[原创]Burp Suite Pro 破解

[原创]Burp Suite Pro 破解
2022-6-13 08:22:0 Author: bbs.pediy.com(查看原文) 阅读量:22 收藏

前言

感谢scz、surferxyz、h3110w0r1d-y等各位老师傅在前面开路，这篇文章只是跟着前面的老师傅脚步走，用了自己的方式（ClassFileTransformer）开刀。

基于burpsuite_pro_v2022.3.9.jar

使用工具

cfr - 反编译工具
jadx - 反编译gui工具,可以查找引用
btrace - 运行状态跟踪工具
arthas - 用起来比btrace更方便的跟踪工具
IDEA

正文

这里直接用h3110w0r1d-y老师傅的jar开看

文件名称: E:\xxx\burp_latest\BurpLoaderKeygen.jar

文件大小: 18.1 KB (18,580 字节)

修改时间: 2021年07月23日，10:20:48

MD5: B7E345B5594331516F49A709C04A3E41

SHA1: B9F4E9CA60E7493E459E21019441D115D2F43D98

SHA256: 63BE39F1AEEBEA9B86477ACEBBEFEE469A7562216BA8B253A4BB87B0A7A68566

CRC32: BCF7BD4F

计算时间: 0.00s

启动方式：java -javaagent:BurpLoaderKeygen.jar -noverify -jar burpsuite_pro_v2022.3.9.jar

启动解析

-noverify 这个是跳过jvm对class文件的验证，后面详细说为什么要跳过
-javaagent 这个是class加载之前对class进行修改

原理分析

关于javaagent的详细介绍,可以看知道创宇的paper 认识 JavaAgent

破解原理

上jadx,先看看老师傅们都搞了啥.

这里很明显,找到Class里面包含751a8be34c1a9ed9633d04be3ba075a7的Class文件进行修改,变量p以及p2是负责定位要修改的位置,找到位置后进行patch.

先照搬进IDEA看看到底干了啥

这里可以看到,修改的地方其实很相近,那就dump整个class下来看看情况.

dump的办法

然后调用下

得到两个class文件

还记得之前的启动参数么,-noverify,由于这里简单粗暴的修改了原class的byte,导致jvm的字节码校验失败,根据这个道理,很容易就能找到师傅们干了什么,直接上图把.

用cfr反编译后,直接找empty

两个if被改成empty了,但是到这里我们还是不知道老师傅这么干的道理,继续往下走把.

查找调用链

根据之前cfr反编译出来的源码,能看到两个超级混淆的办法,void a以及bool b,知道类名跟方法名了,直接写个btrace,把调用链弄出来.

import org.openjdk.btrace.core.annotations.*;

import org.openjdk.btrace.core.BTraceUtils;

@BTrace(unsafe = true)

public class nls {

@OnMethod(clazz="burp.nls", method="a")

public static void void_a(Object[] var1, Object var2) {

BTraceUtils.println("calleded void a");

BTraceUtils.println("1st arg");

BTraceUtils.println("arg length: " + var1.length);

BTraceUtils.printArray(var1);

byte[] my_var1 = (byte [])var1[0];

BTraceUtils.println(new String(my_var1));

BTraceUtils.println("2nd arg");

String var2_str = String.valueOf(var2);

BTraceUtils.println(var2_str);

BTraceUtils.println("-----------");

}

@OnMethod(clazz="burp.nls", method="b")

public static void bool_b(Object[] var1, Object var2) {

BTraceUtils.println("called boolean b");

BTraceUtils.println("1st arg");

BTraceUtils.println("arg length: " + var1.length);

BTraceUtils.printArray(var1);

BTraceUtils.println("2nd arg");

String var2_str = String.valueOf(oos);

BTraceUtils.print(var2_str);

BTraceUtils.jstack();

BTraceUtils.println("-----------");

}

过滤后,得到以下输出

burp.nls.b(Unknown Source)

java.base/jdk.internal.reflect.NativeMethodAccessorImpl.invoke0(Native Method)