frida hook环境

1. pycharm（python,JavaScript）
2.安卓模拟器（觉得哪个好用就用哪个）
3.frida配置（frida是配置在python的）
4.jadx-gui (反编译工具)
（后续有其他工具再贴 以上的工具论坛已经有很多大佬教过安装和配置了 这里就不赘述了）

分析过程

刨析内容

此处是fd抓的password login 的提交

提交的data:

appid (app标识)  
sign(加密)
appversion(app版本)
channelid(好像也是一个标识吧反正固定的)
pwd (密码(加密))
udid (加密)
username (手机号)

共有三处加密 一个sign  一个pwd 这两个初步看是md5  还有一个udid 一开始还以为是base加密 丢进base全家桶解密结果不是 那就暂定AES或RSA吧

pwd|sign分析

该说不说 是骡子是马直接丢jadx

好家伙搜sign这么多地址 那咱怎么可能一个个看 直接搜login.ashx

那咋办嘛 进来之后 看到这里string了一个对象 是login_url 那就应该会有调用他的地方进行post提交 直接搜这个对象看看

果不其然 这里拼接了一个username 和pwd  还能看到有个encodemd5 里面传了个str3 str3还是一个被传进来的参数 这里应该就是对pwd进行加密的地方 双击进入这个方法 真相就要水落石出了

md5的模子  直接给他hook下来

#####python代码块
import frida  # 导入frida模块
import sys  # 导入sys模块
def on_message(message, data):  # js中执行send函数后要回调的函数
print(message)# 打印回调的函数
session = frida.get_remote_device().attach('name')  # app名字
with open("./hook.js",encoding='utf-8') as f:script = session.create_script(f.read())# 找到我们写好的hook脚本 然后进行注入
script.on('message', on_message)  # 加载回调函数，也就是js中执行send函数规定要执行的python函数
script.load()  # 加载脚本

sys.stdin.read()#进行程序阻塞 让我们进行调试  如果不加这段会直接允许会直接结束代码 CTRL+D可以直接结束程序

##JS代码块
Java.perform(function (){
Java.use('com.autohome.ahkit.utils.SecurityUtil').encodeMD5.implementation=function (data){          ///function里面的data是要劫持的函数 
///com.autohome.ahkit.utils <文件名 package>
///SecurityUtil <类名 class> 
///encodeMD5 <函数名 调用的方法名>
console.log(data); ///打印此函数
return this.encodeMD5(data);///劫持完代码看一下怎么个事就给你反回去
 }
});

好家伙 点一下登陆 有两处调用了这里  第一个应该是密码 pwd  第二个可能是sign 经过抓包检验 确实是我们要的sign参数 只是抓到的包里面的sign参数是经过md5到大写

事已至此 sign or pwd的encrypt到此结束

---

udid分析

通过我们对sign的劫持 我们取到了一串明文  接下来还是继续分割出来 发现了udid在这里就已经进行了加密  然后pwd也是加密了  pwd没什么好说的 在刚才的hook中已经知道他是先加密了pwd再进行拼接 然后把这个拼接完的数据继续入参进行md5加密成sign   以下是对udid的分析

依旧是无脑定位大法  搜udid 看到getudid直接进
(接下来看图吧 以下是找udid的生成过程)





到这里 就给大家简单说一下 这个udid的生成

HiAnalyticsConstant.REPORT_VAL_SEPARATOR 这玩意转到声明  实际上就是一个|  分割用的
getIMEI(context)  这里是获取了你的设备号
System.nanoTime  这里是调用了系统方法 查了下好像是生成随机时间的？
# SPUtils.getDeviceId() device iD 设备ID？ 后面发现这里是抓包获取到的 设备号固定这个值也固定

udid的生成找到了  最后是通过encode3Des进行加密  如果不懂什么是3Des加密的可以去上网搜一下

Java.perform(function (){
Java.use('com.autohome.ahkit.AHAPIHelper').getDesKey.implementation=function (mDesKey){///function里面的data是要劫持的函数
var key = this.getDesKey(mDesKey)

     console.log(key)
   return key;///劫持完代码看一下怎么个事就给你反回去

 }
});

key找到了 大概过程也分析完了  我们尝试hook一下拿到明文然后自己还原校验一下

OK 成功 至此分析过程已经完毕

文章来源：https://www.52pojie.cn/thread-1711668-1-1.html