annyoung

난독화된 앱을 분석할 일이 있어서 jeb로 열어봤는데, 구버전의 경우 난독화 코드를 보여줬지만 최신 버전은 난독화를 계산하고 풀어서 디컴파일해준다. 이정도 스트링 가지고 뭐가 도움이 되냐? 위 화면을 보면 생각보다 잘 풀리는걸 볼 수 있다. 게다가 이런 앱들 같은 경우 일반적으로 사용하는 암호화 함수를 setEncrypt()처럼 호출하지 않고, setLoadResource()처럼 호출하는데 분석을 방해하기 위해서 일부러 의미없는 문자열로 치환해놓는다. 게다가 추가로 분석을 방해하기 위해서 어떤 결과 값에 % 0x80하거나, AudioTrack->getMaxVolume()과 같은 쓰레기 값들이 포함되어 있는데 마찬가지로 분석을 방해하기 위함이다. 그렇기에 분석을 빠르게 하기 위해서 Ai를 붙여봤는데 생..

모의해킹 하다보니 클라이언트 단에서 모든 POST 패킷을 위처럼 AES로 암호화해서 사용했다. 암호화 하다보니 와 이걸 언제 어떻게 복호화하냐 했는데 로드된 js에서 어떤 라이브러리의 몇 버전을 사용하고 어떤 암호화인지 그리고 대칭키만 알아내면 복호화는 쉽게 가능했으므로 실상은 그냥 번지르르했다.. 사실 POST 데이터 복사해서 붙여넣어서 복호화하고 수정하고 다시 암호화해서 요청 보내는 그런 귀찮음이 더 컸던것 같다. frida에서 AES-killer(앱 전용)처럼 클라이언트에서 후킹해주는 스크립트가 있으면 편할것 같긴하나.. 대부분 번들링 되었기 때문에 후킹은 힘들지 않을까 싶다. CryptoJS를 클라이언트에 다이렉트로 로드할 때는 후킹 스크립트는 있었는데 번들링된 곳에서 후킹하는건 찾아봐도 나오질 ..