-
-
[原创][原创]最新版某姆会员商店的某T盾风控分析与绕过
-
发表于: 2025-3-29 18:33
-
最近想在山姆买个东西,准备开会员卡的时候提示我设备信息异常,我想我的最新版的16PM,最新版的系统,咋会异常呢?好吧!你先惹我的,直接开干!
首先抓包获取开会员卡的接口:
发现是用的同盾的blackBox来判断我的设备信息
同盾,老对手了,开始先找下tokenId的获取地方:
找到了,在b69K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6@1L8$3&6Y4k6s2g2F1i4K6u0V1k6X3W2F1k6$3g2J5M7s2u0A6L8Y4c8Q4x3X3g2%4j5h3I4E0j5i4u0@1L8h3!0T1K9h3I4W2i4K6u0W2j5$3&6Q4x3V1k6A6L8%4x3K6i4K6g2X3z5q4)9J5c8Y4m8J5L8$3k6A6L8r3g2Q4x3X3g2B7M7$3!0F1i4K6y4r3M7r3q4J5N6r3&6W2M7W2)9K6c8s2y4S2L8g2)9J5y4X3q4E0M7q4)9K6b7X3u0#2L8X3c8D9k6g2)9K6c8r3y4F1i4K6u0W2M7$3q4E0M7$3y4D9N6h3u0Q4x3X3g2A6M7r3S2G2L8X3g2Q4y4h3j5#2i4K6u0W2x3q4)9J5k6e0p5I4y4#2)9J5y4X3q4E0M7q4)9K6b7Y4k6W2M7Y4y4A6L8$3&6Q4x3@1b7K6i4K6u0W2z5q4)9J5k6e0u0Q4x3X3f1I4i4K6u0V1f1#2)9J5y4X3q4E0M7q4)9K6b7X3q4H3M7p5&6S2L8h3g2Q4x3@1c8A6L8%4y4Q4x3U0k6S2L8i4m8Q4x3@1u0K6k6i4q4u0k6q4)9K6c8o6p5%4y4o6x3J5y4o6x3K6y4e0f1I4z5o6M7#2y4U0M7I4x3o6y4Q4c8e0S2Q4b7V1k6Q4z5e0W2Q4c8e0c8Q4b7U0S2Q4b7f1q4Q4c8e0k6Q4z5p5g2Q4b7e0g2Q4c8e0g2Q4z5p5k6Q4b7e0y4Q4c8e0W2Q4z5o6N6Q4z5p5y4Q4x3V1x3`.
在IDA里搜一下,然后根据这个URL找到了生成fingerPrint的function:sub_102CB2C24,好家伙,整整3万行的混淆,根本不是人看的
先用D8去混淆试一下吧,但是效果不是很好,去混淆后还是有23000多行 
开始分析以下这个result的来源:
发现这个result是根据v3239这个地址的方法来的:
在102CE7DCC这个位置hook一下,看一下X8的值,最后找到了实际的方法:
我们来一看一下它具体获取了手机的哪些参数:
好家伙!一共获取了81个手机参数,小到手机主板开机手机,app内存偏移地址,大到MAC,Net地址等等 底裤都给你扒得干干净净的,怪说不得我不管是卸载还是刷机统统都不行,该说不说,同盾这帮天才还是有点东西的,奈何偏偏不让我买卡.
把这些参数挨着随机更换掉以后,发现成功过了同盾的风控,购卡成功!美滋滋的去山姆买东西去了
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
