超星学习通逆向接口参数加密分析 - 课程页面切换tab接口

超星的接口分析了很久，分析到这个接口的时候才想到写篇博客，之前的一些接口和分析就没写下来

先开俩坑在这里，等以后再填

1.如何抓安卓APP上HTTPS的包(需ROOT)

2.如何逆向安卓APP

---

本次分析的接口是这个

http://data.xxt.aichaoxing.com/analysis/course/tab

参数 u=224217004&sign=task&description=%E4%BB%BB%E5%8A%A1&enc=E783557848978DAFBC36732F63E554E9&personid=243104286&classid=49650050&courseid=220816469

接口大致分析

这个接口在课程页面点击tab切换时会被调用一次

先看参数

参数名	值
u	224217004
sign	task
description	任务
enc	E783557848978DAFBC36732F63E554E9
personid	243104286
classid	49650050
courseid	220816469

根据之前抓包的内容可以得到除了enc以外的内容，再看enc长度是32位，可以猜一手MD5

反编译

反编译看下代码

反编译用了MT管理器

脱壳用了Arm Pro

都是要付费的，怎么操作就省略，相信你们都会

用MT管理器搜索接口关键字analysis/course/tab，只搜索到一个结果，好的开头是成功的一半



点进去看下，反编译成，java代码很明显代码被混淆了，

包名都变成了单个的英文字母，先不管，试试继续分析下去

看到方法上的注解，返回参数还用了泛型，很明显是Retrofit2框架了，enc参数在这里



手机上截图有点小，把代码粘出来

@f(value="analysis/course/tab")
public b<String> a(
    @t(value="u") String var1,
    @t(value="sign") String var2,
    @t(value="description") String var3,
    @t(value="enc") String var4,
    @t(value="personid") String var5,
    @t(value="classid") String var6,
    @t(value="courseid") String var7
);

已经找到源头，那看看哪里会调用这个接口就行了

搜索调用这个类的代码，看这个类的包名和类名方法名分别是e.g.u.h2.b、d和a



有好几个同名的重载方法，先不管，搜索smali调用的代码e/g/u/h2/b;->a

找到了20多个结果，不好办

看一下这个方法有7个String类型的参数，超过4个参数smali里面就会用invoke-interface/range调用

用正则来搜索一下代码invoke-interface/range.*?e/g/u/h2/b/d;->a

结果没减少多少，还是有21个

不过我们知道参数有7个，看哪里有调用7个参数的方法好了，range后面大括号里的就是参数，v1-v6就是6个参数，快速找一下

还是没法找出来，不过还有别的方法，搜一下字符串任务 完全匹配，这个是抓包抓到的参数

运气不错只搜索到2个结果，看了下第一个没看出啥，看第二个，很明显对应的是课程界面的tab，里面还有接口的域名

public void run() throws Throwable {
  String string;
  String string2;
  if (Objects.equals("任务", this.a)) {
      string2 = "task";
      string = "任务";
  } else if (Objects.equals("章节", this.a)) {
      string2 = "chapters";
      string = "章节";
  } else if (Objects.equals("更多", this.a)) {
      string2 = "more";
      string = "更多";
  } else {
      string2 = "";
      string = "";
  }
  if (g.b((CharSequence)string)) {
      return;
  }
  String string3 = URLEncoder.encode(string, "utf-8");
  string3 = b.a((b)this.f, (String)this.b, (String)string2, (String)string3, (String)this.c, (String)this.d, (String)this.e);
  ((d)s.a((String)"http://data.xxt.aichaoxing.com/").a(d.class)).a(this.b, string2, string, string3, this.c, this.d, this.e).a((o.d)new a(this));
}

前面的代码就是接口参数里的sign和description，string2就对应参数里的sign了，string对应参数里的description

先看这两行

String string3 = URLEncoder.encode(string, "utf-8");
  string3 = b.a(
    (b)this.f,
    (String)this.b,
    (String)string2,
    (String)string3,
    (String)this.c,
    (String)this.d,
    (String)this.e
  );

看前面代码可以知道这里string是tab的名字，就是任务、章节、更多这三个其中一个

随后对string进行了一次url编码

最后调用了b.a方法，传入了7个参数，上下文并不存在名称为b的对象，因此可以断定b是一个类名

查看import，定位到了e.g.k.e.b这个类

点进去查看一下

public static String a(b b2, String string, String string2, String string3, String string4, String string5, String string6) {
    return b2.a(string, string2, string3, string4, string5, string6);
}

private String a(String string, String string2, String string3, String string4, String string5, String string6) {
    StringBuilder stringBuilder = new StringBuilder();
    stringBuilder.append(string5);
    stringBuilder.append(string6);
    stringBuilder.append(string3);
    stringBuilder.append(string4);
    stringBuilder.append(string2);
    stringBuilder.append(string);
    stringBuilder.append("qK`b3XjC");
    return m.a((String)stringBuilder.toString()).toUpperCase();
}

调用了b2.a方法，b2的类型是b，其实就是自身了，传递了6个参数，也就是调用了下面的a方法

可以看到就是按 5 6 3 4 2 1的顺序将参数进行拼接，最后拼上一个盐，最后调用一个m.a方法

m.a其实就是一个md5的方法

根据参数顺序，最后可以分析出 string3 = md5(this.e + this.d + string3 + this.c + string2 + this.b + salt)，其中salt是一个字符串qK`b3XjC

查看代码发现下面调用了接口

((d)s.a((String)"http://data.xxt.aichaoxing.com/").a(d.class)).a(this.b, string2, string, string3, this.c, this.d, this.e).a((o.d)new a(this));

根据接口定义的参数顺序就可以得到这样一个参数对应表

变量名	接口参数名
this.b	u
string2	sign
string	description
string3	enc
this.c	personid
this.d	classid
this.e	courseid

那么可以得到伪代码enc = md5(classid + courseid + URLEncoder.encode(description) + personid + sign + u + salt).toUpperCase()

最后根据以上的分析，编写出对应的代码，验证分析结果

和抓包时得到的参数一致。