逆向APK实现smali注入“秒破WIFI”

  • A+
所属分类:无线安全

近期开始关注手机安全了,以往都是在PC上玩,对这个领域也想了解一下,可是拿什么来开刀呢?突然想起Wifi万能钥匙这个神器了,这个软件的wifi分享模式鄙人非常喜欢,装了这货基本上很多地方都有免费的WIFI用!(这并非植入广告!是真心话!)鄙人也把自己的家用wifi给共享了,10M的带宽欢迎你连进来(只要你敢,嘿嘿)。不过这个软件还是有美中不足的地方,软件提供wifi连接的功能,但是并不会告诉你wifi的密码是什么,估计厂家也是基于安全和隐私的角度考虑,这样做也是对的,但其实密码应该就在软件的某个地方,只要想找肯定会找到(在data/misc/wifi/wpa_supplicant.conf文件中),但这不是本文的重点,本文主要讨论的是apk软件的逆向和修改打包技术,纯技术交流用途。

好了,开始说干货了(高手直接飘过吧),这次开刀的版本是官方2.9.27版本。首先APKTOOL反编译安装包,请注意版本号Apktool 2.0.0-Beta9。

逆向APK实现smali注入“秒破WIFI”   

得到smali源码后开始找关键代码,我们的主要目的是让wifi万能钥匙把从服务器传回来的密码显示出来,这样我们不但能连入wifi,而且还能知道明文密码。

首先与PC端软件逆向的流程应该是一样的,找关键字定位关键代码,这软件每次连wifi都会显示一些日志,其中有一条很关键,“尝试获取网络密码成功”,这应该是成功获取到了密码之后的日志,这个字符串位于资源目录中的strings.xml文件里。

逆向APK实现smali注入“秒破WIFI”

依据XML的name字段"act_autoconnect_state_get_net_pwd_success"我们可以继续搜索到位于public.xml中对应的字符串ID。

逆向APK实现smali注入“秒破WIFI”

依据这个 id="0x7f0d051e",我们能定位到关键的smali代码,\WiFiMaster\smali\com\snda\wifilocating\ui\activity\fc.smali这里使用了这个字符串,代码如下:

const v1, 0x7f0200bd
const v2, 0x7f0d051e
    invoke-virtual {v0, v1, v2}, Lcom/snda/wifilocating/ui/activity/fe;->b(II)V 
    iget-object v0, p0, Lcom/snda/wifilocating/ui/activity/fc;->a:Lcom/snda/wifilocating/ui/activity/AutoConnectActivityWithStateList; 
    iget-object v1, p0, Lcom/snda/wifilocating/ui/activity/fc;->a:Lcom/snda/wifilocating/ui/activity/AutoConnectActivityWithStateList; 
    invoke-static {v1}, Lcom/snda/wifilocating/ui/activity/AutoConnectActivityWithStateList;->i(Lcom/snda/wifilocating/ui/activity/AutoConnectActivityWithStateList;)Lcom/snda/wifilocating/f/s;
    move-result-object v1

可以从代码中看到0x7f0d051e字符串作为参数传递进了b方法中,而后又被AutoConnectActivityWithStateList这个类进行了多次调用,看来AutoConnectActivityWithStateList类是个非常关键的环节,我们不如直接找到这个类的实现代码进去看看。

这个类的smali代码路径如下:\WiFiMaster\smali\com\snda\wifilocating\ui\activity\AutoConnectActivityWithStateList.smali

为了节省篇幅,省去读这个类代码的过程描述,直接粘贴关键代码如下(大概1500行的位置):

.method private a(Lcom/snda/wifilocating/ui/activity/support/AccessPoint;Ljava/lang/String;)Lcom/snda/wifilocating/ui/activity/fd;
    .locals 5 
    const/4 v4, -0x1
    new-instance v0, Ljava/lang/StringBuilder;
    const-string v1, "connect ap:"
    invoke-direct {v0, v1}, Ljava/lang/StringBuilder;-><init>(Ljava/lang/String;)V
    iget-object v1, p1, Lcom/snda/wifilocating/ui/activity/support/AccessPoint;->b:Ljava/lang/String;
    invoke-virtual {v0, v1}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
    move-result-object v0
    const-string v1, " with pwd:"
    invoke-virtual {v0, v1}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
    move-result-object v0
    invoke-virtual {v0, p2}, Ljava/lang/StringBuilder;->append(Ljava/lang/String;)Ljava/lang/StringBuilder;
    move-result-object v0
    invoke-virtual {v0}, Ljava/lang/StringBuilder;->toString()Ljava/lang/String;
    invoke-static {p2}, Landroid/text/TextUtils;->isEmpty(Ljava/lang/CharSequence;)Z
    move-result v0
    if-nez v0, :cond_0

这是一个非常关键的方法的实现,我们看到该方法有两个参数,一个是AccessPoint类的对象,另一个是String字符串,方法的一开始就实例化了一个StringBuilder的对象,然后使用append不断的拼接该字符串,大概的拼接规则是这样的:

“connect ap: ”+ “AccessPoint;->b”+“with pwd:”+“String”

看到了这里似乎就已经明朗了,意思就是 连接热点:XXX  使用密码:XXX。

所以我们完全有理由相信,这个String类型的参数实际上就是wifi热点的密码!

OK,到了这里,我们要做一些工作来进行验证,你可以选择使用ADB调试然后跟踪到这里,或者干脆修改smali,让它输出这里的String给我们看,我选择第二种方法,因为本来我们也是为了要让它显示密码。

手动输入如下的代码插入到该方法中(smali有很严格的语法规则,拿到一段代码先要搞清楚含义,随意插在什么地方几乎是跑不通的,关于smali的语法网上有很多资料了,建议先学习懂了以后再去写,当然如果你是高手就飘过吧)

new-instance v5,Landroid/app/AlertDialog$Builder;
invoke-direct {v5,p0}, Landroid/app/AlertDialog$Builder;-><init>(Landroid/content/Context;)V
const-string v6, "|Cracked by \u6210\u738B\u8D25\u5BC7| PASSWORD IS:"
invoke-virtual {v5,v6}, Landroid/app/AlertDialog$Builder;->setTitle(Ljava/lang/CharSequence;)Landroid/app/AlertDialog$Builder;
invoke-virtual {v5,p2},Landroid/app/AlertDialog$Builder;->setMessage(Ljava/lang/CharSequence;)Landroid/app/AlertDialog$Builder;
invoke-virtual {v5},Landroid/app/AlertDialog$Builder;->create()Landroid/app/AlertDialog;
move-result-object v6
invoke-virtual {v6},Landroid/app/AlertDialog;->show()V

这段代码就是使用AlertDialog类的一系列方法弹出对话框,把密码显示出来。(真搞不懂java弹个对话框怎么要用到这么多方法,这里怀念一下windows的MessageBoxA。)

插入过后就是对整个代码进行编译打包的工作了,不要以为这个活就干完了,真正闹心的还在后面呢!

我们使用apktool b [反编译后的目录] 进行打包,多数情况你会发现打包过程是会报错的,千奇百怪的错!只有少数APK会成功打包。后来我专门研究了一下这个问题,主要其实是资源出的错,当然前提是要先把smali代码编译过去,剩下再解决资源的问题。本例中的这个APK也是有报错的,好在还不多,都一一解决了。其实我本来想把资源报错这个问题的细节写进来,但其实这是个体力活!而且每款软件都不同,几乎没有借鉴意义。所以我准备把一些方法性的东西告诉大家,具体问题你只能具体分析了。

解决打包报错问题的基本思路就是先看报错内容(这不是废话么~),因为这是我们唯一的线索,先搞清楚问题的原因再去对症下药,smali报错我就不说了,因为这多数是语法的问题,只能好好学学了。如果报错类型是资源文件出错,例如string.xml、public.xml什么的,那你就把原始的apk资源解包出来,然后把反编译的对照原始资源文件进行参考修改,缺啥就补啥,多啥就删啥,引用错了啥就改啥,这也是需要你对安卓的整个打包文件结构有一定的了解才行,具体问题具体分析。

好了,此处省略一万次报错修改的过程……(真心希望google能把apktool好好做做,这么多bug不像是google的产品作风啊!)最后终于生成出了打包好的文件,它在你反编译后的dist目录中。

逆向APK实现smali注入“秒破WIFI”

先别急,我们还要对这个APK进行签名,否则安装不了。

逆向APK实现smali注入“秒破WIFI”    

OK,我们下面安装这个APK,来看看效果。

    逆向APK实现smali注入“秒破WIFI”

安装后开启wifi,然后点击一键查询万能钥匙,搜出来个901,估计是门牌号,信号很好并且已经共享了wifi,我们连进去看看。

    逆向APK实现smali注入“秒破WIFI”

点击“万能钥匙自动连接”,顺利的话就应该能爆出密码了。

    逆向APK实现smali注入“秒破WIFI”

OK,密码已经成功弹出,大功告成!有了这货你基本上就可以秒破很多WIFI了!对于已经修改好的APK我就不提供下载了,我们的目的是纯技术交流,你懂的。

  • 我的微信
  • 这是我的微信扫一扫
  • weinxin
  • 我的微信公众号
  • 我的微信公众号扫一扫
  • weinxin

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: