分析运行APP内存中的敏感信息

前言：

众所不知在OSS中，使用HTTP请求的Authorization Header来携带签名信息是进行身份验证的最常见方法。除了使用POST签名和URL签名之外，所有的OSS操作都需要通过Authorization Header来进行身份验证。携带格式如下：

Authorization="OSS "+AccessKeyId+":"+SignatureSignature = base64(hmac-sha1(AccessKeySecret,VERB+"n"+Content-MD5+"n"+Content-Type+"n"+Date+"n"+CanonicalizedOSSHeaders+CanonicalizedResource))

案例：

某APP通过抓包可以看到上传请求中含有Authorization头，并且前面是OSS开头，那么LTAI5..........fv就是AccessKeyId，根据前言可知：后面就是加密后的AccessKeySecret。

   接下来开始寻找AccessKeySecret，将apk放入jadx中发现被进行了加壳。

frida -U -l zitu.js XXXAPKNAMEXXX

   根据请求包中的密文和sdk中调用的签名方法，对在输出结果中进行查找

发现此AccessKeySecret明文如下

最终：accesskeyid：LTAI5..........fv accesskeysecret：bB3............LYZ5c3mF

原文始发于微信公众号（思极安全实验室）：分析运行APP内存中的敏感信息