以下均由http://api.baidu.com代替真实的api域名,com.baidu代替真实包名
1.通过抓包抓取请求接口
使用抓包工具抓取请求接口和参数，我使用了手机端的抓包精灵工具进行了抓取
GET /content/query?releaseDate=1627315200000 HTTP/1.1
pcode: 1070
ptype: 1
signKey: 0685603c801fa2ca806e3eb3a558b78f63c7e15b
signTime: 1628131832899
nonce: 710016599
signVersion: 1
Host: api.baidu.com
Connection: Keep-Alive
Accept-Encoding: gzip
Accept-Language: zh-CN
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/76.0.3809.100 Safari/537.36
可以看到，该接口进行了数据加密，不能简单地进行抓取，我尝试去掉请求头参数,再次请求的到的是
{
"err_code": "12004",
"err_msg": "请求验证失败"
}
每次使用相同请求头，出现两种错误
{
"err_code": "12004",
"err_msg": "请求验证失败"
}
{
"err_code": "12003",
"err_msg": "手机时间与服务器时间不一致，请调整手机时间设置"
}
证明这个参数验签无法绕过了，于是要想办法得到加密的算法
2使用Jadx-Gui反编译apk查看关键词
使用Jadx-Gui反编译并搜索关键词"signKey",可以看到是在OKHttp的拦截器里面进行了参数加密，如图:
搜索关键词"signKey"
通过跟踪方法调用，发现最终是通过一个SecurityGuardManager的类进行了加密，如图:
最终的加密方法
网上搜索这个类基本找不到什么有用信息,最后是通过其包名com.alibaba.wireless搜索到这是阿里的一个安全项目，里面提到可以通过服务端解密，但是已经在2018年下线了,那个jar包已经下载不到了，而且这个sdk是在阿里那边动态生成的，应该包含了一些密钥等信息，于是就放弃了从服务端破解的方向。
3在app端进行破解
首先我把整个应用的安装包放在了我的项目里面，然后获取其DexClassLoader,如图：
获取DexClassloader.jpg
接着尝试调用签名方法,通过查看源码得知要调用的方法为com.baidu.l.m类下的a方法(以下称sign方法),代码被混淆了。毫无意外地报错了，查看报错信息:
然后回到Jadx-Gui查看方法调用链，这是个体力活，就不多说了，
最终确定了调用sign方法前,有两个方法要先执行,分别是Log工具的初始化和SecurityGuardManager的初始化，然而事情并没有那么简单，在初始化SecurityGuardManager时报错了
ErrorCode = 110
com.alibaba.wireless.security.open.SecException: plugin main not existed
...........
...........
ErrorCode = 110
com.alibaba.wireless.security.jaq.JAQException
回到jadk搜索关键词,跟踪代码得知,是找不到libsgmain.so动态库文件,按道理来说我已经加载了外部的DexClassLoader,调用方法也是通过外部的DexClassLoader反射调用，应该不会再从我的app里加载动态库的，这里我没有深究，简单地把这个so文件放到我的jniLibs里面,继续运行，又出现了别的错误
The ClassLoaderContext is a special shared library.
ErrorCode = 123
ErrorCode = 103
com.alibaba.wireless.security.open.SecException: java.lang.UnsatisfiedLinkError: Shared library "xxx" already opened by ClassLoader 0x4f7; can't open in ClassLoader 0xfff8a3f4
就是说我们这个动态库已经被别的类加载器加载了,这里我也不明白是为什么，我猜想可以从Application入手,因为Application是贯穿整个应用的一个上下文，所以能不能构造一个外部的Application进行初始化，这里可以参考我以前的一篇加壳的文章，不知道为什么被简书设成违规了《App加壳之旅》,稍微改造一下
public class BaiDuCracker {
public static final String PACKAGE_NAME = "com.baidu";
private static boolean inited = false;
private static Apk apk;
public static void init(Context context) {
if (inited) {
return;
}
apk = Apk.getApk(context);
boolean loadApk = apk.loadApk("apk/baidu.apk");
if (!loadApk) {
L.Companion.e("apk加载失败");
return;
}
try {
injectApplication();
initLogger();
initSecurityComponent();
inited = true;
} catch (Exception e) {
e.printStackTrace();
inited = false;
}
}
private static void injectApplication() {
//备份当前的Application
ApplicationHolder.set(App.Companion.getInstants().getPackageName(), "", App.Companion.getInstants());
//如果源应用配置有Appliction对象，则替换为源应用Applicaiton，以便不影响源程序逻辑。
String appClassName = "com.baidu.global.MApplication";
apk.loadClass(appClassName);
/*
* ---------------------------生成Application------------------------------------
* */
//获取当前ActivityThread
Object currentActivityThread = RefInvoke.invokeStaticMethod(
"android.app.ActivityThread", "currentActivityThread",
new Class[]{}, new Object[]{});
//获取当前ActivityThread中的mBoundApplication变量
//mBoundApplication的作用是用来makeApplication，详见
//http://blog.csdn.net/jltxgcy/article/details/50540309
Object mBoundApplication = RefInvoke.getFieldOjbect(
"android.app.ActivityThread", currentActivityThread,
"mBoundApplication");
//这里的AppBindData 其实就是mBoundApplication
//拿到里面的成员变量LoadedApk info
Object loadedApkInfo = RefInvoke.getFieldOjbect(
"android.app.ActivityThread$AppBindData",
mBoundApplication, "info");
//！！！把info的mApplication 设置成了null.否则makeApplication不会执行，会直接返回这个Application
RefInvoke.setFieldOjbect("android.app.LoadedApk", "mApplication",
loadedApkInfo, null);
//Activity 里的currentApplication() 拿的就是这个mInitialApplication
Object oldApplication = RefInvoke.getFieldOjbect(
"android.app.ActivityThread", currentActivityThread,
"mInitialApplication");
ArrayList<Application> mAllApplications = (ArrayList<Application>) RefInvoke
.getFieldOjbect("android.app.ActivityThread",
currentActivityThread, "mAllApplications");
mAllApplications.remove(oldApplication);//删除oldApplication
ApplicationInfo appinfo_In_LoadedApk = (ApplicationInfo) RefInvoke
.getFieldOjbect("android.app.LoadedApk", loadedApkInfo,
"mApplicationInfo");
ApplicationInfo appinfo_In_AppBindData = (ApplicationInfo) RefInvoke
.getFieldOjbect("android.app.ActivityThread$AppBindData",
mBoundApplication, "appInfo");
appinfo_In_LoadedApk.className = appClassName;
appinfo_In_AppBindData.className = appClassName;
/**
* 声明应用安装包目录
*/
try {
Field mAppDir = loadedApkInfo.getClass().getDeclaredField("mAppDir");
mAppDir.setAccessible(true);
mAppDir.set(loadedApkInfo, App.Companion.getInstants().getCacheDir() + File.separator + "app.apk");
} catch (NoSuchFieldException e) {
e.printStackTrace();
} catch (IllegalAccessException e) {
e.printStackTrace();
}
/**
*这里Instrumentation 参数传空
* 所以instrumentation.callApplicationOnCreate不会执行
* 所以要我们自己手动onCreate
*/
//将mClassLoader换成包装Loader,以便能找到破解程序的类
Object mClassLoader = RefInvoke.getFieldOjbect("android.app.LoadedApk", loadedApkInfo, "mClassLoader");
if (!(mClassLoader instanceof BaiDuClassLoader)) {
ClassLoader baiDuClassLoader = ClassLoaderHolder.getDexClassLoader(APK_PATH);
RefInvoke.setFieldOjbect("android.app.LoadedApk", "mClassLoader", loadedApkInfo, baiDuClassLoader);
}
Application reallyApplication = ApplicationHolder.getByTag(PACKAGE_NAME, "");
if (reallyApplication == null) {
reallyApplication = (Application) RefInvoke.invokeMethod(
"android.app.LoadedApk", "makeApplication", loadedApkInfo,
new Class[]{boolean.class, Instrumentation.class},
new Object[]{false, null});
ApplicationHolder.set(PACKAGE_NAME, "", reallyApplication);
}
//将外部Application绑定到当前线程
ApplicationHolder.bindApplcationToCurrent(reallyApplication);
}
private static void initLogger() {
boolean loadClass = apk.loadClass("com.baidu.lib.log.ILogger");
if (loadClass) {
boolean loadMethod = apk.loadMethod("init", Context.class);
if (loadMethod) {
apk.invoke(null, true, ApplicationHolder.getByTag(PACKAGE_NAME, ""));
}
}
}
private static void initSecurityComponent() {
boolean loadClass = apk.loadClass("com.baidu.lib.o.g");
if (loadClass) {
boolean loadSingletoneMethod = apk.loadMethod("a");
Object securityComponent = null;
if (loadSingletoneMethod) {
securityComponent = apk.invoke(null, true);
}
boolean loadInitMethod = apk.loadMethod("a", Context.class);
if (loadInitMethod) {
Object invoke = apk.invoke(securityComponent, false, ApplicationHolder.getByTag(PACKAGE_NAME, ""));
}
}
}
public static String sign(String path, String paramSort, long time, int nonce) {
if (!inited) {
return null;
}
boolean loadClass = apk.loadClass("com.baidu.l.m");
if (loadClass) {
boolean loadMethod = apk.loadMethod("a", String.class, String.class, long.class, int.class);
if (loadMethod) {
Object invoke = apk.invoke(null, false, path, paramSort, time, nonce);
if (invoke != null) {
return invoke.toString();
}
}
}
return null;
}
}
由于篇幅限制和我自己app的一些私密内容，一些工具类的代码就不贴了，有需要的可以站内私信我
成功调起接口:
请求.jpg
