1. 起因
由于本人水平有限，無法分析客戶端的協(xié)議身害。而qq的web版設(shè)計(jì)過于反人類味悄，cookie過期速度非常快塌鸯，每次登錄都要求掃描二維碼侍瑟，所以想了這么一種方法。
2. 工作原理
首先，在安卓手機(jī)上安裝xposed框架涨颜，通過編寫xposed插件來hook手機(jī)QQ發(fā)消息的方法费韭。然后和自己的服務(wù)器建立連接，當(dāng)接收到服務(wù)器發(fā)消息的指令后庭瑰，由注入qq客戶端的xposed插件完成最終發(fā)送消息星持。
如此一來，就可以通過服務(wù)器提供一個http接口來控制qq發(fā)送消息弹灭，還不用去研究qq的通訊協(xié)議督暂。
3. 實(shí)際操作
3.1 準(zhǔn)備工作
一部可以聯(lián)網(wǎng)的安卓手機(jī)，一臺服務(wù)器穷吮。
QQ的版本：輕聊版 v3.7.1.704 (2018.11的最新版)
Xposed Installer的版本: 2.4
3.2 手機(jī)端
3.2.1 尋找QQ發(fā)消息的方法
顯然逻翁，直接反編譯難度比較大。我的思路是：
編寫一個 xposed插件捡鱼，hook 安卓View 的setOnClickListener 方法八回，傳入一個自己編寫的OnClickListener，在視圖被點(diǎn)擊時記錄用Log記錄其ID驾诈，然后在源碼中搜索該ID缠诅，就可以找出按鈕的點(diǎn)擊事件。而按鈕的點(diǎn)擊事件就是發(fā)消息的方法翘鸭。
public class HookOnClickListener implements View.OnClickListener {
private View.OnClickListener original;
public HookOnClickListener(View.OnClickListener original) {
this.original = original;
}
@Override
public void onClick(View v) {
int id=v.getId();
Log.d("hookqq","View Id:"+id);
original.onClick(v);
}
}
以上是假OnClickListener的代碼滴铅，類似于中間人攻擊
通過上面的代碼，獲得聊天界面“發(fā)送”按鈕的ID是0x7F09019C就乓。在QQ反編譯的代碼中搜索可得“發(fā)送”按鈕的onClick方法在com.tencent.mobileqq.activity.BaseChatPie里面汉匙，最后調(diào)用的是void b()方法，我們來看看b()方法的邏輯：
可以看出生蚁，b()方法在校驗(yàn)消息合法性后調(diào)用了com.tencent.mobileqq.activity.ChatActivityFacade的a方法噩翠。這是一個靜態(tài)方法，一共五個參數(shù)：AppQQAppInterface,Context,SessionInfo,String,ArrayList.
從命名可以看出發(fā)消息時第1邦投，2個參數(shù)應(yīng)該不會變化伤锚，第4個參數(shù)時消息框中的內(nèi)容，第五個參數(shù)為null.
所以只需要生成SessionInfo就可以通過Xposed插件發(fā)送消息志衣。
SessionInfo的結(jié)構(gòu)比較簡單：
使用xposed插件記錄每次發(fā)消息時這些變量的值可以發(fā)現(xiàn)：
String a;//對方的QQ號
String d;//對方昵稱
String b,c,d,e,f;//一直為null
long a;//當(dāng)前時間戳,有時是-1
int a;//一直是0
int b;//一直是32
int c;//一直是1
int d;//10004,可能是消息類型
3.2.2 開始寫插件
根據(jù)上面的分析屯援，我們只需要hook ChatActivityFacade.a(...)方法，在它第一次調(diào)用時記錄AppQQAppInterface,Context的值念脯，然后再用過反射創(chuàng)建SessionInfo對象就可以通過插件發(fā)送消息狞洋。
另外，由于QQ編譯時經(jīng)過混淆绿店，SessionInfo中出現(xiàn)了同名變量的情況吉懊。這種情況雖然在Java中是無法通過編譯的庐橙，但是由于Dalvik字節(jié)碼通過變量類型+變量名稱來區(qū)分成員變量，所以不影響運(yùn)行借嗽。
為了設(shè)置SessionInfo中成員變量的值态鳖，XposedHelper提供的反射工具已經(jīng)無法滿足我們的需求，所以需要自己編寫一個方法恶导，通過變量的類型和命名來獲取Field對象浆竭。
如下所示：
public static Field getFieldByNameAndType(Class<?> target,String fieldName,Class<?> fieldType){
Field[] fs=target.getDeclaredFields();
for(Field f:fs){
f.setAccessible(true);
if(f.getType()==fieldType & f.getName().equals(fieldName)){
return f;
}
}
return null;
}
為了方便使用，我們注冊一個BroadcastReceiver甲锡，當(dāng)收到廣播后就調(diào)用原來的方法發(fā)消息兆蕉。
然后創(chuàng)建一個線程，每個幾秒查詢服務(wù)器的消息缤沦，當(dāng)有消息需要發(fā)送時再發(fā)送一個廣播即可虎韵。
3.3 服務(wù)器端
這個比較簡單，我是用python flask寫的缸废。只需要一個上傳消息和查詢消息的接口即可包蓝。直接貼代碼：
from flask import Flask,request,abort
from flask_sqlalchemy import SQLAlchemy
import json
app = Flask(__name__)
app.config["SQLALCHEMY_DATABASE_URI"]="mysql+pymysql://<mysql用戶名>:<mysql密碼>@<mysql主機(jī)地址>/數(shù)據(jù)庫名"
app.config["SQLALCHEMY_TRACK_MODIFICATIONS"]=False
db=SQLAlchemy(app)
#為了防止其他人查詢到消息，設(shè)一個訪問密碼
access_key="查詢消息的密碼"
class msg(db.Model):
id=db.Column(db.Integer,primary_key=True)
receiver=db.Column(db.String(11))
content=db.Column(db.String(4096))
def __init__(self,receiver,content):
self.receiver=receiver
self.content=content
def __repr__(self):
return "<msg %r>"%self.id
def get_json(self):
data={"id":self.id,"receiver":self.receiver,"content":self.content}
return json.dumps(data)
@app.route('/')
def hello_world():
return 'Hello from Flask!'
@app.route("/getmsg/<key>")
def do_getmsg(key):
min_=request.args.get("min")
if not min_:
min_=1
if key!=access_key:
return 'Access denied.'
msgs=msg.query.filter(msg.id>int(min_)).order_by(msg.id.desc()).limit(10).all()
json_str=[]
for m in msgs:
json_str.append(m.get_json())
return "[%s]" % ",".join(json_str)
@app.route("/sendmsg/<int:qq>",methods={"POST"})
def do_sendMsg(qq):
content=request.form.get("content",None)
if not content:
abort(500)
msg_=msg(qq,content)
db.session.add(msg_)
db.session.commit()
return "ok."
if __name__ == '__main__':
app.run()
4 成果展示
只需要向 http://xxxxx.com/sendmsg/接收者QQ號 發(fā)送一個POST請求企量，表單content為消息內(nèi)容测萎，就可以實(shí)現(xiàn)控制QQ發(fā)消息。
發(fā)送POST請求我也是用python寫的：
import requests
data={"content":"消息內(nèi)容"}
r=requests.post("http://域名或者IP地址/sendmsg/QQ號",data=data)
print(r.text)
然后就能收到消息（我用的是TIM QQ）：
------------------------我是分割線---------------------------
另外届巩，如果你對這篇文章感興趣硅瞧，可以點(diǎn)一下關(guān)注或者喜歡。恕汇。腕唧。
