记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

Android渗透测试frida——Brida插件加解密实战演示

2020-04-16 10:27

Android APP测试时,经常发生会遇见数据包加密传输,这样就会影响测试。不过,Brida可以编写加密解密脚本,对加密的数据包进行解密,在加密。工具或者插件都是为了测试方便。

环境

Android 8.1.0  pixel
Burpsuite 1.7
windows 10
eseBrida.apk (下面给下载地址)
phpstudy

什么是Brida

安装frida
需要安装frida,参考文章https://www.jianshu.com/p/c349471bdef7
安装Brida

安装完成,python2.7安装
pip install Pyro4

1、Brida.jar为Burpsuite插件
2、bridaServicePyro是用于Frida适配到burpsuite上的python脚本,这一部分存储在插件中,在执行brida过程中复制到缓存文件夹中。
3、script.js是要注入到目标应用程序的javascript脚本,它会通过Frida带有的rpc.exports功能将信息返回到拓展程序中。
4、该script.js脚本会被Frida注入到我们在 Brida中指定的进程中所以我们可以直接使用 Frida的 api。
5、目前只支持python2.7

实战

apk运行环境
本文提供一个自己写的eseBrida.apk,拿到apk,因为我这里是测试版本,安装需要加-t参数,
adb install -t esebrida.apk,安装运行如下:

有个设置按钮,可设置服务器地址。这里利用phpstudy在www目录下运行AndroidLogin.php

然后在浏览器访问服务器地址如http://192.168.3.254/AndroidLogin.php
看是否可以访问成功,如下:

将此地址填入安卓apk设置中,burpsuite设置代理:

手机wifi设置代理,如下:

在apk中输入用户名密码,

查看抓取的数据包:

重点
这里的数据是密文传输,不利于爆破,这里想对算法进行解密,然后在实现加密传输大奥服务器端。

分析apk
利用jeb 反编译apk,发现加解密算法AesEncryptionBase64类

上层定位,发现加密算法的秘钥硬编码,如下

自此,apk的流程已经分析清楚了。接着可以有两种思路

方法1、将java代码复制出来,在eclipse实现以下加解密流程,就可以对传输的数据进行解密加密了。
方法2、利用Brida调用apk自身加密解密函数,一键实现加密解密操作。

自然,方法2相对1要简单,而且操作方便。所有便有这篇文章

编写Brida js脚本
1、运行frida
首先下载startFridaService.py,运行python startFridaService.py

2、先给一个Brida简单的test.js框架

'use strict';

// 1 - FRIDA EXPORTS
rpc.exports = {
exportedFunction: function() {
},

contextcustom1: function(message) {
console.log("Brida start :--->");
return "Brida test1";
},

getplatform: function () {
if (Java.available) {
return 0;
} else if (ObjC.available) {
return 1;
} else {
return 2;
}
}
}

3、运行Brida,如下

4、测试方法contextcustom1

成功执行脚本

5、编写Brida调用encrypt加密函数

'use strict';

// 1 - FRIDA EXPORTS
rpc.exports = {
exportedFunction: function() {
},

contextcustom1: function(message) {
console.log("Brida start :--->");
return "Brida test1";
},

contextcustom2: function(message) {
console.log("Brida Java Starting script ---->ok");
var enc;
Java.perform(function () {
try {
var key = "9876543210123456";
var text = "admin";
//hook class
var AesEncryptionBase64 = Java.use('com.ese.http.encrypt.AesEncryptionBase64');
console.log("Brida start : encrypt before--->"+text);
//hook method
enc = AesEncryptionBase64.encrypt(key,text);
console.log("Brida start : encrypt after--->"+enc);

} catch (error) {
console.log("[!]Exception:" + error.message);
}
});
return enc;
},

getplatform: function () {
if (Java.available) {
return 0;
} else if (ObjC.available) {
return 1;
} else {
return 2;
}
}
}

6、执行方法contextcustom2

通过签名抓取的数据包, 发现加密数据一致,证实调用apk加密算法。

7、Burpsuite右键菜单

发现4个方法与请求数据包与返回数据包相互一一对应
1、Brida Custom 1----->contextcustom1
2、Brida Custom 2----->contextcustom2
3、Brida Custom 3----->contextcustom3
4、Brida Custom 4----->contextcustom4

8、编写对应插件eseScript.js脚本
加载其他脚本,需要重启burpsuite,

'use strict';

// 1 - FRIDA EXPORTS
rpc.exports = {
exportedFunction: function() {
},

//AesEncryptionBase64 encrypt
contextcustom1: function (message) {
console.log("Brida start :0--->" + message);
var data = hexToString(message)
console.log("Brida start :1--->" + data);
var enc;
Java.perform(function () {
try {
var key = "9876543210123456";
var text = data;
//hook class
var AesEncryptionBase64 = Java.use('com.ese.http.encrypt.AesEncryptionBase64');
console.log("Brida start : AesEncryptionBase64 ---> success");
console.log("Brida start : encrypt before--->"+text);
//hook method
enc = AesEncryptionBase64.encrypt(key,text);
console.log("Brida start : encrypt after--->"+enc);

} catch (error) {
console.log("[!]Exception:" + error.message);
}
});
return stringToHex(enc);
},

//AesEncryptionBase64 decrypt
contextcustom2: function (message) {
console.log("Brida start :0--->" + message);
var data = hexToString(message)
console.log("Brida start :1--->" + data);
var text;
Java.perform(function () {
try {
var key = "9876543210123456";
var enc = data;
//hook class
var AesEncryptionBase64 = Java.use('com.ese.http.encrypt.AesEncryptionBase64');
console.log("Brida start : AesEncryptionBase64 ---> success");
console.log("Brida start : decrypt before--->"+enc);
//hook method
text = AesEncryptionBase64.decrypt(key,enc);
console.log("Brida start : decrypt after--->"+text);
} catch (error) {
console.log("[!]Exception:" + error.message);
}
});
console.log("Brida start : decrypt after--->"+stringToHex(text));
return stringToHex(text);
},

//AesEncryptionBase64 encrypt
contextcustom3: function (message) {
console.log("Brida start :0--->" + message);
var data = hexToString(message)
console.log("Brida start :1--->" + data);
var enc;
Java.perform(function () {
try {
var key = "9876543210123456";
var text = data;
//hook class
var AesEncryptionBase64 = Java.use('com.ese.http.encrypt.AesEncryptionBase64');
console.log("Brida start : AesEncryptionBase64 ---> success");
console.log("Brida start : encrypt before--->"+text);
//hook method
enc = AesEncryptionBase64.encrypt(key,text);
console.log("Brida start : encrypt after--->"+enc);

} catch (error) {
console.log("[!]Exception:" + error.message);
}
});
return stringToHex(enc);
},

//AesEncryptionBase64 decrypt
contextcustom4: function (message) {
console.log("Brida start :0--->" + message);
var data = hexToString(message)
console.log("Brida start :1--->" + data);
var text;
Java.perform(function () {
try {
var key = "9876543210123456";
var enc = data;
//hook class
var AesEncryptionBase64 = Java.use('com.ese.http.encrypt.AesEncryptionBase64');
console.log("Brida start : AesEncryptionBase64 ---> success");
console.log("Brida start : decrypt before--->"+enc);
//hook method
text = AesEncryptionBase64.decrypt(key,enc);
console.log("Brida start : decrypt after--->"+text);
} catch (error) {
console.log("[!]Exception:" + error.message);
}
});
console.log("Brida start : decrypt after--->"+stringToHex(text));
return stringToHex(text);
},

getplatform: function () {
if (Java.available) {
return 0;
} else if (ObjC.available) {
return 1;
} else {
return 2;
}

}

}

// Convert a ASCII string to a hex string
function stringToHex(str) {
return str.split("").map(function(c) {
return ("0" + c.charCodeAt(0).toString(16)).slice(-2);
}).join("");
}

// Convert a hex string to a ASCII string
function hexToString(hexStr) {
var hex = hexStr.toString();//force conversion
var str = '';
for (var i = 0; i < hex.length; i += 2)
str += String.fromCharCode(parseInt(hex.substr(i, 2), 16));
return str;
}

注意: 因为从message接受的数据是hex,所有调用hexToString转成字符串,然后进行加密操作,最后调用hexToString转换成hex返回。

9、运行效果
解密

加密

自此,解实现了一键加密,一键解密操作。本片文章的目的就达到了。

彩蛋

你以为就结束了吗?No No No ......

当你输入 账号:admin 密码:654321


知识来源: xz.aliyun.com/t/7562

阅读:77688 | 评论:0 | 标签:Android 渗透

想收藏或者和大家分享这篇好文章→复制链接地址

“Android渗透测试frida——Brida插件加解密实战演示”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

❤人人都能成为掌握黑客技术的英雄⛄️

ADS

标签云