Canvas is not supported in your browser.
首页 课程 文章
无痕注入 APC注入 线程注入 读写驱动 注入技术 句柄表 进程线程 系统调用 保护模式 内存管理 远程CALL 软件调试 驱动封装 云下发 驱动开发 FPS数据 方框透视 FPS方框 FPS自瞄 CE D3DHOOK D3D绘制 Imgui绘制 DWM
内核课程 驱动出租 学习路线 聊天室 免责声明 提问技巧

Android安全-MMKV文件解析及实现

推荐 原创

周杰伦

文章分类 Android安全 CTF对抗 IOS安全 阅读数 : 860 阅读时长 : 9分钟

前言

移动端在逆向登录协议时，在使用账号 密码登录成功后，接口（/appMobileLogin ）一般都会返回一个 token，以后再次打开 app 时，凭借采用账号密码登录返回的 token，就可以无需使用账号密码登录了，此时登录接口地址改为（/login）。app 正常启动后，一般所有的业务接口都会携带此 token 进行访问。

这个token 在下次使用账号密码登录之前，一般都不会改变，那么这个字段必然会save 到磁盘的某个文件中。

 

当然这个token 的破解可能简单，也可能很困难。不论简单与困难，都需要你再次打开动态调试 app，你会进行下面一系列操作：

  1. 打开 pc（虚拟机）

  2. adb connect

  3. 启动 frida-server

  4. 找到之前的破解日志（hook 了哪些函数）

  5. 编写 hook.js

  6. 启动 app

  7. frida -l hook.js package_name

  8. jadx 开发 package_name

  9. 找到算法函数（可能调用栈很多）

经过不懈努力终于找到 token，可能花费半小时甚至更久

 

重大喜讯：现在这个过程可以简化了

 

移动端一般都会采用MMKV来做序列化及持久化，这里不分析 MMKV 的优势和劣势，我们又不搞工程，分析它干嘛~
我们只是要里面的数据。如果 app 使用 mmkv，那么通常会把 token 存在 mmkv.default里，当然这个文件还会存其他关键数据，你需要知道token 的 key 是什么名称即可。

 
 

下面给出两种读取 mmkv.default的方式：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
'''
see https://github.com/Tencent/MMKV/wiki/python_setup
build for python
 
cp mmkv.cpython-38-darwin.so /PYTHONPATH/sitepackages/
这样就可以使用 import mmkv
'''
 
import numpy as np
 
import mmkv
 
 
ed = 'little'
 
 
class MMKVReader():
 
     def __init__( self , f_path) - > None :
         self .f = open (f_path, 'rb' )
 
         self .real_size = int .from_bytes( self .f.read( 4 ), ed)
 
         # first, 第一个 key 长度删掉
         self .get_key_len()
         self .d = {}
 
     def read_int8( self ):
         size = int .from_bytes( self .f.read( 1 ), ed)
         tmp = np.int8(size)
         return tmp
 
     def get_key_len( self ):
         tmp = self .read_int8()
         if tmp > = 0 :
             return tmp
 
         result = tmp & 0x7f
         tmp = self .read_int8()
         if tmp > = 0 :
             result | = tmp << 7
         else :
             result | = (tmp & 0x7f ) << 7
             tmp = self .read_int8()
             if tmp > = 0 :
                 result | = tmp << 14
             else :
                 result | = (tmp & 0x7f ) << 14
                 tmp = self .read_int8()
                 if tmp > = 0 :
                     result | = tmp << 21
                 else :
                     result | = (tmp & 0x7f ) << 21
                     tmp = self .read_int8()
                     result | = tmp << 28
                     if tmp < 0 :
                         for i in range ( 5 ):
                             tmp = self .read_int8()
                             if tmp > = 0 :
                                 return result
                         raise ValueError( '协议错误' )
         return result
 
     def get_data( self ):
         while True :
             if ( self .f.tell() - 4 ) > = self .real_size:
                 break
             ken_len = self .get_key_len()
             key = self .f.read(ken_len)
             data_len = self .get_key_len()
             data = self .f.read(data_len)
             self .d[key] = data
         # 释放文件描述符
         self .f.close()
 
 
if __name__ = = "__main__" :
 
     # 实现1： 简略版本
     mr = MMKVReader( './mmkv.default' )
     print (mr.get_data())
 
     # 实现2 libmmkv，官方版本
     mmkv.MMKV.initializeMMKV( '.' , mmkv.MMKVLogLevel.Debug)
     kv = mmkv.MMKV.defaultMMKV()
 
     # 查看所有的 keys
     for key in kv.keys():
         print (key)
         # 不是所有的 key 都是string 类型
         # print(kv.getString(key))

官方版本源码安装：
另外就是自实现的简略版本
两个版本的对比：

  1. 官方版本需要编译，需要把 编译生成的 so 文件放到 python 的 sitepackages 里才能使用 impor mmkv
    官方版本完全加载 mmkv依赖的环境，比如 mmap 映射，文件锁啥的，比如 windows需要更复杂的安装
    另外在加载的时候还需要crc 校验
    有兴趣的同学可以尝试编译官方版本

  2. 简略版本只需要有 python 即可，
    问：为啥不需要 crc 校验？
    答：app 在使用的文件肯定是校验后的呀，拿来即用即可！

THE END

当你使用简略版本时， 只需要 adb pull /data/data/com.packagename/file/mmkv/mmkv.default . 到本地即可
然后
mr = MMKVReader('./mmkv.default')
mr.get_data()
token = mr.d['token_key'] # 这里的token_key，改为你需要的即可
想象一下这个场景：
你需要大规模利用时， 你自己一个账号不足时，只需要别人把 mmkv.default发给你，你就可以用他的账号登录并做爱做的事了，岂不美哉？

 

其实这个文件里除了 token ，可能登录环境也有哦~，用起来更丝滑哦~
题外话：python 没有int8类型，需要使用 numpy.int8



更多【MMKV文件解析及实现】相关视频教程：www.yxfzedu.com




相关文章推荐

记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多
友情链接
内核结构 FAQ
免责声明
课程目录
Windows内核
游戏逆向(FPS)
技术交流QQ群
342478842 215039827 137189196
314055665 159620936
微信公众号
www.yxfzedu.com是一个分享游戏安全,游戏外挂与反外挂,游戏驱动保护的视频网站！
接各种驱动定制如：游戏读写驱动，软件内存保护，防止调试等功能定制。
出租读写驱动，调试驱动，无痕注入支持各种游戏。
邮箱：service@yxfzedu.com
QQ：851920120
特别说明：不接游戏数据分析，外挂编写，登陆协议等类似业务。