硕士生
 
- 金币
- 3830
- 好评
- 25
- 信誉
- 120
|
本帖最后由 tuandgame 于 2025-12-7 15:16 编辑
学习的过程中有感而发，不针对任何软件。先抛结论
“不管抓包、Hook 还是静态，都是在追同一条消息。”
“消息（数据流）是核心，工具是视角，调用链是路径。用多视角验证同一条路径上的同一个核心，即可确认真相。"
下面以某“vip_expire”会员字段为例。
---
① 静态：先写“消息剧本”——把调用链和参数一次标清
- jadx 搜 "vip_expire" → 跟到 UserInfoHelper.getVipExpire()
- 往上翻，看见调用链：
`Activity.onCreate → Presenter.loadData() → UserInfoHelper.getVipExpire() → SharedPreferences.getLong("VIP_DEADLINE", 0)`
- 把函数名、参数默认值、返回寄存器号都记在 txt 里，相当于给消息发了“演员表”。
---
② Hook：在剧本里挑“最窄巷子”按快门——连参数一起拍照
- Frida 勾住 `UserInfoHelper.getVipExpire()` 入口，打印 `this` 指针 + 默认值 + 结果值：
```
call getVipExpire@0x7b8 default=0 → result=1719999999
```
- 继续跟一步，看它 `return` 后谁接结果，发现 `JSONObject.put("vip_expire", result)`——
这里即是“内存消息成年”瞬间，也是后面抓包要对齐的“原件”。
---
③ 抓包：等消息“出站”后验尸——用剧本里的关键字秒对暗号
- 过滤器直接写 `http contains "vip_expire"`（剧本里已提前拿到关键字），
- 回包 Body 出现 `"vip_expire":1719999999`，数值与 Hook 结果 100% 吻合，
调用链、参数、返回值、网络尸体——四点连成一线，证明“同一条消息”跑完全程。
---
一句话收工
静态写剧本（函数+参数）→ Hook 在最窄巷子按快门（参数+返回值）→ 抓包留遗照（关键字+数值），
三把工具换场，同一条消息始终当主角；调用链只是剧本页码，让我们知道快门该按在哪一行。 |
|
苏公网安备 32010602011309号
|
苏ICP备19064627号
变色卡
