搜狗微信APP分析（一）java层

在该app可以搜索关键词，选择微信后面的赛选进行排序：

发现如下加密参数：


未发现加固加壳方式：

我们直接搜索定位： package com.sogou.utils;

我们先hook下这个a方法看下传入的参数及结果：


先看这个用到了前三个参数：
那我们hook下这个 ScEncryptWall.encrypt(str5, str6, str7);

# -*- coding: utf-8 -*-# @Author  : Codeoooimport sysimport fridaencrypt = """Java.perform(function(){    var lk = Java.use("com.sogou.scoretools.ScEncryptWall");    lk.encrypt.implementation = function(a,b,c){        console.log('参数str1 ' + a)          console.log('参数str2 ' + b)          console.log('参数str3 ' + c)          console.log('==== ' + this.encrypt(a,b,c))          return this.encrypt(a,b,c)    }});"""process = frida.get_remote_device().attach('com.sogou.activity.class="lazy" data-src')script = process.create_script(encrypt)script.load()sys.stdin.read()

这个方法就是加密的参数了。
可以看到传入参数：

参数str1： http://app.weixin.sogou.com/api/searchapp参数str2 ：type=2&ie=utf8&page=1&query=55&select_count=1&tsn=1&usip=参数str3 ：空

结果就是那几个字段，k, v ，p, ,r , g

查看是个so的方法，我们继续放下看下请求响应。

hook下decrypt方法：

# -*- coding: utf-8 -*-# @Author  : Codeoooimport sysimport fridaencrypt = """Java.perform(function(){    var lk = Java.use("com.sogou.scoretools.ScEncryptWall");    lk.encrypt.implementation = function(a,b,c){        console.log('参数str1 ' + a)          console.log('参数str2 ' + b)          console.log('参数str3 ' + c)          console.log('==== ' + this.encrypt(a,b,c))          return this.encrypt(a,b,c)    }});"""decrypt = """Java.perform(function(){    var lk = Java.use("com.sogou.scoretools.ScEncryptWall");    lk.decrypt.implementation = function(a){        console.log('参数str1 ' + a)          console.log('==== ' + JSON.stringify(this.decrypt(a)))           return this.decrypt(a)    }});"""process = frida.get_remote_device().attach('com.sogou.activity.class="lazy" data-src')script = process.create_script(decrypt)script.load()sys.stdin.read()

传进来的参数为刚刚加密的数据，解密出来是byte数组，需要将byte转化为字符串就是源码。

OK ，完美运行，可以采集rpc-主动调用+flask进行调用

so:   System.loadLibrary("SCoreTools");

后续 我们讲下 so层的分析【搜狗微信APP逆向（二）so层】

来源地址：https://blog.csdn.net/qq_41369057/article/details/131284473