爬虫 APP 逆向 ---＞ 粉笔考研
环境
- 粉笔考研 v6.3.15：https://www.wandoujia.com/apps/1220941/history_v6031500
- 雷电9 模拟器：https://www.ldmnq.com/
- 安装 magisk：https://blog.csdn.net/Ruaki/article/details/135580772
- 安装 Dia 插件 (作用：禁用弹窗)：https://github.com/Xposed-Modules-Repo/dialog.box
Dia 插件 功能
- 取消弹窗。(取消 app 的强制升级。例如：得物app、粉笔考研app)
- 禁用退出（退出+完成）（可以与键控制组合）
- 按关键字禁用弹出框（悬停窗口+对话框）（可与按键控制结合使用）
- 版本自定义（版本号+版本名称）
- 伪装系统时间（系统时间+ GPS时间+本地访问服务器时间）
- 此模块的反检测，Xposed，Root
- 启动时禁用网络（可设置禁用时间）
- 强制结束当前活动（Activity）（通过组合键控制）
- 反禁用Xposed（简单禁用）
开始 逆向
直接搜索关键字 "major/school_score"
major/major_score
分析后发现是 rsa 加密方式，rsa 是非对称加密，需要一个公钥、一个私钥。
通过 hook 验证，发现 函数a 就是用来解密的。
- 方法 1：逆向算法，直接 python 实现
- 方法 2：用 java 实现，然后打包成 jar 包，python 调用 jar 包
- 方法 3：通过 rpc 方式
RPC 代码实现
下面 通过 rpc 方式实现。
模拟器中执行 frida-server，并设置端口转发。
rcp 方式调用
import time import frida import uvicorn from pathlib import Path from fastapi import FastAPI, Request js_code = """ console.log("Script loaded successfully "); function callDecryptFunc(mi_str) { //定义导出函数 let local_result; Java.perform(function x() { console.log("hook 成功"); console.log(mi_str); let li9 = Java.use("li9"); let result = li9.a(mi_str); console.log(`result ---> ${result}`); local_result = result return result; }); return local_result; } rpc.exports = { // 导出名不可以有大写字母或者下划线 calldecrypyfunc: callDecryptFunc }; """ def my_message_handler(message, payload): print(message) print(payload) def get_session(): device = frida.get_usb_device() time.sleep(2) # 睡眠2秒, 防止程序运行过快从而导致附加不上 session = device.attach("粉笔考研") return session g_session = get_session() script = g_session.create_script(js_code) script.on("message", my_message_handler) script.load() app = FastAPI() @app.get("/decrypt_data") @app.post("/decrypt_data") async def root(request: Request): data_dict = await request.json() encrypt_data = data_dict['encrypt_data'] global script decrypt_data = script.exports_sync.calldecrypyfunc(encrypt_data) ret_val = { 'encrypt_data': encrypt_data, 'decrypt_data': decrypt_data } return ret_val if __name__ == '__main__': uvicorn.run(f'{Path(__file__).stem}:app', host="0.0.0.0", port=6666) pass执行结果
测试脚本。"Cookie": "换成自己的cookies"
import json import requests requests.packages.urllib3.disable_warnings() headers = { "User-Agent": "fenbi-android", "Host": "schoolapi.fenbi.com", "Cookie": "换成自己的cookies" } def get_decrypt_data(data_dict=None): url = "http://127.0.0.1:6666/decrypt_data" resp_2 = requests.post(url, json=data_dict, verify=False) ret_val = { 'name': data_dict['name'], 'decrypt_data': resp_2.json()['decrypt_data'], } return ret_val def main(): url_1 = "https://schoolapi.fenbi.com/kaoyan/android/kyzz/major/school_score" url_2 = "https://schoolapi.fenbi.com/kaoyan/android/kyzz/major/major_score" college_info = [ {"dm": "10001", "name": "北京大学"}, {"dm": "10003", "name": "清华大学"}, ] for item in college_info: dm = item['dm'] name = item['name'] querystring_1 = { # "school": "10007", "type": "01", "year": "0", "school": dm, "type": "01", "year": "0", # "client_context_id": "2F3B0BCDA482C2DE2D23", # "version": "6.3.15", "vendor": "Huawei", # "app": "kaoyan", "av": "69", "kav": "27", "hav": "4", # "deviceId": "AKJWMHTPfy/pM1yprG3inw==", # "quizId": "0", "imei": "", "oaid": "", } querystring_2 = { "school": dm, "type": "01", "year": "0", "department": "", # "client_context_id": "A28D05AA5A8943BF6D8F", # "version": "6.3.15", "vendor": "Huawei", # "app": "kaoyan", "av": "69", "kav": "27", "hav": "4", # "deviceId": "AKJWMHTPfy/pM1yprG3inw==", # "quizId": "0", "imei": "", "oaid": "", } resp = requests.get(url_1, headers=headers, params=querystring_1, verify=False) resp_json = resp.json() post_data = { 'name': name, 'encrypt_data': resp_json['data'] } data_1 = get_decrypt_data(post_data) resp = requests.get(url_2, headers=headers, params=querystring_2, verify=False) resp_json = resp.json() post_data = { 'name': name, 'encrypt_data': resp_json['data'] } data_2 = get_decrypt_data(post_data) data = { 'name': name, 'school_score': data_1['decrypt_data'], 'major_score': data_2['decrypt_data'] } print(data) if __name__ == '__main__': main() pass执行结果