当前位置：首页 > news >正文

逆向 x蜂窝 zzzghostsigh

news 2025/7/19 19:39:42

逆向 x蜂窝 zzzghostsigh

版本 9.3.7

新版本是64位的so

charles 抓包

目标字段 zzzghostsigh

在这里插入图片描述

frida java

function hook_xPreAuthencode() {Java.perform(function() {var helper = Java.use("com.mfw.tnative.AuthorizeHelper");helper.xPreAuthencode.implementation = function(ctx, str1, str2) {console.log("xPreAuth-str1", str1);console.log("xPreAuth-str2", str2);var ret = this.xPreAuthencode(ctx, str1, str2);console.log("xPreAuth-ret", ret);console.log("===========");return ret;}})
}function hook_xPreAuthencode_event() {Java.perform(function() {var helper = Java.use("com.mfw.tnative.AuthorizeHelper");helper.xPreAuthencode.implementation = function(ctx, str1, str2) {str1 = "ever"console.log("xPreAuth-str1", str1);console.log("xPreAuth-str2", str2);var ret = this.xPreAuthencode(ctx, str1, str2);console.log("xPreAuth-ret", ret);console.log("===========");return ret;}})
}setTimeout(() => {//hook_xPreAuthencode();hook_xPreAuthencode_event();
}, 1000);

模拟参数 ever

xPreAuth-str1 ever
xPreAuth-str2 com.mfw.roadbook
xPreAuth-ret a5f8420454b5a08684c3605f83fe4453ea05efd7

从加密结果可知无论我们输入的长度多长都输出固定长度密文，那可以猜测这可能是一个哈希加密

so 层 libmfw.so

搜索java 没有 xPreAuthencode
那就是动态注册：搜索load
在这里插入图片描述

在这里插入图片描述

sub_30548

sub_30548。是一个签名校验函数。因为点进去会看到签名校验的三兄弟。
在这里插入图片描述

sub_312E0

将入参修改一下，然后[v9是和inputtext],输入的值有关。[v13是一个buffer]。[v10是v9的长度]。那么由此可得这个sub_312E0，
应该就是加密的函数，因为sub_2E1F4，没有和输入值有关的。并且v13是一个buffer,这是C语言常用的一种格式。会将加密值放到
一个buffer中。

在这里插入图片描述