4.4 美团

笔者的 app 版本：11.13.408

加密定位

搜索关键字：mtgsig

点进去看看，发现是一个类变量

查找用例看看都有什么地方在使用

发现只有 7 个位置，我们需要重点关注 xxx.put 的位置，这些才是放置参数的代码，所以有以下几个位置：

jSONObject3.put(MTGConfigs.MTG_SIG_HEADER, new JSONObject((Map) this.mRequestSignatureMethodV4.invoke(null, optString, optString2, optString3, optString4, optString5, bArr)));


hashMap.put(MTGConfigs.MTG_SIG_HEADER, commonCandyInterceptor.getRequestSignature(str, uri, str2, str3, str4, bArr));

hashMap.put(MTGConfigs.MTG_SIG_HEADER, makeHeader);

createMap.putString(MTGConfigs.MTG_SIG_HEADER, com.sankuai.waimai.store.util.h.a((Map) this.mRequestSignatureMethodV4.invoke(null, string, a2, string3, string4, string5, bArr)));

逐个去分析，最后是用的第三个找到的，步骤如下：

加密入口为：com.meituan.android.common.mtguard.NBridge.main

使用 Frida 进行验证

let NBridge = Java.use("com.meituan.android.common.mtguard.NBridge");
        NBridge["main"].implementation = function (i, objArr) {

            let result = this["main"](i, objArr);
            HookBox.log(
                "NBridge.main",
                0,
                `i=${i}`,
                `objArr=${objArr}`,
                `result=${result}`,
            )



            return result;
        };

发现好像没什么问题！

so 文件定位

知道了加密入口，要定位 so 文件就更简单了，我们只需要 hook 一下 registNatives 就可以了，脚本在：https://raw.githubusercontent.com/lasting-yang/frida_hook_libart/master/hook_RegisterNatives.js

不做介绍， so 文件为 libmtguard.so

unidbg

1. 模板搭建

package com.meituan;

import com.github.unidbg.AndroidEmulator;
import com.github.unidbg.Module;
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
import com.github.unidbg.linux.android.AndroidResolver;
import com.github.unidbg.linux.android.dvm.AbstractJni;
import com.github.unidbg.linux.android.dvm.DalvikModule;
import com.github.unidbg.linux.android.dvm.VM;
import com.github.unidbg.memory.Memory;

import java.io.File;

public class mtgsig extends AbstractJni {
    private final AndroidEmulator emulator;
    private final VM vm;
    private final String dirPath = "unidbg-android/src/test/resources";
    private final Module module;

    mtgsig() {
        // 模拟器，设置进程名为 com.sankuai.meituan
        emulator = AndroidEmulatorBuilder.for32Bit().setProcessName("com.sankuai.meituan").build();
        // 模拟器的内存操作接口
        final Memory memory = emulator.getMemory();
        // 23版本的sdk
        memory.setLibraryResolver(new AndroidResolver(23));
        vm = emulator.createDalvikVM(new File(dirPath + "/mt1113408.apk"));
        // 打印日志
        vm.setVerbose(true);
        // 设置JNI，类必须extends AbstractJni -> 用于补环境
        vm.setJni(this);
        // 加载 so 文件, 因为传入 app, 所以可以直接写 so 文件的名字, 去掉 开头的 lib 和 结尾的 .so
        DalvikModule dm = vm.loadLibrary("mtguard", true);
        module = dm.getModule(); // 获取so模块的句柄
        dm.callJNI_OnLoad(emulator); // 调用JNI_OnLoad
    }

    public static void main(String[] args) {
        mtgsig ins = new mtgsig();
    }

}

搭完架子之后运行，发现其有几个 so 文件依赖，我们可以补一下


new JniGraphics(emulator, vm).register(memory);
new AndroidModule(emulator, vm).register(memory);

补完之后运行，发现还有一个依赖的 so 文件， 先不补了


2. 入参构建

构建很简单，使用 frida hook 一下，分析参数，然后自己构造即可，需要注意的就是里面有一个参数不好打印，可以使用以下脚本

function b2s(array) {
    var buffer = Java.array('byte', array);
    var result = "";
    for (var i = 0; i < buffer.length; ++i) {
        result += (String.fromCharCode(buffer[i] & 0xff)); // here!!
    }
    return result
}


let NBridge = Java.use("com.meituan.android.common.mtguard.NBridge");
        NBridge["main"].implementation = function (i, objArr) {

            let result = this["main"](i, objArr);
            if (i === 2) {
                console.log(objArr[1].$className)
                HookBox.log(
                    "NBridge.main",
                    0,
                    `i=${i}`,
                    `objArr[0]=${objArr[0]}`,
                    `objArr[1]=${b2s(objArr[1])}`,
                    `objArr[2]=${objArr[2]}`,
                    `result=${result}`,
                )
            }






            return result;
        };

可以看出来参数都是什么

3. 模拟调用

先编写一个调用方法

    public void callMain() {
        DvmClass clazz = vm.resolveClass("com/meituan/android/common/mtguard/NBridge");

        StringObject appkey = new StringObject(vm, "9b69f861-e054-4bc4-9daf-d36ae205ed3e");
        vm.addLocalObject(appkey);

        String urlObj = "GET /abtest/v1/getAllStrategys __reqTraceID=5a7a93aa-1a0b-4e67-b27c-95f5e3f59c18&app=group&ci=1&msid=&platform=android&userid=-1&utm_campaign=AgroupBgroupC0E0Ghomepage&utm_content=ef9abda42ada49248c5c4c4c45443fbea167994434606354397&utm_medium=android&utm_source=yijia5&utm_term=1100130408&uuid=0000000000000F4D4F832198E4FDA96343456BADD2441A167994434590459712&version_name=11.13.408";
        ByteArray urlBytes = new ByteArray(vm, urlObj.getBytes());


        DvmObject<?> ret = clazz.callStaticJniMethodObject(
                emulator,
                "main(I[Ljava/lang/Object;)[Ljava/lang/Object;",
                2,
                vm.addLocalObject(new ArrayObject(appkey, urlBytes, null))
        );

        System.out.println("================================================");
        System.out.println(ret.getValue());
        System.out.println("================================================");
    }

调用一下试试，发现直接报错了

果然大厂没有这么容易，猜测可能是有什么初始化的步骤，先分析一下源码看看能不能找到，使用查找用例

发现第一行可能是的，那就先试试，在调用函数之前主动初始化一下，发现结果还是不行！

所以直接用 frida hook 一下，看看在调用 main 之前都做了什么

let NBridge = Java.use("com.meituan.android.common.mtguard.NBridge");
        NBridge["main"].implementation = function (i, objArr) {

            let result = this["main"](i, objArr);
            HookBox.log(
                "NBridge.main",
                0,
                `i=${i}`,
                `objArr=${objArr}`,
            
                `result=${result}`,
            )






            return result;
        };

查看日志发现调用了 1 和 3，我们都写上看看

public void callInit() {
    DvmClass clazz = vm.resolveClass("com/meituan/android/common/mtguard/NBridge");
    clazz.callStaticJniMethodObject(
            emulator,
            "main(I[Ljava/lang/Object;)[Ljava/lang/Object;",
            1,
            vm.addLocalObject(new ArrayObject())
    );
    clazz.callStaticJniMethodObject(
            emulator,
            "main(I[Ljava/lang/Object;)[Ljava/lang/Object;",
            3,
            vm.addLocalObject(new ArrayObject())
    );

}

再跑一下，发现跑通了，简直不要太 nice!

4. 环境补充

开始枯燥的补环境了！

com/meituan/android/common/mtguard/NBridge->getClassLoader()Ljava/lang/ClassLoader;

要参考一下 jadx 里面的代码来补环境

case "com/meituan/android/common/mtguard/NBridge->getClassLoader()Ljava/lang/ClassLoader;":
    return vm.resolveClass("dalvik/system/PathClassLoader").newObject(this.getClass().getClassLoader());

java/lang/ClassLoader->loadClass(Ljava/lang/String;)Ljava/lang/Class;