某老牌反作弊产品分析-(存在加密漏洞可被中间人攻击)一

目录:

一、产品基本介绍

产品应用场景主要用于营销活动反作弊、渠道推广反作弊、交易安全保护、账户安全保护、接口安全保护。渠道买量、应用推广、小程序推广。
产品功能:
虚假行为分析
从设备与账户维度进行聚类关联分析、行为异常分析，甄别虚假作弊用户、IP、设备，锁定源头风险。
终端风险感知
有效识别模拟器、群控、作弊设备、模拟器、农场工具。
大数据关联分析
结合渠道大数据与风险数据，筛选出可疑对象和目标，通过特定业务判断完成风险环形数据，支持算法模型的嵌入。

二、产品整体框架

2.1、产品使用步骤

2.1.1. 前端接入：根据前端类型选择对应 SDK 进行接入，支持 Android App、iOS iApp、小程 序（头条小程序、微信小程序、支付宝小程序）、WEB/WAP/H5。
2.1.2. 接入验证：前后端接入完成后，联合客户端、服务端进行整体联调。
2.1.3. 运行APP成功返回blackbox设备指纹。

2.2、整体对接数据流程时序图

2.3、产品整体架构

接入产品逆向分析还原出基本的产品架构，如图2-3所示

图2-3

三、JAVA与JNI初始化

3.1、在应用启动的时候，比如在应用的首页 Activity 的 onCreate 方法中调用以下方法：

// FMAgent.ENV_SANDBOX     表示沙盒环境

3.2、加载SO

JSONObject v6 = null;

3.3、执行NI_OnLoad注册Native方法

.text:000000709EAE5E4C                   RegisterNatives_sub_786D163E4C

3.4、整体流程如图3-4所示

图3-4

四、VM虚拟机基本逻辑

4.1、VM逻辑主要在模块libtdvm.so中，该模块导出两个方法：

td_eea7e05642c04e240c51 //解压解密VMBycode

libtongdun.so模块中的大部分方法都会调用上面两个方法，传入vmbycode解析执行。

4.2、VM流程与分析思路

td_eea7e05642c04e240c51方法解压解密后VMBycode后进入VM，代码如下：

.text:000000709EA954F0                               EnterVM_sub_709EA954F0

解析VMbycode执行对应的Hnadle:

.text:000000709EA95878                               dsp_loc_786D55A878

4.3、常见Handle一览

常见的算术运算

.text:000000709EA93DD8                               ADD_sub_709EA93DD8

.text:000000709EA93E08                               SUB_sub_709EA93E08

.text:000000709EA93E20                               AND_sub_709EA93E20

.text:000000709EA93E44                               EOR_sub_786E901E44  

.text:000000709EA93FAC                               MUL_sub_709EA93FAC

.text:000000709EA97B60                               getdatabas_sub_786E905B60 

以上Handle都是加密时要用到的。

4.4、眺出VM调用其它模块的Handle

.text:000000709EA936C0                               call_loc_709EA936C0 

如果不还原算法的话调试时重点关注这个Handle就能大致分析清楚整体的逻辑。如果要做算法还原就得分析每一个Handle。

五、环境检测与设备信息采集

5.1、随机数AES加密存放本地

如果是第一次运行APP判断本地是否有随机数ID，如果没有就生成用AES加密存放在三个地方做为钉子文件：

SharedPreferences td-client-id-3

AES加密是反射调用JAVA实现：

.text:000000709EB4EA6C                   ; R1:原数据,R2:key

如果本地有存放就读取与设备信息一起上报服务器。

5.2、检测系统环境风险

检测多开:

读取maps查找是否有对应的包名特征

//特征

5.3、检测xposed

反射loadclass检测是否有xposed

getSystemClassLoader

查找进程中是否有包含关键字

xposedbridge

5.4、检测magisk

特征

5.5、检测自动点击

access

5.6、检测模拟器

access

5.7、检测云手机

access

样本获取方式，关注公众号，公众号输入框回复“td” 获取下载链接。

作者简介：

我是小三，目前从事软件安全相关工作，虽己工作多年，但内心依然有着执着的追求，信奉终身成长，不定义自己，热爱技术但不拘泥于技术，爱好分享，喜欢读书和乐于结交朋友，欢迎加我微信与我交朋友(公众号输入框回复“wx”即可)

未完，接下一篇