结合AI对WhatsApp的分析 (一)

遇事不决先问AI

工具是死的，人是活到。个人认为目前的AI，抹平了初级程序员和中级的程序员之间的技术差距。但是抹平不了李老板和入门级的程序员之间的技术差距。

作为一个有证的程序员，应该这样问AI才靠谱

这里面的关键信息就是AES SHA256和libwhatsapp.so了，

找朋友 libwhatsapp.so

我们遇到的第一个困难就是， 最新版的apk里面只有libsuperpack.so 和 libunwindstack.so， 并没有我们期待的libwhatsapp.so

不过这也难不倒我们，继续问AI呗。这次 AI给出了几个方案，它怀疑 WhatsApp 可能已经将多个 .so 库合并进一个单独的 libsuperpack.so 文件，减少 APK 体积并提高加载效率。

所以我们先安装Apk，然后用上最原始的查找大法

find / -name 'libwhatsapp.so' -type f

# 结果出来了
/data/user/0/com.whatsapp/files/decompressed/libs.spo/libwhatsapp.so

IDA

这个 H 一看就是个Base64， 所以第一反应就是 hook java的 base64函数，但是没有结果，那就说明大概率是在 so里面做的base64。

这时候就请IDA上场了。

我感觉下一个版本的ida可能就会增加AI窗口了， 咱们直接输入一个:

请帮我标出这个so中做Base64操作的函数，并且生成frida Hook的代码

好吧，在ida没有更新之前，只能飞哥上场了。

挂上心爱的 FindCrypt插件

啥也不说了，先Hook它

    let libWhatsAppAddress = Module.findBaseAddress('libwhatsapp.so');    console.log(" ==> libwhatsapp : " + libWhatsAppAddress)    let offset = 0x89F7C8;    let funcAddr = libWhatsAppAddress.add(offset);    Interceptor.attach(funcAddr, {        onEnter: function(args) {        },        onLeave: function(retval) {            console.log('--> retval: ' + retval);            try {                let strIn = Memory.readUtf8String(retval);                console.log(strIn);            } catch (e) {                Log( "#### Base64 A Rc Error");            }            console.log(`/* TID ${gettid()} */ =======  Base64 A retval ====`);        }    });

跑一下 ，熟悉的味道

1:rc1