（APP测试三板斧）第三板： Frida+IDA手工逆向证书密码

 一、优点

优点：

适用大部分情况，尤其是一键自动提取证书和密码，傻瓜化操作。

缺点：

一键自动提取证书和密码还好，但不是万能的，手工逆向证书密码技术难度较大，需要有代码功底，并且如果有加壳加固等操作更加麻烦。

二、步骤

1.一键自动提取证书和密码

因为 APP 在向服务端发请求时， APP 肯定会操作证书，所以如果能找到 APP 操作证书的代码地方， Hook 这部分代码，对参数做些输出打印，证书和证书密码就都有了。

大部分情况下，都是Hook java.security.KeyStore 这个类的 load 方法，load 方法的形参就是我们需要的证书和密码。

抠出的证书和密码，配置进 fiddler 或 burpsuite里面，就可以抓到双向认证的包。

PS： 还要注意证书的格式，抠出的证书可能是 jks 或 bks 格式的，fiddler 可能需要 p12 格式的， 所以要找工具先转换一下格式。

python3 cert_pwd.py

需要python脚本辅助下，把上面的证书16进制先转换为jks格式

python3 cert2file.py

import  sys
f = open('keystore.jks', 'wb')
f.write(bytes.fromhex("xxx"))

再讲jks证书转为p12证书，p12证书再转换为crt证书

keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore.p12 -srcstoretype jks -deststoretype pkcs12
openssl pkcs12 -in keystore.p12 -nokeys -clcerts -out keystore.crt

2.手工分析证书密码

使用GDA打开apk,搜索证书关键字.p12

这个就是加载证书的代码，第二个参数就是密码，所以往上跟踪v1

v4_1.load(v0_1, v1.toCharArray());

发现值是通过a函数来的，跟踪进入a函数

String v1 = SoulNetworkSDK.Auto_getValue().a(SoulNetworkSDK.Auto_getValue().Auto_getValue());

继续跟踪进入null_getStorePassword

发现最终密码是从native层获取的

我们来看下初始化加载的是哪个so文件

发现是soul-netsdk，解压soul.apk，使用IDA打开soul-netsdk

搜索加载的关键字，最终发现证书密码（搜索到结果后，使用F5伪编译代码）

3.踩过的坑

1.这个博客贴的js代码java_security_KeyStore__load函数结尾少了个圆括号，所以语法错误

https://api-caller.com/2019/03/30/frida-note/#soul

2.python调用Frida的函数

如果device = frida.get_usb_device()不行，试试device = frida.get_remote_device()

 

 

本文地址：https://blog.csdn.net/ggzhifeng/article/details/107606890