我确实也不太明白具体原因 也是在无名侠前辈哪里学得 也就是 EF CD AB 90 78 56 34 12 这样来拼接得

好了 现在我们key iv都有了 我们在不排除有变异得情况下可以来测试一下能不能解开密文


( M; }& z: S8 M4 J

+ b4 s% ~7 _1 N成功解开

$ l! ^6 ?8 }( z* O, ^2 ^# J. u这次so分析得难点其实就在于无法动态调试获取key或者IV 每一步逻辑都需要自己去看
( x- A2 }$ |$ H- F. y; Q+ d其次就是全是匿名函数 需要自己花点时间去查看每个函数的功能
' B: q( X3 W; `; k9 J
, U0 k  Q: g; D: z# R4 R- ]但总统上还是不算难得 只是需要慢慢琢磨一下得
0 d5 |0 H* P2 w4 [. t
0 ]% P2 \' l0 {' m, n4 e实在是太累了 如果大家对登陆得sign和签到得sign有想法我下次再给大家写文章把
' n5 z7 r2 G; M- V



" f0 J/ f; J2 O- g# u5 U