安卓逆向第二篇:手搓Xposed RPC绕过算法/框架限制实现抓包和解密

public static Class<?> findClass(String className, ClassLoader classLoader)

compileOnly(files("lib\\XposedBridgeAPI-89.jar"))    //编译xposed API

Xposed客户端开发

遇到这种无私钥的公钥加密算法我们就真的拿它没办法了吗？真的要给客户出没有漏洞的安全报告了吗？我真的输了吗？

不，我们还有机会！Xposed赋予了我们高贵的调试权限，这意味着我们有监控每个函数输入和输出的能力。公钥加密算法本质还是函数，它传入参数是公钥以及它的明文字节数组，这两个参数在进入公钥加密算法之前还是明文，这时候我们hook这个公钥加密算法，把参数的明文打印出来，这不就实现了解密吗？但是问题又来了，这种解密了又有什么用呢？只能看数据又不能联动Burp之类的抓包工具改数据，这个时候Xposed RPC就有意义了。我们可以创建一个RPC服务端，让Xposed客户端把hook公钥加密算法传入参数的明文转发给RPC服务端，这个过程通过adb以及burp代理，我们就可以在burp代理的过程中修改加密前的明文数据，修改后明文数据经过RPC服务端处理以后返回给Xposed客户端，Xposed客户端将RPC服务端返回的数据以参数形式传入原先的加密函数，这就完成了一次抓包数据修改。一次向APP服务端发起的http请求会向RPC服务端发起两次数据处理请求，这两次请求分别处理原先向APP服务端发起的请求和响应。或许我直接这样说大家会有点懵逼，依旧是大伙最喜欢的excel画图环节:

package <你的包名>;import de.robv.android.xposed.IXposedHookLoadPackage; // 导入 Xposed 加载包接口import de.robv.android.xposed.XC_MethodHook; // 导入 Xposed 方法钩子基类import de.robv.android.xposed.XposedBridge; // 导入 Xposed 桥接工具类，用于输出日志等import de.robv.android.xposed.XposedHelpers; // 导入 Xposed 助手类，提供反射与 Hook 方法import de.robv.android.xposed.callbacks.XC_LoadPackage; // 导入 Xposed 包加载回调类import org.json.JSONObject;public class HookDemo implements IXposedHookLoadPackage{    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam loadPackageParam) throws Throwable {        if (!loadPackageParam.packageName.equals("com.test.test")) return;  //定位目标APP        Class<?> interceptorCls = XposedHelpers.findClass(            "com.test.test.net.interceptors.SM2Interceptor", loadPackageParam.classLoader); //寻找目标APP加密类        Class<?> chainCls = XposedHelpers.findClass("okhttp3.Interceptor$Chain", loadPackageParam.classLoader);//寻找目标APP加密类的传入参数的类        XposedHelpers.findAndHookMethod(interceptorCls,   //目标APP加密类                                        "intercept",       //目标                                        chainCls,        //目标APP加密类的传入参数的类                                        new XC_MethodHook() {   //回调函数                                            //处理传入参数                                            protected void beforeHookedMethod(MethodHookParam param) throws Throwable {                                            }                                            //处理函数返回值                                            protected void afterHookedMethod(MethodHookParam param) throws Throwable {                                            }                                        });    }}

2、写Xposed模块要配合源码去看，我这里Hook了与加密相关的顶级类SM2Interceptor的intercept方法。

3、intercept方法实现的是okhttp3类的Interceptor接口。

4、intercept方法传入参数为Interceptor.Chain,Chain类是Interceptor接口类的内部类，所以用$分隔。

Class<?> chainCls = XposedHelpers.findClass("okhttp3.Interceptor$Chain", loadPackageParam.classLoader);

5、intercept方法的返回值为chain.proceed()，跟进chain.proceed()，在Chain类看到可知其为Response类，Response类是okhttp3处理响应的类。

6、这时候有聪明的小伙伴可能会问:SM2EncDecUtils.encrypt()同样也是加密相关的方法，为什么你要选择SM2Interceptor的intercept()方法而不是SM2EncDecUtils的encrypt()方法？这里我们要结合代码分析，SM2EncDecUtils的encrypt()方法是SM2Interceptor的intercept()方法里的其中一步，我们能看到SM2Interceptor的intercept()方法内不只有加密过程，还有SM3哈希算法生成签名(其实这里严谨一点并不是签名，而是数据摘要)，如果Hook你们要的SM2EncDecUtils的encrypt()方法，前面的签名怎么办？再Hook一次签名算法吗？而且Hook SM2Interceptor的intercept()方法比Hook SM2EncDecUtils的encrypt()方法更方便的点在于它的返回值就是Response类，也就是说Hook SM2Interceptor的intercept()方法，通过beforeHookedMethod()修改其传入参数就相当于修改了http请求，通过afterHookedMethod()修改其返回值就相当于修改了http响应。通过逆向分析选择要Hook的方法是Xposed模块开发最最最重要的一步，选对了能极大减少Xposed 模块开发的代码量，就好像你结婚选择一个好的对象能减少很多不必要的麻烦，所以感情深交选择对的人，Xposed模块开发选择对的Hook方法，m3?

1、接下来介绍beforeHookedMethod()，处理intercept方法的传入参数，详细代码如下(详解看代码注释):

protected void beforeHookedMethod(MethodHookParam param) throws Throwable {    Object oldChain = param.args[0];    Class<?> chainClass = oldChain.getClass();    Object call = XposedHelpers.callMethod(oldChain, "call");    try {        //反射调用Chain的request方法获取request对象        Method requestMethod = chainClass.getMethod("request");        Object request = requestMethod.invoke(oldChain);        if (request != null) {            Class<?> requestClass = request.getClass();            // 获取请求URL            Method urlMethod = requestClass.getMethod("url");            Object url = urlMethod.invoke(request);            String urlStr = String.valueOf(url);            XposedBridge.log("请求URL: " + urlStr);            //获取请求body            String bodyPlain = readRequestBodyUtf8(request,loadPackageParam.classLoader );            XposedBridge.log("body: " + bodyPlain);            //获取请求方法            String method = String.valueOf(XposedHelpers.callMethod(request, "method"));            //构造json格式格式的RPC请求数据            JSONObject rpcReq = new JSONObject();            String traceId = UUID.randomUUID().toString();            rpcReq.put("traceId", traceId);            rpcReq.put("type", "hook");            rpcReq.put("phase", "REQUEST");            rpcReq.put("action", "relay");            rpcReq.put("url", url);            rpcReq.put("method", method);            rpcReq.put("body_base64", "");            rpcReq.put("body", bodyPlain);            rpcReq.put("signParam", "signature");            //将RPC请求数据发送给RPC服务端            String rpcRespText = postJsonToRpc(rpcReq.toString(), true);            //处理RPC服务端返回的数据            JSONObject rpcResp = new JSONObject(rpcRespText);            String newBody = rpcResp.optString("modifiedData", "");            XposedBridge.log("RPC接收到的body: " + newBody);            //重构request类            Object newRequest = rebuildRequest(request,newBody, loadPackageParam.classLoader);            //重构Chain类            Object newChains = rebuildChain(oldChain,newRequest,loadPackageParam.classLoader);            if (traceId != null && traceId.length() > 0) {                CALL_TRACE_MAP.put(call, traceId);            }            //修改传入参数            if (newChains != null) {                param.args[0] = newChains;            }        }    } catch (Exception e) {        XposedBridge.log("反射调用request()失败: " + e.getMessage());    }}

2、intercept方法的传入参数Interceptor.Chain，它是 OkHttp 传给 intercept() 的“调用上下文”。我们可以学着源码里调用request方法用反射获取request对象。

protected void beforeHookedMethod(MethodHookParam param) throws Throwable {    Object oldChain = param.args[0];    Class<?> chainClass = oldChain.getClass();    Method requestMethod = chainClass.getMethod("request");    Object request = requestMethod.invoke(oldChain);}

3、根据request类的源码，我们可以用与上一步相似地步骤使用XposedHelpers.callMethod或反射调用url()、method()和body()方法获取http请求的url、请求方法和body。

4、构造json格式的数据发送给RPC服务器。

private String postJsonToRpc(String jsonBody, boolean waitResponse) throws Exception {    URL url = new URL(RPC_URL);    HttpURLConnection conn;    if (ENABLE_PROXY) {        Proxy proxy = new Proxy(            Proxy.Type.HTTP,            new InetSocketAddress(PROXY_HOST, PROXY_PORT)        );        conn = (HttpURLConnection) url.openConnection(proxy);    } else {        conn = (HttpURLConnection) url.openConnection();    }    try {        conn.setRequestMethod("POST");        conn.setConnectTimeout(10000);        conn.setReadTimeout(waitResponse ? 15000 : 300);        conn.setDoOutput(true);        conn.setRequestProperty("Content-Type", "application/json; charset=UTF-8");        byte[] data = jsonBody.getBytes("UTF-8");        OutputStream os = conn.getOutputStream();        os.write(data);        os.flush();        os.close();        if (!waitResponse) {            try {                conn.getResponseCode();            } catch (Throwable ignored) {            }            return "";        }        int code = conn.getResponseCode();        InputStream is = (code >= 200 && code < 300) ? conn.getInputStream() : conn.getErrorStream();        if (is == null) {            throw new java.io.IOException("rpc response stream is null, code=" + code);        }        ByteArrayOutputStream bos = new ByteArrayOutputStream();        byte[] buf = new byte[4096];        int len;        while ((len = is.read(buf)) != -1) {            bos.write(buf, 0, len);        }        is.close();        return bos.toString("UTF-8");    } finally {        conn.disconnect();    }}

这时候问题来了:

1)本节开始我就提到"一次向APP服务端发起的http请求会向RPC服务端发起两次数据处理请求，这两次请求分别处理原先向APP服务端的请求和响应",那么我在burp怎么区分这个是响应还是请求呢？所以我向RPC服务端发送了phase参数，这个参数用于给RPC服务端区分是请求还是响应。

2)Xposed客户端向RPC服务端发起的请求是异步的，在APP点击一个功能可能会有成百上千个请求和响应，http响应里是没有URL的，我怎么知道哪个请求是对应哪个响应呢？所以我向RPC服务端发送了traceId参数，这个参数用可以使发起的请求与其响应一一对应。如果不懂提出这两个问题有什么意义，可以直接拉到下面去看效果演示你就懂了。

5、从RPC服务端接收到的数据是json格式的数据，但是我们intercept方法的传入参数Interceptor.Chain类，要修改传入参数要将json格式的数据转化为request类再转化为Interceptor.Chain类。

private Object rebuildRequest(Object oldRequest, String newPlainBody, ClassLoader cl) {    try {        Object builder = XposedHelpers.callMethod(oldRequest, "newBuilder");        Object oldBody = XposedHelpers.callMethod(oldRequest, "body");        String method = String.valueOf(XposedHelpers.callMethod(oldRequest, "method"));        Object mediaType = null;        if (oldBody != null) {            mediaType = XposedHelpers.callMethod(oldBody, "contentType");        }        if (mediaType == null) {            Class<?> mediaTypeCls = XposedHelpers.findClass("okhttp3.MediaType", cl);            mediaType = XposedHelpers.callStaticMethod(                mediaTypeCls,                "parse",                "application/json; charset=UTF-8"            );        }        Class<?> requestBodyCls = XposedHelpers.findClass("okhttp3.RequestBody", cl);        byte[] bodyBytes = newPlainBody != null        ? newPlainBody.getBytes("UTF-8")        : new byte[0];        Object newBody = XposedHelpers.callStaticMethod(            requestBodyCls,            "create",            mediaType,            bodyBytes        );        XposedHelpers.callMethod(builder, "method", method, newBody);        return XposedHelpers.callMethod(builder, "build");    } catch (Throwable t) {        XposedBridge.log("[SM2Hook] rebuildRequest error: " + t);        return oldRequest;    }}private Object rebuildChain(Object oldChain, Object newRequest, ClassLoader cl) {    try {        Class<?> realChainCls = XposedHelpers.findClass(            "okhttp3.internal.http.RealInterceptorChain", cl);        Object interceptors = XposedHelpers.getObjectField(oldChain, "interceptors");        Object transmitter = XposedHelpers.getObjectField(oldChain, "transmitter");        Object exchange = XposedHelpers.getObjectField(oldChain, "exchange");        int index = XposedHelpers.getIntField(oldChain, "index");        Object call = XposedHelpers.getObjectField(oldChain, "call");        int connectTimeout = XposedHelpers.getIntField(oldChain, "connectTimeout");        int readTimeout = XposedHelpers.getIntField(oldChain, "readTimeout");        int writeTimeout = XposedHelpers.getIntField(oldChain, "writeTimeout");        return XposedHelpers.newInstance(            realChainCls,            interceptors,            transmitter,            exchange,            index,            newRequest,            call,            connectTimeout,            readTimeout,            writeTimeout        );    } catch (Throwable t) {        XposedBridge.log("[SM2Hook] rebuildChain error: " + t);        return oldChain;    }}