APP服务端挖掘

APP服务端挖掘
前言：几个月之前水和整理的文章了不过一直没公开发觉这方面的知识蛮少的而且参差不齐不过技术嘛分享出来玩嘛常用模拟器①夜神模拟器7.0.0.6②MuMu模拟器burp抓包思路(真机或者虚拟机思 2024-1-10 12:54:42 Author: F12sec(查看原文) 阅读量:31 收藏

前言：几个月之前水和整理的文章了不过一直没公开发觉这方面的知识蛮少的而且参差不齐不过技术嘛分享出来玩嘛

常用模拟器

①夜神模拟器7.0.0.6

②MuMu模拟器

burp抓包思路(真机或者虚拟机思路均同）

这里以真机来复现

电脑配置的

1.)电脑开热点

2.)查看本机的ip

ipconfig

3.)burp中抓包设置

然后点击ok 即启动监听了

手机配置

1.)连接wifi

2.长按该wifi

点击修改网络

去设置代理

3.浏览器中访问http://burp

然后点击ca 进行下载证书（或者电脑下载一个然后传到手机去建议这种方法）

4.）将下载下来的证书改名为

crt格式的（手机和模拟器一般就是这种格式的）

5.)去安装证书

一般的位置在（跟手机相关）

设置-->安全-->加密与凭证-->从存储设置安装证书

然后找到证书的位置进行安装即可此时的证书是用户证书虽然也能抓但是最好转系统证书比较好

证书转换方法

Magisk 有个插件叫做 Move Certificates ，该插件可以一键将所有用户证书自动转换为系统区证书

使用方法：所有证书安装为用户证书后，安装此插件，并重启。

一般没有监测之类的app就可以愉快的抓包了

看了很多文章发觉核心就是三个对抗

一.root监测对抗

绕过思路

1.）xpose hide

这个能绕一些app的root监测但是银行这些不行

2.）利用magisk进行绕过

2.1）高版本自带zygisk进行

这个要比较新版本的magisk才可

直接在框架里面扔即可

实测可绕过银行

不过这个无法跟xpose的插件兼容难受就难受到这里

2.2）手动安装riru-momohider模块绕过

这个核心就是安装的Riru-MomoHider 模块

低版本安装该模块方法

①下载Riru-MomoHider ：

https://github.com/canyie/Riru-MomoHider/releases/download/0.0.7/Riru-MomoHider.zip

将下载的zip文件拷贝到设备存储目录

②打开Magisk管理界面，进入插件模块，选择从本地安装插件

选中上传的Riru-MomoHider.zip 直接进行安装

③进行配置文件

安装重启后，对Riru-MomoHider 进行配置

执行adb shell，进入手机命令终端

cd /data/adb/modules/riru_momohider/config

分别在/data/adb/modules/riru_momohider/config目录下

创建以下几个文件

touch setns 
touch app_zygote_magic
touch initrc touch isolated

创建完成后，重启手机即可

3.）app anrc（这个我一般不咋用不太好用没上面两种方法好用）

一个绕root监测的app

直接把要绕的加到应用列表里面就好了

二.代理问题对抗

1.）APP不走代理问题

常见现象：burp 拦截时抓不到包但是可以正常访问页面

产生原理：

android系统设置的代理并不是强制对所有app生效的
app可以在网络请求类库中通过自定义代理设置，选择是否要走系统代理

通信协议可直接设置即默认app不走系统的代理了

proxy(Proxy.NO_PROXY)

代码如下

绕过方法：使用全局系统代理的工具即可，即抓的是系统本身的流量

最简单方法：

1.1）手机

抓的话直接使用：httpCanary绕过（需要root）， Packet Capture（不需要root这个我用的很少我一般都是使用前面的一个）

个人比较喜欢的

httpcanary+scrcpy结合使用很舒服

1.2）电脑：

结合模拟器使用绕的

使用proxifier直接抓模拟器进程的流量

真机

方法很多不过个人喜欢burp+drony的方法抓,看个人习惯吧

①下载一个设置全局代理的软件

这里用Drony

https://files.cnblogs.com/files/lulianqi/Drony_102.apk

②安装后

点击进去选择设置

点击wifi

点进去后选择自己电脑设置的wifi

然后设置端口以及ip

这里已经就可以进行抓包了

过滤默认值默认为允许全部，点击编辑过滤规则

但是为了方便防止抓到额外不想要的包

去进行设置filter

进行设置

规则rule设置为本地代理链全部

然后选择自己要设置的apk即可

然后启动该代理后访问时电脑抓包即可

1.3）hook方法绕

就是该代码（这种没必要拿来绕no_proxy 要用绕的话肯定也拿去绕监测代理的）

使用frida来hook网络请求框架的限制函数，从而绕过验证。

2.）app做了代理监测

现象：设置手机代理后，APP无法获取网络数据。会出现无法连接网络的情况出现

简单看下原理：

一般都是代码中写了监测方法导致的

绕过方法：

这种就只能利用friba来hook请求框架的方法进行绕了

三.证书监测对抗

1.）基础知识：

SSL Pinning：

开发者预先把证书相关信息预置到 App 中再打包，这样在 https 通讯过程中 App 本地可以与服务器返回的 CA 证书可以做合法性校验，如果发现不一致，那么可能就是由于中间人攻击（比如 Fiddler/Charles 抓包工具），App 客户端可以终止 https 链接。而在新版本的系统规则中，应用只信任系统默认预置的 CA 证书，如果是第三方安装的证书（比如 Fiddler 安装的）则不会信任

即将服务端证书相关信息打包在客户端里，在进行通信时，对比客户端和服务端证书是否一致。

Android实现Https的几种方式：

1.通过 OkHttp 来实现
2.自定义证书和 HostnameVerify 来实现 Https 校验
3.通过 HttpsURLConnection 来实现HttpsURLConnection 中进行 SSL 证书校验

hook:

改变程序执行流程的一种技术,即改变最开始的代码执行流程劫持成自己想执行的代码进而绕过apk这些的执行流程

一般其实就两种情况

典型现象

也是抓包显示400 且小黄鸟抓包时显示使用固定证书

或者抓包时显示burp疯狂显示400这些东西

2.）单向固定证书问题

绕过ssl pinning的常用方法

2.1）利用xpose安装模块进行绕过

下载 JustTrustMe 安装包并安装到手机里，在 Xposted 中激活并重启手机，就可以抓取手机中的流量。

SSLUnpinning 2.0 插件和 JustMePlush 插件当然也可以

插件的原理：将 APK 中所有用于校验 SSL 证书的 API 都进行了 Hook，从而绕过证书检查

2.2）使用Objection绕过

（这个我用的少毕竟xpose模块方便一点）

objection是基于frida开发的一个工具，将一些简单常见的操作进行集成，减少代码重复编写的工作。。

frida-server下载的地址

https://pan.baidu.com/s/1YSgdh0ojCabbFGoRJqiGgA

密码：wagx

注意电脑配置

安装模块

python3 -m pip install frida
python3 -m pip install frida-tools
python3 -m pip install objection

一定要这个版本不然后面会报错为

安装方法

①查看有几个设备

adb devices

②将friba-server拷贝到手机中

adb push 电脑的文件路径 /data/local/tmp

如果有多个设备的话

就加上-s 就是指定上面的设备的

如 adb -s 6fb4046c push 电脑的文件路径 /data/local/tmp

然后进入操控手机

adb shell

su 且切换为root权限

如果遇到了禁止这个的话就看看手机是否root 且magisk中是否允许shell为超管

cd /data/local/tmp

chmod 777 frida-server

./frida-server 这样已经算是启动成功了

在开一个窗口进行tcp转发

adb forward tcp:27043 tcp:27043

adb forward tcp:27042 tcp:27042

然后另外开一个窗口进行测试frida

frida-ps -U

如果出现这种情况就是上面的电脑环境没配置好

解决方法回到上面电脑配置的依次输入三个命令

然后等待安装完成后

安装成功后再次运行即可完美解决问题

然后在使用

adb shell pm list packages 查看手机中的包名和数量

将objection将附加到目标应用程序上

objection --gadget 包名 explore （此时 Objection 将注入到目标应用程序上）

注意点：需要关闭手机上 Magisk 的 magisk hide 功能（不关闭会有冲突）

关闭 app 的 SSL 校验：

android sslpinning disable

即成功关闭，即可成功抓取到流量

2.3）注入burp证书

frida -U -f com.xxxx.app.ui -l C:\Users\xxx\Desktop\fridascript.js --no-pause


/*    Android SSL Re-pinning frida script v0.2 030417-pier 
   $ adb push burpca-cert-der.crt /data/local/tmp/cert-der.crt   $ frida -U -f it.app.mobile -l frida-android-repinning.js --no-pause
   https://techblog.mediaservice.net/2017/07/universal-android-ssl-pinning-bypass-with-frida/      UPDATE 20191605: Fixed undeclared var. Thanks to @oleavr and @ehsanpc9999 !*/
setTimeout(function(){    Java.perform(function (){      console.log("");      console.log("[.] Cert Pinning Bypass/Re-Pinning");
      var CertificateFactory = Java.use("java.security.cert.CertificateFactory");      var FileInputStream = Java.use("java.io.FileInputStream");      var BufferedInputStream = Java.use("java.io.BufferedInputStream");      var X509Certificate = Java.use("java.security.cert.X509Certificate");      var KeyStore = Java.use("java.security.KeyStore");      var TrustManagerFactory = Java.use("javax.net.ssl.TrustManagerFactory");      var SSLContext = Java.use("javax.net.ssl.SSLContext");
      // Load CAs from an InputStream      console.log("[+] Loading our CA...")      var cf = CertificateFactory.getInstance("X.509");            try {        var fileInputStream = FileInputStream.$new("/data/local/tmp/cert-der.crt");      }      catch(err) {        console.log("[o] " + err);      }            var bufferedInputStream = BufferedInputStream.$new(fileInputStream);      var ca = cf.generateCertificate(bufferedInputStream);      bufferedInputStream.close();
    var certInfo = Java.cast(ca, X509Certificate);      console.log("[o] Our CA Info: " + certInfo.getSubjectDN());
      // Create a KeyStore containing our trusted CAs      console.log("[+] Creating a KeyStore for our CA...");      var keyStoreType = KeyStore.getDefaultType();      var keyStore = KeyStore.getInstance(keyStoreType);      keyStore.load(null, null);      keyStore.setCertificateEntry("ca", ca);            // Create a TrustManager that trusts the CAs in our KeyStore      console.log("[+] Creating a TrustManager that trusts the CA in our KeyStore...");      var tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();      var tmf = TrustManagerFactory.getInstance(tmfAlgorithm);      tmf.init(keyStore);      console.log("[+] Our TrustManager is ready...");
      console.log("[+] Hijacking SSLContext methods now...")      console.log("[-] Waiting for the app to invoke SSLContext.init()...")
       SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").implementation = function(a,b,c) {         console.log("[o] App invoked javax.net.ssl.SSLContext.init...");         SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").call(this, a, tmf.getTrustManagers(), c);         console.log("[+] SSLContext initialized with our custom TrustManager!");       }    });},0);

3.）双向证书问题

解决这类问题的核心获取两个东西：

证书文件
证书密码

3.1）确定方法：

如果抓包爆400且反编译的文件中存在证书+逻辑代码中存在引用定义

如下即存在双向证书问题

反编译app看看是否存在证书

然后查看re目录或者assets目录中是否存在证书

常见证书的格式

".pfx" "pkcs12" "p12" "keyStore" "cer"

3.2）获取证书的解密密钥：

3.2.1）通用思路

①hook底层框架代码java.security.KeyStore,实现密钥自吐

-f的是app的包名 ssl 是指的js的文件

代码如下


var N_ENCRYPT_MODE = 1var N_DECRYPT_MODE = 2
function showStacks() {    var Exception = Java.use("java.lang.Exception");    var ins = Exception.$new("Exception");    var straces = ins.getStackTrace();
    if (undefined == straces || null == straces) {        return;    }
    console.log("============================= Stack strat=======================");    console.log("");
    for (var i = 0; i < straces.length; i++) {        var str = "   " + straces[i].toString();        console.log(str);    }
    console.log("");    console.log("============================= Stack end=======================\r\n");    Exception.$dispose();}
//工具相关函数 var base64EncodeChars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/',    base64DecodeChars = new Array((-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), (-1), 62, (-1), (-1), (-1), 63, 52, 53, 54, 55, 56, 57, 58, 59, 60, 61, (-1), (-1), (-1), (-1), (-1), (-1), (-1), 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, (-1), (-1), (-1), (-1), (-1), (-1), 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46, 47, 48, 49, 50, 51, (-1), (-1), (-1), (-1), (-1));
function stringToBase64(e) {    var r, a, c, h, o, t;    for (c = e.length, a = 0, r = ''; a < c;) {        if (h = 255 & e.charCodeAt(a++), a == c) {            r += base64EncodeChars.charAt(h >> 2),                r += base64EncodeChars.charAt((3 & h) << 4),                r += '==';            break        }        if (o = e.charCodeAt(a++), a == c) {            r += base64EncodeChars.charAt(h >> 2),                r += base64EncodeChars.charAt((3 & h) << 4 | (240 & o) >> 4),                r += base64EncodeChars.charAt((15 & o) << 2),                r += '=';            break        }        t = e.charCodeAt(a++),            r += base64EncodeChars.charAt(h >> 2),            r += base64EncodeChars.charAt((3 & h) << 4 | (240 & o) >> 4),            r += base64EncodeChars.charAt((15 & o) << 2 | (192 & t) >> 6),            r += base64EncodeChars.charAt(63 & t)    }    return r}function base64ToString(e) {    var r, a, c, h, o, t, d;    for (t = e.length, o = 0, d = ''; o < t;) {        do            r = base64DecodeChars[255 & e.charCodeAt(o++)];        while (o < t && r == -1);        if (r == -1)            break;        do            a = base64DecodeChars[255 & e.charCodeAt(o++)];        while (o < t && a == -1);        if (a == -1)            break;        d += String.fromCharCode(r << 2 | (48 & a) >> 4);        do {            if (c = 255 & e.charCodeAt(o++), 61 == c)                return d;            c = base64DecodeChars[c]        } while (o < t && c == -1);        if (c == -1)            break;        d += String.fromCharCode((15 & a) << 4 | (60 & c) >> 2);        do {            if (h = 255 & e.charCodeAt(o++), 61 == h)                return d;            h = base64DecodeChars[h]        } while (o < t && h == -1);        if (h == -1)            break;        d += String.fromCharCode((3 & c) << 6 | h)    }    return d}function hexToBase64(str) {    return base64Encode(String.fromCharCode.apply(null, str.replace(/\r|\n/g, "").replace(/([\da-fA-F]{2}) ?/g, "0x$1 ").replace(/ +$/, "").split(" ")));}function base64ToHex(str) {    for (var i = 0, bin = base64Decode(str.replace(/[ \r\n]+$/, "")), hex = []; i < bin.length; ++i) {        var tmp = bin.charCodeAt(i).toString(16);        if (tmp.length === 1)            tmp = "0" + tmp;        hex[hex.length] = tmp;    }    return hex.join("");}function hexToBytes(str) {    var pos = 0;    var len = str.length;    if (len % 2 != 0) {        return null;    }    len /= 2;    var hexA = new Array();    for (var i = 0; i < len; i++) {        var s = str.substr(pos, 2);        var v = parseInt(s, 16);        hexA.push(v);        pos += 2;    }    return hexA;}function bytesToHex(arr) {    var str = '';    var k, j;    for (var i = 0; i < arr.length; i++) {        k = arr[i];        j = k;        if (k < 0) {            j = k + 256;        }        if (j < 16) {            str += "0";        }        str += j.toString(16);    }    return str;}function stringToHex(str) {    var val = "";    for (var i = 0; i < str.length; i++) {        if (val == "")            val = str.charCodeAt(i).toString(16);        else            val += str.charCodeAt(i).toString(16);    }    return val}function stringToBytes(str) {    var ch, st, re = [];    for (var i = 0; i < str.length; i++) {        ch = str.charCodeAt(i);        st = [];        do {            st.push(ch & 0xFF);            ch = ch >> 8;        }        while (ch);        re = re.concat(st.reverse());    }    return re;}//将byte[]转成String的方法function bytesToString(arr) {    var str = '';    arr = new Uint8Array(arr);    for (var i in arr) {        str += String.fromCharCode(arr[i]);    }    return str;}function bytesToBase64(e) {    var r, a, c, h, o, t;    for (c = e.length, a = 0, r = ''; a < c;) {        if (h = 255 & e[a++], a == c) {            r += base64EncodeChars.charAt(h >> 2),                r += base64EncodeChars.charAt((3 & h) << 4),                r += '==';            break        }        if (o = e[a++], a == c) {            r += base64EncodeChars.charAt(h >> 2),                r += base64EncodeChars.charAt((3 & h) << 4 | (240 & o) >> 4),                r += base64EncodeChars.charAt((15 & o) << 2),                r += '=';            break        }        t = e[a++],            r += base64EncodeChars.charAt(h >> 2),            r += base64EncodeChars.charAt((3 & h) << 4 | (240 & o) >> 4),            r += base64EncodeChars.charAt((15 & o) << 2 | (192 & t) >> 6),            r += base64EncodeChars.charAt(63 & t)    }    return r}function base64ToBytes(e) {    var r, a, c, h, o, t, d;    for (t = e.length, o = 0, d = []; o < t;) {        do            r = base64DecodeChars[255 & e.charCodeAt(o++)];        while (o < t && r == -1);        if (r == -1)            break;        do            a = base64DecodeChars[255 & e.charCodeAt(o++)];        while (o < t && a == -1);        if (a == -1)            break;        d.push(r << 2 | (48 & a) >> 4);        do {            if (c = 255 & e.charCodeAt(o++), 61 == c)                return d;            c = base64DecodeChars[c]        } while (o < t && c == -1);        if (c == -1)            break;        d.push((15 & a) << 4 | (60 & c) >> 2);        do {            if (h = 255 & e.charCodeAt(o++), 61 == h)                return d;            h = base64DecodeChars[h]        } while (o < t && h == -1);        if (h == -1)            break;        d.push((3 & c) << 6 | h)    }    return d}//stringToBase64 stringToHex stringToBytes//base64ToString base64ToHex base64ToBytes//               hexToBase64  hexToBytes    // bytesToBase64 bytesToHex bytesToString

Java.perform(function () {    var secretKeySpec = Java.use('javax.crypto.spec.SecretKeySpec');    secretKeySpec.$init.overload('[B', 'java.lang.String').implementation = function (a, b) {        showStacks();        var result = this.$init(a, b);        console.log("======================================");        console.log("算法名：" + b + "|str密钥:" + bytesToString(a));        console.log("算法名：" + b + "|Hex密钥:" + bytesToHex(a));        return result;    }
    var DESKeySpec = Java.use('javax.crypto.spec.DESKeySpec');    DESKeySpec.$init.overload('[B').implementation = function (a) {        showStacks();        var result = this.$init(a);        console.log("======================================");        var bytes_key_des = this.getKey();        console.log("des密钥  |str " + bytesToString(bytes_key_des));        console.log("des密钥  |hex " + bytesToHex(bytes_key_des));        return result;    }
    DESKeySpec.$init.overload('[B', 'int').implementation = function (a, b) {        showStacks();        var result = this.$init(a, b);        console.log("======================================");        var bytes_key_des = this.getKey();        console.log("des密钥  |str " + bytesToString(bytes_key_des));        console.log("des密钥  |hex " + bytesToHex(bytes_key_des));        return result;    }
    var mac = Java.use('javax.crypto.Mac');    mac.getInstance.overload('java.lang.String').implementation = function (a) {        showStacks();        var result = this.getInstance(a);        console.log("======================================");        console.log("算法名：" + a);        return result;    }    mac.update.overload('[B').implementation = function (a) {        //showStacks();        this.update(a);        console.log("======================================");        console.log("update:" + bytesToString(a))    }    mac.update.overload('[B', 'int', 'int').implementation = function (a, b, c) {        //showStacks();        this.update(a, b, c)        console.log("======================================");        console.log("update:" + bytesToString(a) + "|" + b + "|" + c);    }    mac.doFinal.overload().implementation = function () {        //showStacks();        var result = this.doFinal();        console.log("======================================");        console.log("doFinal结果: |str  :"     + bytesToString(result));        console.log("doFinal结果: |hex  :"     + bytesToHex(result));        console.log("doFinal结果: |base64  :"  + bytesToBase64(result));        return result;    }    mac.doFinal.overload('[B').implementation = function (a) {        //showStacks();        var result = this.doFinal(a);        console.log("======================================");        console.log("doFinal参数: |str  :"     + bytesToString(a));        console.log("doFinal参数: |hex  :"     + bytesToHex(a));        console.log("doFinal结果: |str  :"     + bytesToString(result));        console.log("doFinal结果: |hex  :"     + bytesToHex(result));        console.log("doFinal结果: |base64  :"  + bytesToBase64(result));        return result;    }
    var md = Java.use('java.security.MessageDigest');    md.getInstance.overload('java.lang.String', 'java.lang.String').implementation = function (a, b) {        //showStacks();        console.log("======================================");        console.log("算法名：" + a);        return this.getInstance(a, b);    }    md.getInstance.overload('java.lang.String').implementation = function (a) {        //showStacks();        console.log("======================================");        console.log("算法名：" + a);        return this.getInstance(a);    }    md.update.overload('[B').implementation = function (a) {        //showStacks();        console.log("======================================");        console.log("update:" + bytesToString(a))        return this.update(a);    }    md.update.overload('[B', 'int', 'int').implementation = function (a, b, c) {        //showStacks();        console.log("======================================");        console.log("update:" + bytesToString(a) + "|" + b + "|" + c);        return this.update(a, b, c);    }    md.digest.overload().implementation = function () {        //showStacks();        console.log("======================================");        var result = this.digest();        console.log("digest结果 |hex:" + bytesToHex(result));        console.log("digest结果 |base64:" + bytesToBase64(result));        return result;    }    md.digest.overload('[B').implementation = function (a) {        //showStacks();        console.log("======================================");        console.log("digest参数 |str:" + bytesToString(a));        console.log("digest参数 |hex:" + bytesToHex(a));        var result = this.digest(a);        console.log("digest结果: |hex" + bytesToHex(result));        console.log("digest结果: |base64" + bytesToBase64(result));        return result;    }
    var ivParameterSpec = Java.use('javax.crypto.spec.IvParameterSpec');    ivParameterSpec.$init.overload('[B').implementation = function (a) {        //showStacks();        var result = this.$init(a);        console.log("======================================");        console.log("iv向量: |str:" + bytesToString(a));        console.log("iv向量: |hex:" + bytesToHex(a));        return result;    }
    var cipher = Java.use('javax.crypto.Cipher');    cipher.getInstance.overload('java.lang.String').implementation = function (a) {        //showStacks();        var result = this.getInstance(a);        console.log("======================================");        console.log("模式填充:" + a);        return result;    }    cipher.init.overload('int', 'java.security.Key').implementation = function (a, b) {        //showStacks();        var result = this.init(a, b);        console.log("======================================");        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
        var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));        return result;    }    cipher.init.overload('int', 'java.security.cert.Certificate').implementation = function (a, b) {        //showStacks();        var result = this.init(a, b);        console.log("======================================");                if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
        return result;    }    cipher.init.overload('int', 'java.security.Key', 'java.security.spec.AlgorithmParameterSpec').implementation = function (a, b, c) {        //showStacks();        var result = this.init(a, b, c);        console.log("======================================");                if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }             var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));
        return result;    }    cipher.init.overload('int', 'java.security.cert.Certificate', 'java.security.SecureRandom').implementation = function (a, b, c) {        //showStacks();        var result = this.init(a, b, c);        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }        return result;    }    cipher.init.overload('int', 'java.security.Key', 'java.security.SecureRandom').implementation = function (a, b, c) {        //showStacks();        var result = this.init(a, b, c);        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
         var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));        return result;    }    cipher.init.overload('int', 'java.security.Key', 'java.security.AlgorithmParameters').implementation = function (a, b, c) {        //showStacks();        var result = this.init(a, b, c);        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
        var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));        return result;    }    cipher.init.overload('int', 'java.security.Key', 'java.security.AlgorithmParameters', 'java.security.SecureRandom').implementation = function (a, b, c, d) {        //showStacks();        var result = this.init(a, b, c, d);        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
        var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));        return result;    }    cipher.init.overload('int', 'java.security.Key', 'java.security.spec.AlgorithmParameterSpec', 'java.security.SecureRandom').implementation = function (a, b, c, d) {        //showStacks();        var result = this.init(a, b, c, d);        if (N_ENCRYPT_MODE == a)         {            console.log("init  | 加密模式");            }        else if(N_DECRYPT_MODE == a)        {            console.log("init  | 解密模式");            }
         var bytes_key = b.getEncoded();        console.log("init key:" + "|str密钥:" + bytesToString(bytes_key));        console.log("init key:" + "|Hex密钥:" + bytesToHex(bytes_key));        return result;    }
    cipher.update.overload('[B').implementation = function (a) {        //showStacks();        var result = this.update(a);        console.log("======================================");        console.log("update:" + bytesToString(a));        return result;    }    cipher.update.overload('[B', 'int', 'int').implementation = function (a, b, c) {        //showStacks();        var result = this.update(a, b, c);        console.log("======================================");        console.log("update:" + bytesToString(a) + "|" + b + "|" + c);        return result;    }    cipher.doFinal.overload().implementation = function () {        //showStacks();        var result = this.doFinal();        console.log("======================================");        console.log("doFinal结果: |str  :"     + bytesToString(result));        console.log("doFinal结果: |hex  :"     + bytesToHex(result));        console.log("doFinal结果: |base64  :"  + bytesToBase64(result));        return result;    }    cipher.doFinal.overload('[B').implementation = function (a) {        //showStacks();        var result = this.doFinal(a);        console.log("======================================");        console.log("doFinal参数: |str  :"     + bytesToString(a));        console.log("doFinal参数: |hex  :"     + bytesToHex(a));        console.log("doFinal结果: |str  :"     + bytesToString(result));        console.log("doFinal结果: |hex  :"     + bytesToHex(result));        console.log("doFinal结果: |base64  :"  + bytesToBase64(result));        return result;    }
    var x509EncodedKeySpec = Java.use('java.security.spec.X509EncodedKeySpec');    x509EncodedKeySpec.$init.overload('[B').implementation = function (a) {        //showStacks();        var result = this.$init(a);        console.log("======================================");        console.log("RSA密钥:" + bytesToBase64(a));        return result;    }
    var rSAPublicKeySpec = Java.use('java.security.spec.RSAPublicKeySpec');    rSAPublicKeySpec.$init.overload('java.math.BigInteger', 'java.math.BigInteger').implementation = function (a, b) {        //showStacks();        var result = this.$init(a, b);        console.log("======================================");        //console.log("RSA密钥:" + bytesToBase64(a));        console.log("RSA密钥N:" + a.toString(16));        console.log("RSA密钥E:" + b.toString(16));        return result;    }
    var KeyPairGenerator = Java.use('java.security.KeyPairGenerator');    KeyPairGenerator.generateKeyPair.implementation = function () {        //showStacks();        var result = this.generateKeyPair();        console.log("======================================");                var str_private = result.getPrivate().getEncoded();        var str_public = result.getPublic().getEncoded();        console.log("公钥  |hex" + bytesToHex(str_public));        console.log("私钥  |hex" + bytesToHex(str_private));
        return result;    }
    KeyPairGenerator.genKeyPair.implementation = function () {        //showStacks();        var result = this.genKeyPair();        console.log("======================================");
        var str_private = result.getPrivate().getEncoded();        var str_public = result.getPublic().getEncoded();        console.log("公钥  |hex" + bytesToHex(str_public));        console.log("私钥  |hex" + bytesToHex(str_private));
        return result;    }});

frida -U -f cn.soulapp.android -l ssl.js --no-pause

如
frida -U -f cn.xxxxapp.android -l .\hook_Key.js --no-pause
frida -U -f com.xxxx.app.ui -l C:\Users\xxx\Desktop\333.js --no-pause

②hook网络框架抓包获取密钥

1、首先确定使用的框架，主流框架为okhttp、HttpURLconnection

# android hooking list classes

2、然后搜索过滤类文件中值得怀疑的框架：

.objection # cat objection.log |grep -i volley
.objection # cat objection.log |grep -i okhttp
.objection # cat objection.log |grep -i HttpURLconnection

可以看到当我们在APP上操作时候，经过了okhttp框架

找到APP使用的框架后如okhttp，然后通过frida加载js脚本来进行绕过。同样可以看到数据请求和返回。

3.2.2）批量与绕过思路

①批量hook查看轨迹

②hook强混淆app抓包

3.3）导入证书：

注意点：

如果是p12证书的话直接上面hook获取密钥

然后直接burp中导入客户端中的证书即可

①导出证书的key

如果证书没有密码的话且存在一个crt证书时

直接导出证书的key
openssl pkcs12 –in client.pfx –nocerts –nodes –out client.key

导出的话如果有密码的话必须要输入密码就需要hook获取密码了

②将crt和上面提取的key合并生产.p12证书

会需要设置密码随便设置一个密码就好了openssl pkcs12 -export -inkey client.key -in client.crt -out client.p12

③导入证书即可

然后选择第一个

点击next后

然后导入上面合并生成的证书

四.通杀脚本

1.)r0capture通杀脚本

https://github.com/r0ysue/r0capture

r0capture使用方法

https://bbs.pediy.com/thread-272116.htm

缺点：只能结合wireshark分析流量包

不能和burp等抓包软件代理抓包（当然如果未加密可以解密请求包然后给burp重发）

但是可以结合起来挖付费资料文档和视频的思路

即包文档之前返回回来

思路

如果是windows的话需要安装库

在开启frida后进行输入下面的即可

①抓取app的包为pcap

python r0capture.py -U com.打码.android.servant -v -p ./pkg/001-xxx/001.pcap

②wireshark打开

进行过滤内容http.responsem 获取到其的十六进制

然后十六进制解码即可获取内容

https://cloud.tencent.com/developer/article/1878983

https://www.secpulse.com/archives/177572.html

https://www.cnblogs.com/tomyyyyy/p/15310537.html#tid-dWRAmC

https://www.6b8.me/index.php?m=home&c=article&a=index&id=400

https://ch3nye.top/%E3%80%90%E5%AE%9E%E6%88%98%E3%80%91%E6%9F%90%E4%BA%A4%E5%8F%8Bapp%E7%9A%84%E5%8F%8C%E5%90%91%E8%AE%A4%E8%AF%81crack/#0x1-%E6%A3%80%E6%9F%A5%E8%AF%81%E4%B9%A6%E6%A0%A1%E9%AA%8C%E6%96%B9%E5%BC%8F

https://ch3nye.top/Android-HTTPS%E8%AE%A4%E8%AF%81%E7%9A%84N%E7%A7%8D%E6%96%B9%E5%BC%8F%E5%92%8C%E5%AF%B9%E6%8A%97%E6%96%B9%E6%B3%95%E6%80%BB%E7%BB%93/#0x2-https-%E5%BF%BD%E7%95%A5%E8%AF%81%E4%B9%A6%E9%AA%8C%E8%AF%81

文章来源: http://mp.weixin.qq.com/s?__biz=Mzg5NjU3NzE3OQ==&mid=2247488799&idx=2&sn=df942a6acbd86a33aaf9d63eb80cb0cb&chksm=c1226f01c16f10766d35a7343cc21095bec1e493efdb73b206e4ac3d90d2b8987c5fc78b9be6&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh