木鱼_1.2.18.apk 逆向思路

Lyrio 收录于类别逆向百例

2024-05-30 2024-05-30 约 2019 字预计阅读 5 分钟

木鱼_1.2.18.apk 逆向思路

一、分析

所用工具：

静态分析：jadx（将apk反编译成java代码，MT管理器的smali转java功能正是用jadx）
动态分析：frida（hook框架）

1.1 分析绕过登录

随便点击一个皮肤，皮肤图标右上角有个“LOCK”，意思是被锁住了（因为我们不是会员）：

点击之后会跳转到登陆界面：

在Android开发中，页面切换和跳转通常会使用Intent，但并不是所有的页面切换和跳转都必须使用Intent

以下是一个Activity之间的跳转示例（并不唯一）：

1
2


Intent intent = new Intent(CurrentActivity.this, TargetActivity.class);
startActivity(intent);

可以尝试hook Intent或者startActivity（我这里hook Intent方法，因为hook startActivity方法没效果不知道什么情况，我太菜了），在Intent方法被调用时打印当前堆栈信息来定位上层方法

编写hook Intent所有重载代码，这里用的是js代码来编写：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


Java.perform(function () {
    //打印堆栈信息的方法
    function showStacks() {
        console.log(
            Java.use("android.util.Log")
                .getStackTraceString(
                    Java.use("java.lang.Throwable").$new()
                )
        );
    }

    var Intent = Java.use("android.content.Intent");

    Intent.$init.overload('android.content.Context', 'java.lang.Class').implementation = function(context, cls) {
        console.log("Intent(context, cls) called with context: " + context + " and class: " + cls);
        showStacks();
        return this.$init(context, cls);
    };

    Intent.$init.overload('java.lang.String').implementation = function(action) {
        console.log("Intent(action) called with action: " + action);
        showStacks();
        return this.$init(action);
    };

    Intent.$init.overload('java.lang.String', 'android.net.Uri').implementation = function(action, uri) {
        console.log("Intent(action, uri) called with action: " + action + " and uri: " + uri);
        showStacks();
        return this.$init(action, uri);
    };
    console.log("Hook 成功！");
});

运行后点击一个皮肤：

http://cdn.wutongliran.top/img/image-20240530194613603.png

打印出堆栈，由下而上调用链

搜索com.ahzy.fish.vm.SharedViewModel.goToPayOrLogIn方法

http://cdn.wutongliran.top/img/image-20240530195904027.png

MuYuSpUtil.INSTANCE.isLogin()判断是否登录，已登录返回true、未登录返回false

hook 该方法，将返回值改成固定为true可绕过登录：

1
2
3
4
5


let MuYuSpUtil = Java.use("com.ahzy.fish.utils.MuYuSpUtil");
    MuYuSpUtil["isLogin"].implementation = function () {
        console.log(`MuYuSpUtil.isLogin is called`);
        return true;
    };

1.2 绕过皮肤限制

运行后点击一个皮肤：

http://cdn.wutongliran.top/img/image-20240530201847285.png

这次没有跳转到登录界面，而是跳转到购买会员界面，来看下堆栈信息：

goToPayOrLogIn方法顾名思义，应该是“去购买界面或登录界面”，多半是因为判断后发现我们不是会员，该功能被锁住而调用这个方法

搜索类名：com.ahzy.fish.act.SettingAct$bindSkin$1$2，找到invoke方法：

http://cdn.wutongliran.top/img/image-20240530203116571.png

muYuBgBean.isLock()判断该皮肤是否被锁住，锁住返回true，没锁住返回false

hook 该方法，将返回值改成固定为false可绕过皮肤限制：

1
2
3
4
5


let MuYuBgBean = Java.use("com.ahzy.fish.bean.MuYuBgBean");
    MuYuBgBean["isLock"].implementation = function () {
        console.log(`MuYuBgBean.isLock is called`);
        return false;
    };

运行后重新点进这个设置界面，皮肤的“LOCK”已经不见了：

1.3 绕过音色限制

在这个界面定位到上一个invoke方法：

http://cdn.wutongliran.top/img/image-20240530205609049.png

muYuBean.isLock()判断该音色是否被锁住，锁住返回true，没锁住返回false

hook 该方法，将返回值改成固定为false可绕过音色限制：

1
2
3
4
5


let MuYuBean = Java.use("com.ahzy.fish.bean.MuYuBean");
MuYuBean["isLock"].implementation = function () {
    console.log(`MuYuBean.isLock is called`);
    return false;
};

运行后重进设置界面：

音色已解锁

1.4 绕过其他的功能限制

刚刚看到两个功能限制都是通过不同类下的isLock()方法来判断，所以大胆猜测其他的功能限制也是用对应类下的isLock()方法来判断（当然不放心可以像前面那样一步步定位到其他功能限制的方法，我已经验证过其他的功能限制方法也是lsLock）

直接搜索方法：isLock()

http://cdn.wutongliran.top/img/image-20240530210307279.png

前两已经hook绕过了，把剩下的也全部hook上，将返回值设置为false：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


let BeadThemeBean = Java.use("com.ahzy.fish.dto.BeadThemeBean");
BeadThemeBean["isLock"].implementation = function () {
    console.log(`BeadThemeBean.isLock is called`);
    return false;
};

let DocxDTO = Java.use("com.ahzy.fish.dto.DocxDTO");
DocxDTO["isLock"].implementation = function () {
    console.log(`DocxDTO.isLock is called`);
    return false;
};

let MusicDTO = Java.use("com.ahzy.fish.dto.MusicDTO");
MusicDTO["isLock"].implementation = function () {
    console.log(`MusicDTO.isLock is called`);
    return false;
};