当前位置：首页 > news >正文

某尚读书参数逆向分析

news 2026/6/15 12:35:27

0x0 抓包初探：发现请求/响应数据加密

在对某尚读书进行网络流量抓包分析时，发现所有请求参数和返回内容均已被加密。

目标：确定加解密函数的位置、算法、密钥和待加密数据。
初步方法：使用Frida Hook目标 URL 处理函数，打印调用堆栈信息，以快速定位加密流程的入口点。

0x1 Frida Hook 定位加密函数入口

通过分析堆栈信息，Frida 脚本来 Hook 一个高度可疑的方法：[XXTEA + encryptToBase64String:stringKey:]。

function hook_XXTEA_encryptToBase64Str(){ // 导入 Objective-C 框架 if (ObjC.available) { try { // 找到目标方法 const targetMethod = ObjC.classes['XXTEA']['+ encryptToBase64String:stringKey:']; // 挂钩方法 Interceptor.attach(targetMethod.implementation, { onEnter: function(args) { // 在方法进入时执行的代码 console.log('call XXTEA:encryptToBase64Str') var arg2 = args[2] if (targetMethod.argumentTypes[2] == "pointer"){ arg2 = ObjC.Object(arg2) } console.log("arg2:"+arg2); var arg3 = args[3] if (targetMethod.argumentTypes[3] == "pointer"){ arg3 = ObjC.Object(arg3) } console.log("arg3:"+arg3); }, onLeave: function(retval) { var ret = retval if (targetMethod.returnType == "pointer"){ ret = ObjC.Object(retval) } console.log(`XXTEA:encryptToBase64Str ret:` + ret) console.log('leave XXTEA:encryptToBase64Str') } }); }catch(err) { console.log(`[!] hook XXTEA:encryptToBase64Str Exception2: ` + err.message); } } } setImmediate(hook_XXTEA_encryptToBase64Str)

发现encryptToBase64String:stringKey:生成了加密的参数值，进一步查看ida伪代码

0x2 观察 Hook 结果与初步推测

执行 Hook 脚本并触发网络请求后，成功捕获到了加密函数调用的参数和返回值：

待加密数据 (arg2):arg2:{length = 27, bytes = 0x7b226368 616e6e65 6c5f6b65 79223a31 ... 70616765 223a307d }（这是一个 JSON 结构的十六进制表示，即请求体明文：{"channel_key":1, ..., "page":0}）
密钥参数 (arg3):arg3:CIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDQWvANhvD8hd/Hy8bH+t2XAg05i4lvwqVv8tn8Xk1eVGDZyK0kZhSVLoGZyMPSanFjvcqrl2xirkn3lsqzy6deBXxoop9S7cuROi2uOoSeMiOJO3aWTAQTrG4VsWbbY5jX8Oh0mn1dy5YaWsxl+UPQPvnzN50d17WVKIX81hho6wIDAQAB（一个标准的Base64 编码的 RSA 公钥格式字符串）
加密结果 (ret):XXTEA:encryptToBase64Str ret:aX3R/fM6Zm/+1tdLTL+Uv1F9EOInITuGv0G9RPCT7vI=

初步推测：由于密钥参数arg3具有明显的 RSA 公钥特征，且函数名包含XXTEA，我们推测这里可能使用了混合加密机制（Hybrid Encryption）：

数据加密：实际数据 (arg2) 使用XXTEA对称加密。
密钥保护：XXTEA 的对称密钥可能被 RSA 公钥 (arg3) 加密传输。

0x3 IDA Pro 静态分析：揭示真实密钥提取逻辑

为了确认 XXTEA 的实际密钥来源，使用 IDA Pro 对目标方法+ encryptToBase64String:stringKey:所在的二进制文件进行静态分析。

通过对汇编代码的跟踪，我们定位到以下关键代码片段：

__memcpy_chk(&v31, v8, objc_msgSend(v6, "length"), 16LL);

分析结果：实际的 XXTEA 对称密钥并非整个arg3字符串，而是从arg3（v8指向的 Key 字符串）中截取了前 16 个字节（16LL）。
最终结论：
- 加密算法：XXTEA
- 明文数据：arg2(JSON 请求体)
- 加密密钥：arg3字符串的前 16 个字节。
XXTEA decrypt:key