一键过某金融apk抓包检测并定位加密位置(一)

遇到了某个金融app，有各种检测，觉得可以分享一下。

打开apk，因为用的是kernelSu隐藏的root，一切正常，没有闪退，没有报错。

开启代理抓包，网络连接失败，抓不到登录包。不出意外是存在证书或者代理检测。

一把梭哈，先上LSPosed插件，算法助手pro，非常的好用，继承了很多功能

算法助手 https://mp.weixin.qq.com/s/JPzjpQ3ZoY7cd5K1ZywTZA

勾选网络环境的几个

burp尝试抓包，成功抓到数据包。

如上图所示，刚过了一座山，又有一条河。请求包和响应包都加密了。接下来我们寻找加密的位置和算法。

要寻找加密位置，有几种思路。

• fuzz定位加密方法：假设apk采用了通用的加密算法，那我们frida hook加密算法的脚本 或者借助算法助手的算法分析定位。

• 我们发送请求是需要点击按钮的，我们可以hook按钮，然后根据调用栈找到相应按钮事件的代码位置，然后分析上下文

• 如果类名未混淆，根据开发的命名习惯，objection搜索类中带有encrypt、security等字段，然后批量hook这些，查看是哪个类相应了。

apk脱壳

fart脱壳，或者其他脱壳办法
有一个免费的在线脱壳网站，挺好用的，需要微信注册登录
https://nop.gs/

脱完可以看了，搜索关键词，找到了几个类，优先看自定义的加密类

查看哪些类引用了这些类

依次查看后，确定是下图的类是请求包的加密类，算法sm国密系列

最后得出请求包加密的组成部分

SM2("要加密的字符串", "密钥") + 分隔符 + SM3("要加密的字符串")
通过hook 加密函数，可得到明文的信息。

第一次构造数据包

我根据得到的算法，开始构造自己的数据包。然后我就开始了漫长的测试，失败，再测试。一度让我怀疑人生，直到我对比了我SM3的hash和请求包中的hash，二者完全不一样。

我恍然大悟，丫的开发他魔改了加密算法！！！
一阵头秃，只能去看分析加密算法了。定睛一看，哦吼，是native层的，在so里面。

也是十分幸运，so中函数名没进行混淆

然而，我浅薄的so功底，着实有些捉襟见肘，跟着跟着就找不到了。不过，我们没必要这么死板。要构造加密请求包不一定要完全复现出加密步骤，可以通过frida hook，然后rpc调出去，又或者根据通过unidbg模拟环境主动调用so函数。

这些留到下期再说。

原文始发于微信公众号（进击的HACK）：一键过某金融apk抓包检测并定位加密位置(一)