如何优雅且暴力的针对APP有校验加密的情况做测试？网络安全零基础入门到精通实战教程！

本文链接：https://blog.youkuaiyun.com/qq_41314882/article/details/144987489

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

1、前言

前面介绍过很多篇关于web站点以及微信小程序如何做js逆向的案例，有兴趣的老铁可以翻一翻斯叔前面的文章。今天介绍一下app逆向的思路。

2、开始行动

正常配置抓包环境，劫持请求包，首先映入眼帘的就是两个加密的参数，reqdata和signtx（出于保密，原谅重码）

在这里插入图片描述

我给大家准备了一份全套的《网络安全入门+进阶学习资源包》包含各种常用工具和黑客技术电子书以及视频教程，需要的小伙伴可以扫描下方二维码或链接免费领取~

这个reqdata看着很像base64，用个工具base64解密一下看下，很好，已经完成了对reqdata加密方式的逆向分析了，就是用的base64对数据进行的加密

在这里插入图片描述

还剩一个signtx，顾名思义，他应该是某些参数的sign值校验，不过有的时候后端不一定会校验sign值，所以可以尝试修改reqdata中的内容，重放请求包看看后端的响应情况。

很好，看样子逆向sign值是跑不掉的了
在这里插入图片描述

好在这个app没有加壳，我们可以直接通过jadx进行逆向源代码。Jadx打开apk文件之后直接搜索关键字signtx。好在量不是很多，不过我们应该选择哪个代码块呢？这也是一个考验经验以及运气的部分。不过大多数的开发者给参数赋值都会用到set关键字，所以这边斯叔当时是直接选择的名叫setSigntx函数

在这里插入图片描述

跳转过去，看起来没什么内容啊

没关系，我们右击这个函数，然后选择查找用例

在这里插入图片描述

运气不错，只有一个用例，我们直接双击跳转过去看一下
在这里插入图片描述

简单读一下上下文的代码逻辑可以发现，这里说的是如果signty的值等于MD5，那么就调用这个setSigntx函数，然后还巴拉巴拉调用了其他两个函数，最里面的传参是reqtime + reqdata

这个reqtime和reqdata刚好都在请求的数据包中出现了，那我们就可以做出猜想，这个sign是不是就是针对reqtime和reqdata结合后的字符串进行的一系列运算产生的值呢？

带着这个疑问，咱们就可以简单编写一个主动调用的frida代码来验证一下。什么不会写frida的主动调用代码？没关系人工智障会！

在这里插入图片描述

把gpt的结果复制粘贴到js脚本中，然后把123的内容换成请求包中的reqtime和reqdata结合后的字符串，最后的脚本长这样式的
在这里插入图片描述

然后启动我们万能的frida，加载一下脚本，看看怎么一回事儿，完美，跟请求包内容一摸一样，这说明app就是调用的这个地方进行的sign值计算

下一步就是如何脚本化的持续调用这个sign值加密了，毕竟每次修改请求包之后都需要人工改脚本计算以此sign很麻烦，如果能一键计算就更好了。首先想到的就是编写frida的rpc，可能又会有小伙伴说了，frida的rpc怎么编写？没关系，我们有人工智障！
在这里插入图片描述

不过调用rpc终究还是太麻烦了，如果能够直接用python实现加解密操作就更方便了。因为这个sign值计算的地方出现了很多次MD5的关键字，所以我们有理由去猜测是否就是reqtime和reqdata结合后的字符串的MD5值，直接让人工智障写一个python实现MD5的方法

在这里插入图片描述

复制粘贴然后Python跑一下，结果正确，nice！

搞到这里就思路清晰了，测试的时候reqdata是base64加密，修改完reqdata内容之后，将新的reqdata的base64内容与reqtime结合的字符串进行md5加密替换signtx的内容就可以正常测试了。

下一步就是借助burp插件让这个过程自动起来了，达成我只需要修改reqdata的内容，然后自动对signtx的值进行计算替换到请求包中进行请求的效果，这里斯叔用的是f0ng大佬写好的burp插件autoDecoder，采用的是接口加密，接口加密的脚本也很简单，人家也提供了很多可供参考的案例。

这里因为只需要对请求包做sign值加密，不用管解密的事情去，所以主要针对encode的案例代码进行修改，这个encrypt()函数保持不变，我们主要修改des_decrypt()函数中的内容（不用在意名称，我直接用的案例脚本，函数名称懒得改了）。通过注释辅助也能明白，encrypt()函数做的操作就是先获取post的参数，然后将获取到的参数经过des_decrypt()函数走一遍之后的返回值再返回给burp。

在这里插入图片描述