对于APP的逆向流程，之前在饿了么那边已经讲过了，就不再多讲。不记得的话，翻一下上次的笔记。^^

基本流程大致就是：

抓包->模拟报文->逆向加密参数->还原算法->成功

我用的版本是：某查查12.6.0

某查查的抓包结果：

这个是附近的企业的报文，目前看来，需要我们逆向得出的参数分别有：Authorization（这个应该是登陆帐户相关的）、sign这么俩。

再次重新对整个流程抓包分析可知。

1. APP打开时未登录时，设备信息上传后会注册得到一个Authorization，这个是未登录态的授权码。（/app/v1/admin/getAccessToken）
2. 触发登陆操作，如短信登陆
3. 登录完成后，会得到第二个Authorization，这个是登录态的授权码。（/app/v1/admin/login）

注意：这里的Authorization与你上传的设备信息（即deviceid，后面会说）息息相关，如果不匹配是不被认可的。

对整个流程总结一下：

1. app初次打开，手机生成deviceId
2. deviceId上传换取未登录态的Authorization
3. 触发登陆操作，如短信登录
4. 登陆成功服务器返回登录态的Authorization
5. 正常请求数据携带登录态的Authorization

至此，思路理清楚了，我们需要逆向的也就剩下：deviceId和每个包都有的sign。这下总结的明明白白，开始逆向。

终于找到了。

得到com.ta.utdid2.device.c类的h函数即为生成函数，通过阅读逻辑，找到下述才是真正的逻辑。

至此，我们得到了deviceid的生成算法，下来我们通过还原一下。
直接上代码。

def gen_device_id(self):

        timestamp = self.get_bytes(int(time.time()))

        random_num = self.get_bytes(random.randint(0, 0x7FFFFFFF))

        imei = self.get_bytes(self.str_to_int(self.gen_imei()))

        bytes_src = timestamp + random_num + b'\x03\x00' + imei

        sign = self.get_bytes(self.str_to_int(tool.base64_encode(tool.hmac_sha1(bytes_src, 'd6fc3a4a06adbde89223bvefedc24fecde188aaa9161'))))

        bytes_src += sign

        return tool.base64_encode(bytes_src)def gen_device_id(self):

至此生成deviceid完成。

@FormUrlEncoded

@POST("v1/admin/getAccessToken")

g<ApiResponse<TokenVO>> a(@Field("appId") String str, @Field("deviceId") String str2, @Field("version") String str3, @Field("deviceType") String str4, @Field("os") String str5, @Field("timestamp") long j, @Field("sign") String str6);

如上，sign是时间戳后面的参数。

可看出，sign由时间戳和aXY组合后进去axq.n函数计算得出，这个aXY找到如下：

既然是固定字符串的解密结果，那他肯定也是固定的，我们就没必要每次生成了，通过hook的方式，将这个值拿到直接用就好了。

可能各个版本会不同的。

接下来继续看axq.n函数。
函数太长，截图放不下了。

经过研究你会发现，这里无论是md5算法或者是阿里聚安全的算法都是在so里面了，这就有两个思路，一个办法是逆向so找到生成算法，一个是hook这个n函数，强制调用即可。
下面给个frida hook的代码，仅供参考，或者用xposed来hook都是可以的。

至此，所有的参数都有了。不论是登陆包、密钥置换包、数据抓取的包，都能完全仿真了。

1. Authorization只有两个小时有效，超时之后记得要用原来的refreshtoken重新置换accesstoken
2. 文章仅做技术研究，请勿用于非法途径。

以上。