【实战分析】一木记账之伪造新用户绕过服务器验证

逗比_滑稽

Hello，各位好久不见，自从上班之后没多少兴趣再搞逆向了，要不是现在上班太无聊了，想着写篇帖子打发打发时间，正好想到去年9月份有研究过一个软件，废话不多说，Start。

此篇的逆向对象就是
一木记账
关于此应用也是发了很多破解会员的教程，但是大部分都是破解了本地会员功能的，部分会员功能还是无法使用。

例如：语音记账，截图导入。

如果破解了本地会员使用这两个功能都会提示

1. 鉴权失败，会员已过期或网络异常

复制代码

而本次教程核心内容就是破解这两个服务器验证功能，并不是破解全部服务器功能，其它服务器功能大伙感兴趣可以自行研究。


————————————————

回归正题，既然这两个功能是服务器功能，那么我们该采取什么方式破解？我们不妨先看此图。

这是开通会员权益页面，从这里我们能了解到开发者会给新注册的用户一天的时间体验会员功能，这时有的小伙伴应该就想到了，我们可以伪造成新用户，让服务器认为我们是新用户，一直白嫖这两个功能。既然思路有了，说干就干。

我们抓取一下语音记账的网络请求，记住下关键词

1. getNewBaiduSpeechToken

复制代码

等下我们要在dex分析这网络请求。


通过这个网络请求，我们知道请求头有一段数字，而参数会传入账号Token，也就是令牌。而我们的目的就是伪造这两段信息，让服务器认定我们是新用户。

我们回到dex，通过刚刚得到的关键词搜索这个网络请求。

很轻松的就找到了，而且注释已经标明告诉了我们那串数字代表着用户id

这方法的两个参数，String是令牌，int是用户id

通过查找这网络请求方法的调用，我们就得到传入这两参数的核心方法

1. getSpeechToken

复制代码

以此法我们也能得到截图导入的网络请求核心方法(这里就不多解释了)

1. getOcrToken

复制代码

收集到这么多信息，我们来捋一下。
现在得知了网络请求所会传入的参数

1. 1.用户id
   
2. 2.用户token

复制代码

而且找到了这两功能的网络请求核心方法

1. 语言记账：getSpeechToken
   
2. 截图导入：getOcrToken

复制代码

以及了解到传入这两参数的具体位置

现在还差最后一步，我们需要在返回用户id和用户令牌的地方替换成新用户的id和令牌，从而欺骗服务器，那该怎么得到新用户的id和令牌呢？

答：抓取注册账号的网络请求

抓取到了注册账号的请求后，响应中就有我们所需要的令牌和id

到这里就要有代码基础的小伙伴了，你可以选择自写一个伪造用户注册账号的网络请求，或者说直接cv注册账号的代码来实现获取新用户id和新用户令牌。
我是直接取软件的代码进行请求的，这里就不展示怎么找了，直接给代码。
代码.zip【download】

1. import com.wangc.bill.http.HttpManager;
   
2. import com.wangc.bill.http.HttpService;
   
3. import com.wangc.bill.http.entity.User;
   
4. import com.wangc.bill.http.httpUtils.MyCallback;
   
5. import com.wangc.bill.http.protocol.CommonBaseJson;
   
6. import java.util.Random;
   
7. import retrofit2.Call;
   
8. import retrofit2.Response;
   
9. import android.content.Context;
   
10. import android.content.SharedPreferences;
    
11. import android.content.SharedPreferences.Editor;
    
12. import java.lang.reflect.Method;
    
13. 
    
14. public class Main extends MyCallback {
    
15. 
    
16.         private int Ordinal;
    
17. 
    
18.         private String Name;
    
19. 
    
20.         private static Main Instance;
    
21. 
    
22.         private SharedPreferences.Editor Editor;
    
23. 
    
24.         private Main(String token, int id) {
    
25.                 Ordinal = id;
    
26.                 Name = token;
    
27.         }
    
28. 
    
29.         private Main(String str) {
    
30.                 Post(str);
    
31.         }
    
32. 
    
33.         public static void main(String[] args) {
    
34.                 init(null);
    
35.                 new Main(getName(), getValue());
    
36.                 setUserData(null);
    
37.     }
    
38. 
    
39.         public static String getName() {
    
40.                 return Instance.Name;
    
41.         }
    
42. 
    
43.         public static int getValue() {
    
44.                 return Instance.Ordinal;
    
45.         }
    
46. 
    
47.         public static void setUserData(Object obj) {
    
48.                 if (obj instanceof User) {
    
49.                         User user = (User) obj;
    
50.                         user.setVipType(2);
    
51.                         user.setVipTime(3755260800000L);
    
52.                 }
    
53.         }
    
54. 
    
55.         public static void init(Context c) {
    
56.                 SharedPreferences sp = c.getSharedPreferences("hjData", 0);
    
57.                 long Time = System.currentTimeMillis();
    
58.                 long Time2 = sp.getLong("Time", 0);
    
59.                 if (Time2 == 0 || Time - Time2 > 43200000L) {
    
60.                         StringBuffer sb = new StringBuffer("1");
    
61.                         String str = "0123456789";
    
62.                         Random ran = new Random();
    
63.                         for (int i = 0; i < 10; i++) {
    
64.                                 sb.append(str.charAt(ran.nextInt(10)));
    
65.                         }
    
66.                         Instance = new Main(sb.toString());
    
67.                         Instance.Editor = sp.edit();
    
68.                 } else {
    
69.                         Instance = new Main(sp.getString("Token", ""), sp.getInt("UserId", 0));
    
70.                 }
    
71.         }
    
72. 
    
73.         private void Post(String qq) {
    
74.                 try {
    
75.                         //网络请求管理器
    
76.                         HttpManager Http = HttpManager.getInstance();
    
77.                         //网络请求服务
    
78.                         Method HttpService = Http.getClass().getDeclaredMethod("getHttpService");
    
79.                         HttpService.setAccessible(true);
    
80.                         HttpService Service = (HttpService) HttpService.invoke(Http);
    
81.                         //User
    
82.                         String email = qq + "@qq.com";
    
83.                         //获取实例
    
84.                         User user = new User(email, "我爱记账", "");
    
85.                         //设置邮箱
    
86.                         user.setEmail(email);
    
87.                         //设置密码
    
88.                         user.setPassword("6201ED0369A2287B417946EA6CCDE21F");
    
89.                         //设置apk签名
    
90.                         user.setSignInfo("92344a8b478ac913b558ba2d040540ae");
    
91.                         //设置渠道
    
92.                         user.setChannel("kuan");
    
93.                         //设置注册时间
    
94.                         user.setRegisterTime(System.currentTimeMillis());
    
95.                         //请求
    
96.                         Call call = Service.addUserInfo(user);
    
97.                         call.enqueue(this);
    
98.                 } catch (Exception e) {
    
99.                        
    
100.                 }
     
101.         }
     
102. 
     
103.         @Override
     
104.         public void onFailure(Throwable th) {
     
105. 
     
106.         }
     
107. 
     
108.         @Override
     
109.         public void onResponse(Response response) {
     
110.                 Object obj = response.body();
     
111.                 if (obj != null) {
     
112.                         CommonBaseJson Json = (CommonBaseJson) obj;
     
113.                         if (Json.getCode() == 0) {
     
114.                                 Object obj2 = Json.getResult();
     
115.                                 if (obj2 != null) {
     
116.                                         User result = (User) obj2;
     
117.                                         //id
     
118.                                         Ordinal = result.getId();
     
119.                                         //令牌
     
120.                                         Name = Json.getToken();
     
121.                                         Editor.putString("Token", Name)
     
122.                                                 .putInt("UserId", Ordinal)
     
123.                                                 .putLong("Time", System.currentTimeMillis())
     
124.                                                 .apply();
     
125.                                 }
     
126.                         }
     
127.                 }
     
128.         }
     
129. 
     
130. }
     

复制代码

最后展示下如何使用这份代码，该代码除了提供破解服务器功能，以及提供破解本地会员，我一个一个讲。

注意：在修改前记得用mt管理器去除下签名校验哦

1.破解本地会员
搜索

1. com.wangc.bill.http.protocol.CommonBaseJson

复制代码

定位getResult方法，在以下插入调用即可破解本地会员。

1. invoke-static {v0}, Lcom/doubihuaji/Call;->setUserData(Ljava/lang/Object;)V
   

复制代码

2.破解服务器功能
因为我代码中采用的是12小时更换一次新用户，所以需要进行初始化，而且代码是有缺陷的，它是以1开头然后随机10位数字➕QQ邮箱，因为去年随便写的，如果本身存在已注册的账号是会出问题的，有精力的大佬可以稍微改进一下。

搜索类

1. com.wangc.bill.activity.MainActivity

复制代码

在onCreate方法插入调用进行初始化

1. invoke-static {p0}, Lcom/doubihuaji/Call;->init(Landroid/content/Context;)V

复制代码

1.语音识别
搜索getSpeechToken方法，打开第一个结果在以下方法插入调用

1. #新用户令牌
   
2. invoke-static {}, Lcom/doubihuaji/Call;->getName()Ljava/lang/String;
   
3. 
   
4. move-result-object v1
   
5. 
   
6. #新用户id
   
7. invoke-static {}, Lcom/doubihuaji/Call;->getValue()I
   
8. 
   
9. move-result v2

复制代码

截图导入也按此法即可，搜索getOcrToken方法，在第一个结果插调用


最后我们重新打开软件(需要登录账号哦)

能够看到，这两个服务器功能都能正常使用了，我们顶着老用户账号id，实则用这两个功能的时候是顶着新用户账号id，下课。

逗比_滑稽

最后麻烦各位如果觉得这篇帖子不错的或者有学习到什么的麻烦点个赞或投个币，因为这是我最后的动力。

RomanticMystery

看看隐藏

b314315

感谢大佬的教程

shi_ye

看看隐藏

零星0523

看看你的

a495324826

感谢分享

追梦的咸鱼哥

看看内容

15227567171

感谢大佬分享

hpzka

看看隐藏学习学习

Jack0323

感谢楼主分享

snak2020

感谢大佬分享，学习

往事随风流逝

看看

空雨pro

感谢分享

只因你太美

看看