-
-
[原创]某APP收费音频无会员绕过下载过程分析
-
发表于: 2017-3-27 13:45
-
音频播放URL：a07K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2Q4x3X3g2^5P5s2S2Q4x3X3g2U0L8$3#2Q4x3V1j5$3z5e0p5@1z5e0x3$3x3q4)9J5c8Y4y4G2N6h3&6V1i4K6u0r3x3K6t1I4y4K6x3@1x3o6V1`.
其中直接访问 159K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2Q4x3X3g2^5P5s2S2Q4x3X3g2U0L8$3#2Q4x3V1j5$3z5e0p5@1z5e0x3$3x3l9`.`. 可以显示当前主播的所有音频，也就是说 69149360 为主播ID， 而后面的 32173409 应该为当前的音频ID。
点击播放按钮通过chrome 调试 Network功能标签中，可以看到客户端会向服务端请求音频的真实地址用来播放； 通过分析发现以下两个请求比较关键。
第一个关键请求：
第二个关键请求：
第二个请求直接就是m4a 音频地址了，其中服务器地址是 audio.pay.xx.com ，可以轻易的看出应该是从第一条GET中返回的json中获取的；那 这一串参数是怎么得来的呢？
all.js格式化之后变得特别清晰，于是乎我们先稍微看一遍all.js 看看哪里可能是解密的关键地方。干逆向这么久，觉得逆向的过程就是一个猜想和推到猜想的过程；以我C语言功力来理解js 在有可以的地方下断点(关于Chrome JS 调试请看这里： eb0K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3A6T1y4e0q4Q4x3X3g2F1k6i4c8Q4x3V1k6S2M7Y4c8A6j5$3I4W2i4K6u0r3y4e0R3#2y4K6m8Q4x3X3g2Z5N6r3@1`.)
点击播放，最终发现在 success: function(t) { 这个地方停下来
使用json返回的_randomSeed通过算法得到字符串A "oRIBQLWKzamwPSuh\C3:1cdMDTYvJVeH_q97fjX58p4nFsgxyr20t.NObi6-GEAlUk/Z"
再使用json中返回的fileId 字段重新排列字符串A 得到最终结果 preview/1702877/group1/M01/04/6E/wKgJMljAJmaxaBjBAVPzE83Jfuo884.m4a
在 VPP Security Lab 小组中论漏洞挖掘能力我不及@ggggwwww，论漏洞分析能力又不及@少仲。如此菜的人在VPP中得以生存下来是源于两位的无私分享，谢谢你们！
感谢看雪平台上所有无私奉献的大牛，没有你们的文章，估计我的技术应该还处于村口放牛的水平！谢谢！
|
|
|---|---|
|
|
 有些sb了 打着app的幌子写了一篇web相关的文章。。。
|
|
|
大神膜拜
|
|
|
大神膜拜
|
|
|
|
|
|
|
|
|
GET 新技能！ Thanks！ |
|
|
前排学习
|
|
|
膜 |
|
|
VPP Security Lab，少仲哥厉害啊 ! |
|
|
向tk老师学习 |
|
|
mark一下，正想试试这个
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我为什么还需要解密：那是因为直接能得到地址的是免费公开收听的； 而我需要用这个解密方法去解开那些只公开3分钟，或者干脆不公开的地址； |
|
|
咦 ，为什么你的回复我能收到通知； 其他人的就不会。。。？ |
|
|
那我懂了，就是解密之后sign,buy_key,timestamp，token,duration这些值是不一样的。但是我还没看懂具体怎么做到的。我再看看。 |
|
|
还有就是解密播放地址；很感谢你能 认真的看完并动手实践 很难得 :) 
|
|
|
:) 我还在琢磨，虽然还不是很懂，但有学到很多。谢谢你。 |
|
|
多谢分享
|
|
|
|
|
|
|
|
|
|
malokch
