【保姆级教学】某金融app FRIDA hook加解密算法+jsrpc=乱杀

0x01 APP渗透测试

因为是经过授权的测试，所以拿到的这个包是没有加固的。

加固的话，也是有对策的，可以使用脱壳机脱壳，使用hluda绕过frida检测。

1.1 绕过root检测

1.打开app，发现提示:”系统已root，不允许操作“，然后软件进行退出，无法进行后续操作。

所以需要绕过root检测。

2.打开magisk，在设置中选择“隐藏magisk”，然后输入随机包名，根据提示进行重启

● 安装shamiko：https://github.com/LSPosed/LSPosed.github.io/releases

笑脸为启用状态。

● magisk设置——配置排除列表——勾选app(此处的操作是为app隐藏root，及没有通过root启动app)

需要关闭“遵循排除列表”

3.然后重启，便可以打开app了。

1.2 抓包(burp抓安卓app包)

电脑地址：192.168.1.39

手机端设置：

将手机wifi连接到与电脑同一网段下，然后修改wifi代理：

电脑burp设置：

注意：抓取https的包需要安装证书，需要注意的是，安卓7.0以下，系统信任用户安装的证书，而安卓7.0以上，系统不会信任用户安装的证书，导致无法抓取https的包，建议使用magisk+Move Certificates将证书移动到系统路径下。

然后开始抓包，还好app没有各种检测，能顺利抓包~

通过抓包，发现请求包和返回包都被加密了，但是通过观察多个请求包会发现请求体的内容都是以“#01开头”，而这正是突破口，我们可以通过反编译代码，全局搜索“#01”，来寻找加密的地方。

1.3 APP反编译分析

1.使用burp对app进行抓包，发现报文被加密，但是有个相同的特点——报文都是以"#01"开头，于是我们在jadx-gui中全局搜索(ctrl+shift+F)“#01”

2.在搜索结果中可以看到关键字“encrypteDataWithSM“(中文意思为：使用SM方式加密数据)，然后双击点进去查看详细代码。

3.通过上图，可以看到encrypt与decrypt，通过分析代码推断此处为加密和解密函数，为了确定是加解密函数，我们对这两个方法进行hook，使用objection也可以。

0x02 Frida HOOK

2.1 编写hook代码

import frida, sys

jscode ="""
Java.perform(function () {
<!-- 获取CryptoUtil这个类的对象 -->
    var CryptoUtil = Java.use('com.xxxx.security.CryptoUtil');
<!-- 调用encryptDataWithSM方法，因为这个方法的参数有三个，所以在 function 中有三个参数，至于为什么没有类型修饰，因为 JavaScript 是弱语言 -->
    CryptoUtil.encryptDataWithSM.implementation = function (app,dataStr,keyStr) {
        console.log("Hook Start...");  //
        console.log("app:",app); //打印app参数
        console.log("dataStr",dataStr); //打印dataStr参数
        console.log("keyStr",keyStr); //打印keyStr参数
        var data = this.encryptDataWithSM(app,dataStr,keyStr);//使用this.encryptDataWithSM()再次调用原函数并把原本的参数传递给这个encryptDataWithSM()函数，然后通过return原封不动的返回。
        return data;
    }
});
"""
# 这下面的代码的作用就是为了执行上面 JS 代码，输出 JS 中 send() 方法中的内容
def message(message, data):
    if message["type"] == 'send':
        print("<li> {0}".format(message['payload']))
    else:
        print(message)
# 获取这个 APK 的进程，可以使用frda-ps -Ua获取
process = frida.get_usb_device().attach('xxxxxx银行')
script= process.create_script(jscode)
script.on("message", message)
script.load()
sys.stdin.read()

手机端运行frida，然后pycharm直接运行代码，操作手机，查看控制台输出。

从控制台可以看到encryptDataWithSM()函数被成功hook，而dataStr也是我们想要的报文。

2.2 hook 加解密函数

我们修改代码，只打印dataStr并同时hook解密函数。


import frida, sys

jscode ="""
Java.perform(function () {
    var CryptoUtil = Java.use('com.xxxx.security.CryptoUtil');
    CryptoUtil.encryptDataWithSM.implementation = function (app,dataStr,keyStr) {
        console.log("Hook Start..."); 
        console.log("encrycptDataStr",dataStr);
        var data = this.encryptDataWithSM(app,dataStr,keyStr);
        return data;
    }
    CryptoUtil.decryptDataWithSM.implementation = function (app,dataStr,keyStr) {
        console.log("Hook Start....");
        console.log("decrycptDataStr:",dataStr)
        var data = this.decryptDataWithSM(app,dataStr,keyStr);
        return data;
       }
});
"""
def message(message, data):
    if message["type"] == 'send':
        print("<li> {0}".format(message['payload']))
    else:
        print(message)

process = frida.get_usb_device().attach('XXXXX银行')
script= process.create_script(jscode)
script.on("message", message)
script.load()
sys.stdin.read()

我们看到encryptDataWithSM加密前的数据以及decryptDataWithSM解密前的数据被打印出来。现在我们是数据都拿到了，但是怎么篡改数据那，那么我们就要rpc了。

0x03 编写转发脚本

感谢pyth0n大佬的项目

3.1 修改hook代码

修改hook脚本，将hook出来的数据，发送到burp便于篡改数据，篡改后的请求包发送到服务端，服务端处理后，返回响应包。

666.js


Java.perform(function () {
    var CryptoUtil = Java.use('com.xxxx.security.CryptoUtil');
    CryptoUtil.encryptDataWithSM.implementation = function(app,dataStr,keyStr) {
        console.log("Hook Start..."); 
        console.log("encrycptDataStr",dataStr,keyStr);
        var data;
        send({from:"/http",payload:dataStr,api_path:"request"}); //将dataStr发送到burpTracer.py
        <!-- 接收burp篡改后返回的数据 ↓-->
        var op = recv("input",function(value){  
            data = value.payload
        });
        op.wait();
        console.log("经过burp修改后的参数:" +data);
        var ret = this.encryptDataWithSM(app,data,keyStr);
        return ret;
    }
//hook解密函数
    CryptoUtil.decryptDataWithSM.implementation = function (app,dataStr,keyStr) {
       var getVal = this.decryptDataWithSM(app, dataStr, keyStr);
       send({ from: "/http", payload: getVal, api_path: "response" });    
       var op = recv('input',function (value) {
             console.log(value.payload);             
            });
       op.wait();         
        return getVal;
}    
});

3.2 burpTracer.py，直接使用


from codecs import ignore_errors
import frida
import requests
import time
import sys
import os
import socket
import argparse
from log import *

print ('''\033[1;31m \n
  _____    _     _         ___       _             ____           _
|  ___| __(_) __| | __ _  |_ _|_ __ | |_ ___ _ __ / ___|___ _ __ | |_
| |_ | '__| |/ _` |/ _` |  | || '_ \| __/ _ \ '__| |   / _ \ '_ \| __|
|  _|| |  | | (_| | (_| |  | || | | | ||  __/ |  | |__|  __/ |_) | |_
|_|  |_|  |_|\__,_|\__,_| |___|_| |_|\__\___|_|   \____\___| .__/ \__|
                       #pyth0n                             |_|     
                Intercept Api in Android Application
''')

print ("\033[1;34m<li>___author___: @Pyth0n\033[1;37m")
print ("\033[1;34m<li>___version___: 1.0\033[1;37m")
print ("")

BURP_HOST = "127.0.0.1"
BURP_PORT = 26080

def check_platform():
    try:
        platforms = {
        'linux'  : 'Linux',
        'linux1' : 'Linux',
        'linux2' : 'Linux',
        'darwin' : 'OS X',
        'win32'  : 'Windows'
        }
        if sys.platform not in platforms:
            sys.exit(logger.error("[x_x] Your platform currently does not support."))
    except Exception as e:
        logger.error("[x_x] Something went wrong, please check your error message.\n Message - {0}".format(e))

def check_ps_for_win32():
    try:
        if sys.platform == "win32":
            PROCESSNAME = "iTunes.exe"
            for proc in psutil.process_iter():
                try:
                    if proc.name() == PROCESSNAME:
                        return True
                except (psutil.NoSuchProcess, psutil.AccessDenied, psutil.ZombieProcess) as e:
                    pass
            return sys.exit(logger.error("[x_x] Please install iTunes on MicrosoftStore or run iTunes frist."))              
    except Exception as e:
        logger.error("[x_x] Something went wrong, please check your error message.\n Message - {0}".format(e))

def check_echo_server():
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    result = sock.connect_ex(('127.0.0.1',27080))
    if result == 0:
       logger.info("<li> Connect to echoServer successfully.")
    else:
        sock.close()
        sys.exit(logger.error("[x_x] Please start echoServer."))

def run():
    #check platform support
    check_platform()
    #check process iTunes for Win32s
    #check_ps_for_win32()
    #check python version
    if sys.version_info < (3, 0):
        logger.error("[x_x] iOS hook requires Python 3.x")
        sys.exit(0)
    else:
        handle_del_log()
        main()

def handle_del_log():
    try:
        pwd = os.getcwd()
        path = pwd + '/errors.log'
        file_stats = os.stat(path)
        if (file_stats.st_size > 1024000000): #delete errors.log if file size > 1024 MB
            os.remove(path)
        else:
            return True
    except Exception as e:
        logger.error("[x_x] Something went wrong when clear error log. Please clear error log manual.\n [Error Message] - {0}".format(e))

def main():
    def frida_process_message(message, data):

        handled = False       
        if message['type'] == 'input':
            handled = True           
        elif message['type'] == 'send':
            body = message['payload']           
            API_PATH = body['api_path']           
            if body['from'] == '/http':
                try:
                    # 把数据发给 本地burp 监听的 26080端口
                    req = requests.request('FRIDA', 'http://%s:%d/%s' % (BURP_HOST, BURP_PORT, API_PATH), headers={'content-type':'application/json'}, data=body['payload'].encode('utf-8'))
                    script.post({ 'type': 'input', 'payload': req.text }) # 把修改后的数据传输回给js
                    handled = True
                except requests.exceptions.RequestException as e:
                    logger.error("[x_x] Connection refused, please check configurage on BurpSute.\n [Error Message] - {0}".format(e))

    parser = argparse.ArgumentParser()
    parser.add_argument("-p", "--package")
    parser.add_argument("-n", "--name")
    parser.add_argument("-s", "--script", help='custom handler script')
    parser.add_argument("-r", "--remote",help="远程主机")
    args, leftovers = parser.parse_known_args()

    try:
        #Spawning application with default script
        if args.package is not None and args.script is None:
            #check echoServer
            check_echo_server()
            #
            logger.info('<li> Spawning: ' + args.package)
            logger.info('<li> Script: ' + 'handlers.js')
            time.sleep(2)
            device = frida.get_usb_device()
            pid = device.spawn(args.package)
            device.resume(pid)
            time.sleep(1)
            session = device.attach(pid)
            with open("handlers.js") as f:
                script = session.create_script(f.read())
            script.on("message", frida_process_message)
            script.load()
            input()
        #Attaching default script to application
        if args.name is not None and args.script is None:
            #check echoServer
            check_echo_server()
            #
            logger.info('<li> Attaching: ' + args.name)
            logger.info('<li> Script: ' + 'handlers.js')
            time.sleep(2)
            process = frida.get_usb_device().attach(args.name)
            with open("handlers.js") as f:
                script = process.create_script(f.read())
            script.on("message", frida_process_message)
            script.load()
            input()
        # Spawing application with custom script
        if args.package is not None and args.script is not None:
            #check echoServer
            check_echo_server()
            #
            if os.path.isfile(args.script):
                logger.info('<li> Spawning: ' + args.package)
                logger.info('<li> Script: ' + args.script)
                time.sleep(2)
                device = frida.get_remote_device()               
                pid = device.spawn(args.package)
                device.resume(pid)                            

                time.sleep(1)
                session = device.attach(pid)
                with open(args.script,encoding='utf-8',errors='ignore') as f:
                    script = session.create_script(f.read())
                script.on("message", frida_process_message)
                script.load()
                input()
            else:
                logger.error('[?] Script not found!')

        #Attaching default script to application
        if args.name is not None and args.script is not None:
            #check echoServer
            check_echo_server()
            #
            logger.info('<li> Attaching: ' + args.name)
            logger.info('<li> Script: ' + args.script)
            time.sleep(2)
            process = frida.get_usb_device().attach(args.name)
            with open(args.script,encoding='utf-8',errors='ignore') as f:
                script = process.create_script(f.read())
            script.on("message", frida_process_message)
            script.load()
            input()

        if args.remote is not None and args.script is not None:
            #check echoServer
            check_echo_server()
            #
            logger.info('<li> Attaching: ' + args.remote)
            logger.info('<li> Script: ' + args.script)
            time.sleep(2)
            process = frida.get_remote_device().attach(args.remote)
            with open(args.script,encoding='utf-8',errors='ignore') as f:
                script = process.create_script(f.read())
            script.on("message", frida_process_message)
            script.load()
            input()  

    #EXCEPTION FOR FRIDA
    except frida.ServerNotRunningError:
        logger.error("Frida server is not running.")
    except frida.TimedOutError:
        logger.error("Timed out while waiting for device to appear.")
    except frida.TransportError:
        logger.error("[x_x] The application may crash or lose connection.")
    #EXCEPTION FOR OPTIONPARSING

    #EXCEPTION FOR SYSTEM
    except Exception as e:
        logger.error("[x_x] Something went wrong, please check your error message.\n Message - {0}".format(e))

    except KeyboardInterrupt:
        logger.info("Bye bro!!")
        # sys.exit(0)

if __name__ == '__main__':
    run()

3.3echoServer.py 直接使用


from http.server import HTTPServer, BaseHTTPRequestHandler
from optparse import OptionParser
from log import *

print ('''\033[1;31m \n
            _           _____                          
           | |         / ____|                         
   ___  ___| |__   ___| (___   ___ _ ____   _____ _ __ 
  / _ \/ __| '_ \ / _ \\___ \ / _ \ '__\ \ / / _ \ '__|
 |  __/ (__| | | | (_) |___) |  __/ |   \ V /  __/ |   
  \___|\___|_| |_|\___/_____/ \___|_|    \_/ \___|_|                                                                                                                        
''')
print ("\033[1;34m<li>___author___: @Pyth0n\033[1;37m")
print ("\033[1;34m<li>___version___: 1.0\033[1;37m")
print ("")

ECHO_PORT = 27080

class RequestHandler(BaseHTTPRequestHandler):

    def do_FRIDA(self):
        request_path = self.path

        request_headers = self.headers
        content_length = request_headers.get('content-length')
        # length = int(content_length[0]) if content_length else 0
        length = int(content_length) if content_length else 0

        self.send_response(200)
        self.end_headers()

        self.wfile.write(self.rfile.read(length))

def main():
    try:
        logger.info('<li> Listening on 127.0.0.1:%d' % ECHO_PORT)
        server = HTTPServer(('', ECHO_PORT), RequestHandler)
        server.serve_forever()

    except KeyboardInterrupt:
        logger.info("Stop echoServer!!")

if __name__ == "__main__":
    logger.info('<li> Starting echoServer on port %d' % ECHO_PORT)
    main()

3.4 使用

● burp的proxyoptions导入burpsuite_configuration_proxy.json,

burpsuite_configuration_proxy.json


{
    "proxy":{
        "request_listeners":[
            {
                "certificate_mode":"per_host",
                "custom_tls_protocols":[],
                "enable_http2":true,
                "listen_mode":"loopback_only",
                "listener_port":8080,
                "running":true,
                "use_custom_tls_protocols":false
            },
            {
                "certificate_mode":"per_host",
                "custom_tls_protocols":[
                    "SSLv3",
                    "TLSv1",
                    "TLSv1.1",
                    "TLSv1.2",
                    "TLSv1.3"
                ],
                "enable_http2":true,
                "listen_mode":"specific_address",
                "listen_specific_address":"127.0.0.1",
                "listener_port":26080,
                "redirect_to_host":"127.0.0.1",
                "redirect_to_port":27080,
                "running":true,
                "support_invisible_proxying":true,
                "use_custom_tls_protocols":false
            }
        ]
    }
}

● 手机上开启frida-server

● 运行echoServer.py

● 运行burpTracer.py


adb forward tcp:27042 tcp:27042 #转发端口
burpTracer.py -s 666.js -p com.xxx.xxx.bank

此时手机会自己打开app，如果burp打开监听，也会收到数据包，便可以愉快的改包测试了。.

下面是流程原理：

0x04 乱杀

敏感信息泄露

登录时，输入账号然后抓包，将抓到的请求包放行。

从返回包中，可以看到

接下来就是各种乱杀：

自评TCV:3

评论86次

要评论？请先登录或注册

TOP1

Adminxe
2023-4-2 19:18

我现在的办法是下载安卓源码，定制xi统，去掉root特征，自定义fingerprint特征。

回复|@ta|踩(0)|顶(3)
TOP2

Adminxe
2023-4-2 19:23

不行，这个方法的弊端就是只能测逻辑类、敏感泄露类的漏洞，不能重放

回复|@ta|踩(0)|顶(1)
46楼

Adminxe
2023-4-2 19:21

yamie：
#感谢pyth0n大佬的项目#项目地址发一下啊
回复|@ta
1

我也没地址，我也没找到，这是之前作者本人分享给我的

回复|@ta|踩(0)|顶(0)
45楼

Adminxe
2023-4-2 19:19

Txswcl：
大佬，iOS下的frida检测有方法破嘛
回复|@ta
1

我记得是有一些插件可以绕过部分，我还没搞ios，具体也不清楚

回复|@ta|踩(0)|顶(0)
44楼

Adminxe
2023-4-2 19:18

Archer666：
试了一些企业版加固的app，还是绕不过root检测，这种有方法吗
回复|@ta
1

我现在的办法是下载安卓源码，定制xi统，去掉root特征，自定义fingerprint特征。

回复|@ta|踩(0)|顶(3)
43楼

Adminxe
2023-4-2 19:17

r1ghrfhd：
仔细看完了多了一个针对全流量加密的思路谢谢脚本有链接吗看看作者的介绍
回复|@ta
1

作者的链接我也没有了，这是作者本人之前分享给我的

回复|@ta|踩(0)|顶(0)
42楼

小毒物小毒物
2023-4-2 00:06

公司也有app测试，从之前的能够直接抓包到后面使用frida、justtrustme+xposedinstaller绕过防护，然后现在又不能抓了.....学xi一下师父思路~~~

回复|@ta|踩(0)|顶(0)
41楼

Firedli
2023-3-28 23:39

对加密流量处理的思路也可以用于其他地方了。。

回复|@ta|踩(0)|顶(0)
40楼

l1b3r
2023-3-28 20:54

师傅太强了感谢分享

回复|@ta|踩(0)|顶(0)
39楼

xunfeng
2023-3-27 16:48

大哥牛逼

回复|@ta|踩(0)|顶(0)
38楼

stay-src
2023-3-26 18:50

学到了，师傅太强了

回复|@ta|踩(0)|顶(0)
37楼

hcedu
2023-3-26 18:16

大佬好强，基础扎实，思路清晰，过来学xi了

回复|@ta|踩(0)|顶(0)
36楼

prediter12138
2023-3-25 18:13

感谢师傅分享，学到了

回复|@ta|踩(0)|顶(0)
35楼

outman
2023-3-23 09:52

有绕过FRIDA检测方法吗

回复|@ta|踩(0)|顶(0)
34楼

idam0n
2023-3-23 09:23

太强了，话说ios下面的hook加密有办法吗

回复|@ta|踩(0)|顶(0)
33楼

Azrael
2023-3-23 08:58

师傅强，最近刚好有一个银行的项目

回复|@ta|踩(0)|顶(0)
32楼

Rainy
2023-3-22 23:43

这个属实是干货，app渗透最长遇到的就是包加密和反检测

回复|@ta|踩(0)|顶(0)
31楼

googler
2023-3-22 23:40

干货，虽然看的不是太懂，但是至少这样的文章拓宽了我学xiapp渗透的眼界，至少知道有这样的技术

回复|@ta|踩(0)|顶(0)
30楼

Adminxe
2023-3-20 14:40

chickpr：
在 repeater 中可以修改数据包吗
回复|@ta
1

可以的师傅

回复|@ta|踩(0)|顶(0)
29楼

chickpr
2023-3-20 12:56

在 repeater 中可以修改数据包吗

回复|@ta|踩(0)|顶(0)
28楼

link95273
2023-3-20 10:27

学xi一波大佬的姿势

回复|@ta|踩(0)|顶(0)
27楼

Gh0stF
2023-3-19 03:06

绕过了加密就是柳暗花明

回复|@ta|踩(0)|顶(0)

【保姆级教学】某金融app FRIDA hook加解密算法+jsrpc=乱杀

0x01 APP渗透测试

1.1 绕过root检测

1.2 抓包(burp抓安卓app包)

1.3 APP反编译分析

0x02 Frida HOOK

2.1 编写hook代码

2.2 hook 加解密函数

0x03 编写转发脚本

3.1 修改hook代码

3.2 burpTracer.py，直接使用

3.3echoServer.py 直接使用

3.4 使用

0x04 乱杀

敏感信息泄露

关于作者

评论86次

我现在的办法是下载安卓源码，定制xi统，去掉root特征，自定义fingerprint特征。

不行，这个方法的弊端就是只能测逻辑类、敏感泄露类的漏洞，不能重放

#感谢pyth0n大佬的项目#项目地址发一下啊

我也没地址，我也没找到，这是之前作者本人分享给我的

大佬，iOS下的frida检测有方法破嘛

我记得是有一些插件可以绕过部分，我还没搞ios，具体也不清楚

试了一些企业版加固的app，还是绕不过root检测，这种有方法吗

我现在的办法是下载安卓源码，定制xi统，去掉root特征，自定义fingerprint特征。

仔细看完了 多了一个针对全流量加密的思路 谢谢 脚本有链接吗 看看作者的介绍

作者的链接我也没有了，这是作者本人之前分享给我的

公司也有app测试，从之前的能够直接抓包到后面使用frida、justtrustme+xposedinstaller绕过防护，然后现在又不能抓了.....学xi一下师父思路~~~

对加密流量处理的思路也可以用于其他地方了。。

师傅太强了 感谢分享

大哥牛逼

学到了，师傅太强了

大佬好强，基础扎实，思路清晰，过来学xi了

感谢师傅分享，学到了

有绕过FRIDA检测方法吗

太强了，话说ios下面的hook加密有办法吗

师傅强，最近刚好有一个银行的项目

这个属实是干货，app渗透最长遇到的就是包加密和反检测

干货，虽然看的不是太懂，但是至少这样的文章拓宽了我学xiapp渗透的眼界，至少知道有这样的技术

在 repeater 中可以修改数据包吗

可以的师傅

在 repeater 中可以修改数据包吗

学xi一波大佬的姿势

绕过了加密就是柳暗花明

热门文章

安全资讯Godzilla 无文件后门利用 Atlassian Confluence漏洞 CVE-2023-22527

安全资讯Windows Server（0-click）高危风暴来袭！抓紧打补丁！

渗透测试车联网攻击链路图

最新回复

精华推荐

渗透测试一篇了解PHP代码审计基础

代码学习python批量检测爆破phpmyadmin后台的原理与进阶

渗透测试网站->c段->机房->设备->服务器->ok

手机无线我是如何随时随地控制全校宿舍楼大门的

渗透测试SSRF漏洞(原理&绕过姿势)

文章目录

仔细看完了多了一个针对全流量加密的思路谢谢脚本有链接吗看看作者的介绍

师傅太强了感谢分享