一、目标

一、目标

李老板: 奋飞呀,你hook这个App之后拿到token,然后上报给我的服务器好不好?

奋飞: 木问题。

二、步骤

gumjs-http

在frida里面做http请求,最根正苗红的必须是 gumjs-http ,大胡子出品,有保障

https://github.com/frida/gumjs-http

可惜的是我没有搞明白,李老板催的紧,木有时间去慢慢研究了。

先搞个Server测试

子曾经曰过: 人生苦短,快用Python。

不过最近发现go更适合我们这些C/C++老江湖。先撸个测试的Http Server出来

package main

import "github.com/gin-gonic/gin"

func main() {
        // https://geektutu.com/post/quick-go-gin.html
        r := gin.Default()
        r.GET("/", func(c *gin.Context) {
                c.String(200, "Hello World")
        })
        r.Run() // listen and serve on 0.0.0.0:8080
}

老朋友AndroidAsync

http://91fans.com.cn/post/fridarpctwo/

之前我们在Frida RPC的时候介绍过用 AndroidAsync 来做httpServer。既然能做Server,那么大概率也能做HttpClient吧?

https://github.com/koush/AndroidAsync

// url is the URL to download.
AsyncHttpClient.getDefaultInstance().getString(url, new AsyncHttpClient.StringCallback() {
    // Callback is invoked with any exceptions/errors, and the result, if available.
    @Override
    public void onCompleted(Exception e, AsyncHttpResponse response, String result) {
        if (e != null) {
            e.printStackTrace();
            return;
        }
        System.out.println("I got a string: " + result);
    }
});

查了一下它的文档,果然有戏。

那就这么玩

var url = "http://192.168.2.103:8080/?tk=123456";

Java.openClassFile("/data/local/tmp/androidAsync.dex").load();

var AsyncHttpClient = Java.use("com.koushikdutta.async.http.AsyncHttpClient");

var androidClent = AsyncHttpClient.getDefaultInstance().execute(url,null);

是的,我嫌 AsyncHttpClient.StringCallback 初始化太麻烦,反正李老板只要我上报,没说要检查结果。

[GIN] 2022/05/25 - 10:33:12 | 200 |      35.119µs |   192.168.2.105 | GET      /?tk=123456

没问题,上报成功,可以收工干鲜啤去了。

jar to dex 打开新世界的大门

事情还没结束,老板这种生物果然不能用常理推测。李老板居然要我判断下返回值和提交失败的情况。

有了 AndroidAsync 的经验,对于咱们这种二把刀java程序员来说,有个更帅的解决方案,我拿java写好一个http函数,然后直接编译成dex来给frida调用不就行了。

说干就干,打开idea,写个http请求的函数。

package com.fenfei.http;

public class Main {
    public static String doGet(String httpurl) {...}
    public static String doPost(String httpUrl, String param) {...}

    public static void main(String[] args) {
            System.out.println(doGet("http://192.168.2.103:8080/?tk=8976"));
    }
}

然后编译成jar包

jar
1:jar

我们得到了 fridaHttp.jar

然后需要一个dx命令来把 jar转成 dex

dx命令一般生活在你装的Android SDK的 build-tools 目录下面

比如我的在

/Users/fenfei/Library/Android/sdk/build-tools/23.0.2

然后执行,(我把fridaHttp.jar文件直接拷到dx同一目录了)

./dx --dex --output=fridaHttp.dex fridaHttp.jar

果不其然,报错了,

java.lang.RuntimeException: Exception parsing classes

这个不要慌,谷哥会告诉我们原因,我本机编译jar包用的jdk版本是1.8。 而Android貌似最高只支持jdk 1.7。

所以需要把编译的jdk版本改成1.7

jdk
1:jdk

重新编译一下,再跑一下dx命令,完美生成 fridaHttp.dex

adb push扔到手机里面,开始重写js

var url = "http://192.168.2.103:8080/?tk=123456";

Java.openClassFile("/data/local/tmp/fridaHttp.dex").load();

var MainHttpCls = Java.use("com.fenfei.http.Main");

var rc = MainHttpCls.doGet(url);
console.log(rc);

跑一下,没天理呀,还报错

Error: android.os.NetworkOnMainThreadException

唉,作为一个二把刀java程序员太难了。

继续问谷哥吧,哥说了,java不让在主线程里面做http请求,你为啥不早说。

class sendHttpCls implements Runnable{
        public void run(){
                doGet(url);
        }
}

public class RunnableDemo{
        public static void main(String[] args){
                sendHttpCls my = new sendHttpCls();
                new Thread(my).start();
        }
}

解决办法炒鸡Easy,起个线程包起来就行了。不过我dex好不容易编译好了,舍不得改了。

试试在Frida里面起多线程吧。

var Thread = Java.use("java.lang.Thread");
var Runnable = Java.use("java.lang.Runnable");
var sendHttpCls = Java.registerClass({ //注册一个类
    name: "com.example.fenfei",   //包名
    implements: [Runnable], //实现Runnable
    methods: {
        run: function () {
            var rc = MainHttpCls.doGet(url);
            console.log(rc);
        }
    }
});

var uHttp = sendHttpCls.$new();
Thread.$new(uHttp).start();

再跑一下,完美搞定,排队买鲜啤去了~

三、总结

实现很重要,实现的原理更重要,了解原理了,就可以举一反三。

搞Android逆向,可以不懂java,但是要有借助谷哥搞明白的能力。有问题先问谷哥,再问飞哥。

ffshow
1:ffshow

从理论上说,理论与实践没有不同,但是到了实践中,二者却有天壤之别

100

关注微信公众号,最新技术干货实时推送

100