- 博客(131)
- 收藏
- 关注
RSS订阅原创 mqtt 协议pwn入门（ciscn2025 final mqtt）
摘要：本文记录了作者参加CISCN2025国赛MQTT题目的解题历程。题目涉及MQTT协议交互，存在命令注入漏洞。文章详细介绍了MQTT协议原理、环境搭建方法，分析了题目中的鉴权绕过和条件竞争漏洞利用思路，并分享了Python编写的EXP脚本。作者通过本地调试复盘了比赛过程，总结了当前CTF比赛中PWN题向协议交互方向发展的趋势，也反思了比赛中的失误。文章提供了完整的解题思路和技术细节，对理解MQTT协议相关安全问题和CTF解题具有参考价值。
2025-07-27 19:19:40
520
原创 微信中点击链接实现发送消息的bug
其实写这篇文章已经是该bug修复快两周了，所以有点炒冷饭。不过技术问题还是值得学习的，至少以后说不定哪天你可能会用上的。
2025-07-27 19:17:24
454
原创 快手协议算法
这里可以看到只使用了前16字节,填充方式也确认了,基本的都确认了,但是这个是魔改AES,魔改了秘钥扩展部分,改了Rcon,s盒,既然是魔改AES,听说魔改程度很大,不建议对着代码标准AES来改,因为这个AES采用的是八个大的合并表,所以直接扣代码会比跟简单些,主要就是下断,跟汇编,之前zh的x-96用的也魔改的表合并AES,那篇有讲过这么扣代码,这里我就不说了,最多花个几天时间肯定能搞定.0x07+0x24+0x10+0x18=0x53,前3个数字就是上图中的20,24,28位置的值,还要继续追吗?
2025-07-27 19:07:55
603
原创 一种底层磁盘数据截获方法
从CDB逆推文件极为困难，首先是一个磁盘可以有多个卷，文件系统各不一样，即使只有一个文件系统，以NTFS为例，MFT到LCN再到LBA可以完成，但是LBA逆推到MFT就涉及所有文件的映射，这个映射的大小堪比页表，甚至远大于页表，而且需要实时更新，所以这种方法对内存和CPU的开销都很大。所以呢，这个项目的示例意义大于实际意义。是一个实验性质的项目，(。・・)ノ。
2025-07-13 17:45:50
710
1
原创 基础so注入的实现
一句话概括下来就是把自己的so加载到目标进程的地址空间Ptrace是Linux提供的进程调试接口，可以让一个进程去控制另一个进程。通过ptrace，我们能附加到目标进程上，读写它的内存和寄存器。有了这些能力，远程调用目标进程的函数就成为可能了。主要用到的ptrace操作包括：PTRACE_ATTACH：附加目标进程PTRACE_GETREGSET/SETREGSET：读写寄存器PTRACE_PEEKDATA/POKEDATA：读写内存。
2025-07-13 17:42:53
928
原创 泡泡玛特协议
了解泡泡玛特官方购票平台的网络请求结构，包括登录、商品查询、下单等接口。使用浏览器开发者工具（F12）或抓包工具（如Charles、Fiddler）监控HTTP请求，提取关键API和参数。泡泡玛特抢票通常涉及自动化脚本或协议模拟，用于在官方平台开放购买时快速完成下单。以下是常见的实现流程和代码示例。模拟登录需构造POST请求，携带账号密码或token。添加网络异常重试、验证码识别（如使用OCR库）、多账号并发等策略。监控抢票时间，构造下单请求并高频尝试。模拟浏览器操作，自动完成抢票流程。
2025-07-06 11:46:06
472
2
原创 汽车之家APP sign分析
很明显这里面要分析的就是这个p_sign,那么直接把APK扔jadx看看,果然没那么简单加壳了还是某数字企业壳，这下难度增高了、这里省略脱壳的步骤。这里直接通过p_sign是很难搜索到对应代码块的，这里大概尝试了N种方法都没有找到有价值的信息。想着通过url的地址去找对应的发请求的位置是不是可以。那么接下来就从图上这几个类分析了,最终定位在BaseRequest这个类,在这个类里找到了我们需要分析的p_sign，下面的事情就简单了看看它是怎么生成的了。这是具体的加密方法，没啥难度了。
2025-07-02 19:20:21
401
原创 京东算法协议
然后开启无尽的S 单步执行往下走当程序走到switch判断时 发现bl指令跳转到sub_10de4函数 多次在这个位置debugger 到 发现 到 sv =111 走的是 case 2 还遇到过sv = 110 走的是case 1 、这部分我们只分析为2的情况也就是走sub_10DE4,至于为啥呢？这个区域是具体的实现的位置，flag 是之前传入的0x1 所以走的是if 判断。> 总结: 某东的sign有三个算法 这边只还原了其中比较简单的 sv =111 的这种。
2025-07-02 19:18:11
1022
原创 纷玩岛协议
建议将精力投入公开技术文档和授权API的研究，例如学习OAuth2.0认证流程、RESTful API设计规范等合规开发方式。技术社区如Stack Overflow、GitHub有大量合法技术方案可供参考。使用Wireshark或Fiddler等工具抓包分析合法公开的API请求，学习标准通信流程。
2025-07-02 19:11:18
306
原创 票星球协议开发
使用抓包工具（如Charles、Fiddler、Wireshark）或浏览器开发者工具（Network面板）分析客户端与服务器的通信过程。重点关注API接口URL、请求头（Headers）、参数（Params/Body）及响应数据格式。
2025-07-02 19:07:27
541
3
原创 PC微信逆向
近期分析了一下64位的PC微信，对其中的一些内容做一些分享。本期分享内容：Hook微信自身日志。本次分析使用版本：3.9.12.51。123// 这里wxbase为wechatwin.dll的基地址。
2025-06-19 17:15:00
1303
原创 抖音小程序解包工具
3. 点击右上角三个点，选择排序方式，按时间-逆向排序，确定。目录需要root权限，其他程序无法直接访问，分享前需先复制到。4. 最新打开的小程序对应的文件夹会排在第一个。> 提示：不确定是否为目标小程序？：目前暂不支持解包抖音小游戏的包。目录，然后微信或者qq分享。文件（分包情况下可能有多个。的抖音小程序包，支持。开头的子文件夹，找到。文件可以看到小程序名称。5. 选择需要导出的。
2025-06-19 17:10:38
510
2
原创 某短视频网站滑块分析
最近刚好闲着没事，本来有工作要研究这个滑块，但是一搜基本都是补环境的，觉得不够优雅，就尝试手撕一下JS VMP，也是好久没撕过了，就当练手了。
2025-06-19 17:08:03
696
原创 深入理解IOS重签名检测
ASN.1(Abstract Syntax Notation dotone),抽象语法标记。是定义抽象数据类型形式的标准，描绘了与任何表示数据的编码技术无关的通用数据结构。抽象语法使得人们能够定义数据类型，并指明这些类型的值。抽象语法只描述数据的结构形式，与具体的编码格式无关，同时也不涉及这些数据结构在计算机内如何存放。
2025-06-12 19:30:31
849
原创 某短视频网站滑块分析
最近刚好闲着没事，本来有工作要研究这个滑块，但是一搜基本都是补环境的，觉得不够优雅，就尝试手撕一下JS VMP，也是好久没撕过了，就当练手了
2025-06-03 16:55:03
1083
1
原创 关于某宝手表版本 apk 逆向分析过程
然后在 jadx-gui 中打开 apk，打开工程后，点击文件保存将所有代码保存出来，然后 cp 到 linux 下，这样方便快速查找关键词。提示 so 未对齐，试了很多方法一直不都行，后来验证了下发现这货根本不是so，而是 jar 文件，这一招正是为了防止反编的手段。将重打包后的 apk 再解压开，强制 so 不压缩，然后再进行对齐和签名即可，完整指令步骤如下。1、反编后，啥也不改，直接再打包回 apk，z4 对齐并签名后安装失败，错误原因为。看到蓝牙绑定时报错 log 如下。调用对应 so 生成条码。
2025-06-03 16:51:57
1523
原创 AI逆向50页长文掌握 IDA Pro MCP 逆向分析利器
AI 的浪潮已经到来，将其融入逆向工程的工作流是大势所趋。IDA Pro MCP 为我们提供了一个强大的框架，将 AI 的分析能力与 IDA Pro 的专业功能相结合。希望本教程能帮助您顺利配置并开始使用这一利器。我们鼓励您积极探索，将 AI 技术应用于实际的逆向分析任务中，发掘更多可能性
2025-05-26 21:00:19
1887
1
原创 某网站极验逆向
jscrambler 混淆器，主要是可见性的问题，一些 unicode 字符的去除，还有 decodeURI 里面的内容不能直接解码，得用源代码保留
2025-05-26 20:35:09
1369
原创 关于Office限制的研究
20多年前安装过原版的 Office 2000，安装以后会提示注册，不注册只能使用50次，这么多年过去了，一直想再研究一下是什么原理，能不能找到确认号。在网上找到了很多个原版 Office 2000的镜像文件，在虚拟机里面安装以后并没有出现注册向导。最近读到一位网友的文章提到任何正版Office 2000，只要在2003/4/15 0:00:15 utc之前运行，都会弹出注册向导，于是把虚拟机的日期改到2001年，再次安装原版 Office 2000，
2025-05-26 20:32:33
334
原创 微信聊天记录数据库文件解密分析
文章主要描述了在微信版本4.0.0.26中寻找数据库加密密钥（key）的过程。首先，作者指出微信的数据存储位置和进程名发生了变化，关键DLL文件也有所改变。接着，作者介绍了两种寻找key的方法：简单方法是通过内存搜索定位SetDBKey函数，复杂方法则是通过分析微信使用的WCDB数据库加密机制，定位setCipherKey函数。作者详细描述了如何通过IDA和Windbg工具分析微信的DLL文件，定位关键函数和字符串，最终找到加密密钥的过程。文章还提到了一些SQLite和SQLCipher的配置参数，并展示了
2025-05-15 11:28:07
1727
2
原创 zygisk 注入对抗之dlclose
老版本的zygiskNext和Magisk的zygisk注入方式存在一个检测问题，主要与soinfo列表的空隙有关。检测原理是通过遍历soinfo列表，若发现空隙，则表明zygote进程中有过早加载的so调用了dlclose，这通常意味着zygote被入侵。zygisk采用了一种巧妙的so自卸载技术，通过hook pthread_attr_destroy 函数来实现so的卸载，从而避免直接调用 dlclose 导致的段错误。然而，这种技术在某些情况下会导致soinfo列表中出现空隙，尤其是在libart.s
2025-05-15 11:22:48
984
原创 某口算部分算法还原思路
前言: 本文仅为了交流学习，提高逆向对抗的水平，更好的防护APP。版本:应用商城最新不提供Frida调用脚本，不提供成品算法，仅记录分析过程。如有侵权，请联系我下架，但是我更希望厂商能在不断对抗中进步学习进步自己的产品。frida检测 spwan注入123456789101112131415 1234567进行入参的字符串分析通过字符串出现的地址找到处理这个字符串的地址定位到这个函数，发现是个基础函数，通过trace找一共调用了几次写一个frida脚本进行hook，看处理了什么1234567
2025-05-15 11:20:49
1300
原创 frida-analykit wireshark 流量抓包（下）- 通杀flutter和webview等常规静态链接boringssl的tls流量解密
本文通过分析boringssl的代码实现，特别是ssl_log_secret函数的引用特征，探讨了如何在Wireshark中实时解密TLS流量抓包的方法。文章首先介绍了通过CLIENT_RANDOM常量字符串定位ssl_log_secret函数的步骤，并详细说明了如何通过idapro工具手动定位函数入口。接着，文章提出了自动化这一流程的思路，使用frida脚本实现内存扫描、指令解析和函数入口定位的自动化。通过优化内存扫描和指令解析的效率，文章最终展示了在boringssl中成功定位并解密TLS流量的实际效果
2025-05-10 13:02:51
1024
原创 frida-analykit wireshark 流量抓包（上）- 初探libssl体验wireshark无视证书校验的实时https抓包
在客户端的角度来看，中间人伪造ca来签发伪造的服务端证书跟app客户端通信。在服务端的角度来看，中间人作为app客户端发起请求。在上面这些抓包工具的实现原理中，伪造证书这一点就是他们毕生无法绕过的坎，基于这个破绽就可以有下面的检测方式：判断在请求的时候获取到的服务端证书链中的leaf证书公钥指纹和真实的服务端leaf证书的公钥指纹（发版时候硬编码到app）是否吻合来确定是不是伪造来判断是否有中间人，这种方式就是我们所说的。
2025-05-10 12:59:49
996
原创 blude关注私信协议
都设置好了之后，进入APP平台，点击启动脚本，就可以了，脚本就会自动化的操作，进行推送信息了。如果你觉得一个模拟器操作效果不大的话，那接下来可以进行第二个，第三个，第四个等模拟器多开操作了，能多开多少个的话，取决于你电脑的配置，一般的电脑挂三五个没什么问题，好一点的可以挂十多个，如果还是觉得少了，可以租远程电脑来进行操作 安装好之后，首先打开APP，注册账号，可在接码平台上进行注册，大家为了节省时间可以直接用这个，也可以直接去网上搜，有很多的。第一， 群里面的人都有免疫能力了，一般都会选择无视；
2025-05-08 19:03:43
313
原创 探探协议算法
上图是对解码后的探探工程主目录做的简要说明，我们单独分析 AndroidManifest.xml 后可知道探探的包名为 com.p1.mobile.putong ，所以我们需要重点关注此包下的文件夹或文件因为我们阅读的是dalvik字节码，所以需要对其指令集有所了解。我们知道Dubbo在处理请求的时是利用线程池来做处理的，而对于客户端而言，如果是并发的调用服务，由于Duboo采用了自定义的Dubbo协议，那就需要自己处理好 请求-响应 的对应关系。根据消息类型的不同实例，执行对应的方法。
2025-05-08 18:58:28
687
原创 soul协议算法
"signature": "落日余晖下的熙攘","signature": "落日余晖下的熙攘","signature": "落日余晖下的熙攘","comeFrom": "来自#艺术家星球","comeFrom": "来自#艺术家星球","comeFrom": "来自#艺术家星球","signature": "小汤包","position": "南昌市","position": "南昌市","position": "南昌市","signature": "小汤包",
2025-05-08 18:47:26
1030
1
原创 某登录流程分析
不是登录协议吗，都没看到登录成功，只分析，这不是纸上谈兵登录成功、或者失败，走的逻辑都是一样的，就是在最后一步，后端判断没有这个用户，或者密码错误，就会给你返回状态码，一般的后端也不会一上来先校验你的账号密码对不对，然后再去走复杂的登录流程是吧，不然后面就是脱裤子放屁，多此一举了，看一下登录成功的包还是相同的流程对吧可以看到，请求成功的cookie和请求失败的cookie相差不大，只是参数不一样，
2025-04-29 13:57:56
992
原创 微信4.0防撤回带提醒 (符号恢复和字符串解密)
网上的防撤回都是搜字符串去Patch, 并没有去逆出撤回操作的真正逻辑, 且无法做到带提醒的效果.本文将分三步去逆向撤回操作的逻辑:并采用dll劫持的方式达到最终效果, 效果预览:代码: https://github.com/EEEEhex/RevokeHook微信版本: 4.0.3.22IDA Pro: 9.1x64dbg: Mar 15 2025, 15:54:24通过浏览字符串可以看到微信用到了一个叫mars的库:谷歌一搜就能搜到: https://github.com/Tencent/mar
2025-04-29 13:47:34
3404
原创 携程APPuser-dun算法分析
算法类型有了，在unidbg构造可以hook来指定算法，总不能每次都从头到尾来看trace吧？并且发现很多加密相同的步骤还可能在不同的地址，例如取反或者异或，这些都不会归结到相同的方法中。于是有了漫长的寻找之路。
2025-04-29 13:40:26
1218
原创 去哪儿旅行APP流程分析
目标APP 采用了很多开源库进行改写，怀疑下一步就是拿开源ssl.so在so里进行自写TCP发包了protobuffer 解析是 io.protobuf 自写魔改了（字段处理）压缩使用了两套方案， Zstd 或者 GZip ，Zstd 是 facebook开源的压缩库，采用固定等级三token生成是随机数+魔改MD5签名（这个上两篇文章已经写了）加解密有两套 XOR 或 AEScbc每个库都有原始库，就是他用啥魔改的，找到对应的原始库就很好解决了。
2025-04-16 17:51:50
1092
原创 小红书协议算法
在for循环中 v496 和 v156进行异或处理，才是最终的sig3，而v156是在do while循环中计算出来的，可以看出v156的结果是v496前23个字节的和。用unidbg跑一下，可以快速定位到doCommandNative函数地址在0x46435，doCommandNative函数根据java层传入的指令号，执行相应的逻辑，hook 可以发现sig3对应的指令序号在10418。通过多次hook分析发现，v496的数据组成如上图，其中最复杂的是数据e0c281e3数据的生成。
2025-04-16 17:45:12
813
1
原创 微信协议中的rqt算法分析
在微信的登录请求中，有个rqt（Reliability Qualification Test）算法，在微信风控中扮演着重要角色，根据这个算法，可以对登录微信的环境可靠性进行判断，做为是否是外挂的重要依据。当然，除了这个算法，24字段里面的那么多子字段也是风控的依据。7.0.x版本的rqt比较简单，8.0.x版本的rqt就比较复杂了，不过也是可以搞定的。
2025-04-16 17:40:20
509
原创 TK抓包协议分析:So层逆向
第三个参数是一个回调函数,这里他的返回值1表示成功,0表示失败,那我们手动把他Hook为0,让他不支持quic协议,实现降级。等,我们是为了解决抓包问题,那很有可能是在net目录下(network),那来搜索一下。开了抓包以后APP直接是网络无连接了,并且抓到的请求也是不正常的,下面我们就开始定位。看了半天感觉也没啥有用的东西,那下面我们整理一下已经有信息,来猜测一下,后续怎么进行。那可以猜测,我们真正需要Hook的那个函数也有可能是这样加载的,可以字符串搜索一下。
2025-04-16 17:35:12
1287
原创 如何编译lineageOS并刷机
高版本会有更多的镜像，作者也没办法去具体判断需要挂在哪些，但是作者能够给到一个技巧，就是如果这里你挂载的不够，那么在 编译 部分会出现文件找不到的问题，如果你确认了报错的文件在项目中没有，那说明这里少挂载了。运行这个命令的时候也会出现错误，原因是./extract-files.sh脚本中记录的文件路径有问题，需要自己修改，按照错误提示的文件，然后去找到文件的正确路径修改好就可以了，我是用find命令找的错误路径的文件，改好之后运行上面的内容就能够成功提取到了。作者的核心数量是10，所以指定20线程。
2025-04-11 17:43:13
1022
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人