-
-
[原创]2016腾讯游戏安全竞赛android第二轮第二题分析
-
发表于: 2016-3-31 20:40
-
算法流程：
输入必须是Base64编码的字符串，且Base64解码后为32字节。解码后进行RSA加密，加密后第一字节必须为0x00，第二字节为0x14,才会进入Native层的验证。Native层先将机器码进行一系列运算，得到20字节的一个数组，再将RSA加密后的20字节（22的前2字节不参与后边的运算）的后4字节与程序中固定的4字节进行计算，得到一个8字节的结果，再用这个8字节的结果分别与剩下的两个8字节进行计算，得到16字节的数组，再拼上输入的最后4字节，得到20字节的数组，与机器码计算结果的20字节比较，相同则成功。
分析流程：
1. 用JEB打开，看看java层逻辑。
2. 验证长度，且RAS加密后，前2字节必须为0x00,0x20，才能进入Native层，最开始打算修改smali后重新打包，用了几个工具没能成功，就不想尝试这种方法了。于是写了个Xposed插件，hook RSA加密的那个函数，修改函数的返回值。
3. 用IDA动态调试so，先还原根据机器码计算的各个函数。
Clac_key内部
根据机器码运算还原
4. 注册机
编写注册机需要先还原机器码运算的过程，计算出20个字节，再根据注册码运行的过程反推出RSA加密后的结果。
在这个过程中，有个算法花了我不少时间：
最后用print大法发现了其中规律。
这个算法的代码见附件。
推算出RSA加密后的结果(22字节)后，需要用RSA私钥解密。
题目中的公钥为：
MDwwDQYJKoZIhvcNAQEBBQADKwAwKAIhAMw8CJ6Azv7ak+y+AEJmen4UMMPkGQ5D2QBrG7vKcX6XAgMBAAE=
将CC3C089E80CEFEDA93ECBE0042667A7E1430C3E4190E43D9006B1BBBCA717E97换算成10进制：
92377891422080520374820400579771977245937984366175935318313202287429727387287L，到factordb.com查询，得到分解后的p和q。
根据p和q，用rsatool.py生成私钥：
MIGqAgEAAiEAzDwInoDO/tqT7L4AQmZ6fhQww+QZDkPZAGsbu8pxfpcCAwEAAQIgIMyfYb00AQ/fY8zbw84ra5yjYMRThI8nvHpluCvTk1kCEQDgVUR8Ua3eFhx0Ihlx3nEdAhEA6RB2ochHf6h8DbAj80A0QwIRAMWW1OebGcVPPGid0EOXZZECEDV18lBv+X6d7j7RjZ2Jt7MCEBY+nMRBZYpEr2o2xCUAMzk=
有了RSA私钥，注册机就能写出来了。
注册机代码太乱，就不放源码了。
参考资料：
335K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6d9j5h3&6V1L8$3#2K6b7#2c8r3i4K6u0r3N6%4u0A6N6r3g2Q4x3X3c8#2M7s2y4Q4x3V1k6@1M7X3g2W2i4K6u0r3j5e0c8W2y4K6c8U0z5o6t1%4z5o6V1@1k6o6f1I4k6h3y4U0j5e0S2T1y4K6M7@1x3U0S2T1j5e0q4X3x3h3j5^5y4h3j5#2j5e0g2V1k6q4)9J5c8W2c8J5k6h3&6V1i4K6t1#2x3U0m8y4K9h3y4J5L8#2)9J5y4e0t1H3b7#2c8r3i4K6t1#2x3U0m8m8M7$3W2S2i4K6t1#2x3U0m8b7j5h3y4A6k6X3W2U0i4K6t1#2x3U0m8Q4x3U0f1J5y4W2)9J5y4e0t1H3d9X3q4H3j5h3&6Q4x3U0f1J5x3o6t1H3x3e0g2Q4x3U0f1J5x3p5!0F1L8r3W2F1k6g2)9J5y4e0t1H3f1i4g2S2L8r3W2X3K9h3g2J5i4K6u0r3b7%4u0&6M7s2c8G2i4K6t1#2x3U0l9I4x3o6m8Q4x3U0f1J5x3q4)9J5y4e0g2n7j5%4u0&6M7s2c8G2i4K6t1#2y4f1c8Q4x3U0f1J5x3q4)9J5z5o6p5H3x3q4)9J5z5b7`.`.
Tencent2016C.apk
Keygen.apk
算法.txt
Tencent2016C_Writeup.pdf
|
|
|---|---|
|
|
|
|
|
把注册机源码放一下 让大家学习一下呗
|
|
|
感谢分享，原来私钥是这样得到的，能力还是不行
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
