汽車(chē)之家apisign unidbg逆向
逆向
之前分析到了native函數(shù)的入口是sub_2D91C
image-20220109162920590
看看sub_2D8C0
image-20220109162941845
看看sub_2CC58
image-20220109163054159
由于if其他分支都是報(bào)Calc Md5 Failure威创，所以v13等于v22锯厢。
image-20220109163317941
在0x2CE56下斷點(diǎn)片择。
emulator.attach().addBreakPoint(module.base + 0x2CE56);
image-20220109163422806
看看r6的數(shù)據(jù)
image-20220109163459846
因此s[11]等于0x40030019馍悟，所以函數(shù)的地址是0x30019牌借，跳轉(zhuǎn)過(guò)去看看
image-20220109163706823
hook驗(yàn)證一下
emulator.attach().addBreakPoint(module.base + 0x30019);
image-20220109170057686
blr在函數(shù)返回處下斷點(diǎn)陡厘，C執(zhí)行到函數(shù)返回處导披，看看原r1的數(shù)據(jù)
image-20220109165910021
說(shuō)明確實(shí)是在這里生成的舵鳞。
image-20220109165759023
接下來(lái)就是看看a1+48這個(gè)函數(shù)的輸入探入，之前通過(guò)mr0可以看到a1+48是0x400a0ae1狡孔，所以函數(shù)地址0xa0ae1，跳過(guò)去看看
image-20220109170320953
發(fā)現(xiàn)不是函數(shù)蜂嗽，也沒(méi)辦法轉(zhuǎn)成函數(shù)苗膝，點(diǎn)擊CODE32，alt+G植旧，將值修改為1
image-20220110094315392
image-20220110094416810
選中按P修改為函數(shù)
image-20220110094501331
image-20220110094525126
看看sub_2EF30
image-20220110094735152
目測(cè)MD5辱揭，在sub_A0AE0下個(gè)斷點(diǎn)看看
emulator.attach().addBreakPoint(module.base + 0xa0ae1);
image-20220109170531677
看看r0的數(shù)據(jù)
image-20220109170605047
cyberchef上試試MD5。
image-20220109170801913
和unidbg輸出一樣病附。更換輸入后问窃，發(fā)現(xiàn)前后的字符串不變，說(shuō)明是固定的完沪。
實(shí)現(xiàn)
import hashlib
_SALT = '@7U$aPOE@$'
def calc_sign(data):
data = (_SALT + 'apisign' + data + _SALT)
sign = hashlib.md5(data.encode()).hexdigest().upper()
return sign
def test():
data = '2|f17a9663_acd3_42e8_93ef_f93c5fdbcf50|autohomebrush|1641713028'
sign = calc_sign(data)
print(sign)
assert sign == '1C4E5C182F7FFF5C350E1BB1B4C2B50C'
if __name__ == '__main__':
test()
