Android逆向之旅---破解某应用加密算法(动态调试so和frida hook so代码)

一、样本静态分析

最近有位同学发了一个样本给我，主要是有一个解密方法，把字符串加密了，加解密方法都放在so中，所以之前也没怎么去给大家介绍arm指令和解密算法等知识，正好借助这个样本给大家介绍一些so加密方法的破解，首先我们直接在Java层看到加密信息，这个是这位同学直接告诉我这个类，我没怎么去搜了：

​

这个应用不知道干嘛的，但是他的防护做的还挺厉害的，之前我们介绍过小黄车应用内部也用了这种中文混淆变量和方法等操作，这里就不多解释了，这里主要看那个加密算法：

看到这里有一个加解密方法，传入字符串字节，返回加解密之后的字节数据，我们直接用IDA打开这个libwechat.so文件：

这里可惜没有收到Java_xxx这样的函数，说明他可能用了动态注册，所以就去搜JNI_OnLoad函数，所以这里注意大家以后如果打开so之后发现没有Java_xxx这样的函数开头一般都是在JNI_OnLoad中采用了动态注册方式，所以只需要找到JNI_OnLoad函数，然后找到RegisterNatives函数即可，不过在这个过程中我们需要转换JNIEnv指针信息：

这里大家如果看到类似于vXX+YY这样的，选中vXX变量，然后按Y按键，然后替换成JNIEnv*即可，我们如果手动注册过Native方法，都知道RegisterNatives函数的三个参数含义：

jint RegisterNatives(jclass clazz, const JNINativeMethod* methods, jint nMethods)

第一个参数：需要注册native函数的上层Java类

第二个参数：注册的方法结构体信息

第三个参数：需要注册的方法个数

这里当然是重点看第二个参数，这里当然也需要知道方法结构体信息：

typedef struct {
const char* name;
const char* signature;
void*       fnPtr;
} JNINativeMethod;

结构体包含三部分分别是：方法名、方法的签名、对应的native函数地址；那么这里我们肯定重点看第三部分，因为要找到具体的解密函数，这时候我们需要去对RegisterNatives函数查看他的实参值：

这里选中RegisterNatives函数名，然后右键选择Force call type即可：

这时候就看到了RegisterNatives的三个参数值，其实这里看到是四个，这个主要是调用方式的区别，因为我们还会看到有这种调用方式：(*JNIEnv)->RegisterNatives(JNIEnv env...)，所以第一个参数其实是JNIEnv变量，这里就看第三个参数的地址就是需要注册方法的结构体信息，点击进入查看：

这里看到了方法名，方法签名以及对应的具体函数，这里主要看解密函数，找到decryptData即可，然后点击进入查看：

按下F5查看C语言代码：

继续点击进入查看：

这里就是实际的解密算法的地方了，大致看一下其实还是很简单的，就是有一个AES_CBC_128算法加解密的，我们用过这个算法都知道需要key和iv值，因为是128位的，所以这两个值肯定是16(128/8)个字节，这个是基础知识也是非常关键的知识，知道是16个字节对于后