2 - 长安系列车机OTA包解密_游戏逆向|游戏安全|yxfzedu.com

唉，一言难尽，我的车车CS75P 二代车机系统终于更新了，上了高德新版，有了红绿灯倒计时，福音呀，盼了很久，终于更新了。

我就想着将OTA包里面的apk，直接提取出来，升级就行了，不需要更新车机系统了，结果失败！

拿到了心心念的OTA升级包，一打开。

哦豁~~~~

它竟然做了加密的，，，好惨

我就想着，既然这里做了加密，那么车机系统在拿到包后，肯定也需要进行解密才能去安装呀，于似乎带着好奇去看了看

在车机交流群里面，顺利拿到了负责车机升级的apk，拖进jadx 里面，找关键字，HuOs

还真找到了。

这不就是我升级的路径，和包格式嘛 .zip

跟着调用栈一路静态分析，结果追到了解密方法：

这里发现包被进行了 "AES/CBC/PKCS5Padding" 的加密，车机系统拿到文件，进行解密后，再安装

又上一个步骤发现，是通过获取 "/system/bin/sd_ivi_data/ckey" 的值，

然后使用未宸解密，对这个文件进行解密，获取前16 字节，作为系统包的aes key

想要解密这个就得两个步骤：

1、获取到这个ckey 这个文件（万能的车友群把文件给了我）

2、拿到 whiteBox.decrypt 的代码实现逻辑（万能的车友群把文件给了我）

步骤2 走了一些弯路

起初以为 whiteBox.decrypt 这个代码的实现是放在 boot-framework.vdex 、最后通过搜索，发现是放在

boot-ext.vdex 里面的。

这里就需要使用两个工具

最终打开，

解密方法则是将文件的值，与一个key ，进到native 里面计算出来

那么我们还需要获取到这个token :

通过静态分析，获取token的通过获取升级 apk 下的一些文件值，在native 里面进行判断，最后返回出结果。

起初，我以为需要在native 里面进行计算，最后反编译进去一看，，

这...... 好家伙只是将获取的数据进行了对比，然后直接返回token，想复杂了。。。。

前面既然已经拿到了 token ,那我们直接使用Unidbg 将 token 值，和ckey 的值传入，计算出结果即可

拿到key 了，返回第一步，使用AES/CBC/PKCS5Padding 解密，获得ota包

然后使用开源工具

payload-dumper-go 将 payload.bin 提取出 system.img 即可：

就拿到了高德地图

整体弄下来，花了一下午的时间，最开始想的太难了，动手起来，多亏了万能的车群提供了相应的文件进行分析，万事开头难，做起来就顺了。

整体分析难道不大，都是一些基础的调用，和简单的知识点结合就行。

int __fastcall Java_com_weichen_whitebox_encrytion_WhiteBoxNativeImpl_connectionToNativeVerifyDigest(JNIEnv *a1, int a2, int a3, size_t a4, int a5, int a6, size_t a7, int a8, int a9, int a10, int a11)
{

  _DWORD *v13; // r9

  const char *v14; // r5

  const char *v15; // r10

  int v16; // r0

  const char *v17; // r5

  jbyte *v18; // r4

  jbyte *v19; // r6

  jstring (*v20)(JNIEnv *, const char *); // r2

  const char *v21; // r1

  const char *v23; // r4

  void *v24; // r9

  const char *v25; // r10

  jbyte *v26; // r4

  jbyte *v27; // r5

  const char *v28; // [sp+1Ch] [bp-2Ch]

  const char *v29; // [sp+24h] [bp-24h]
 
  v13 = malloc(0x20u);

  v14 = (*a1)->GetStringUTFChars(a1, a9, 0);

  v15 = (*a1)->GetStringUTFChars(a1, a5, 0);

  if ( !j_readFileFromApk(v14, v15, v13) )

  {

    _android_log_print(4, "LeosinAcsctl: digest", "can't find file, LINE = %d", 275);
LABEL_8:

    v20 = (*a1)->NewStringUTF;

    v21 = "can't find file";

    return (int)v20(a1, v21);

  }

  v29 = v14;

  v16 = j_calculateDigest(a1, v13, a10);

  if ( !v16 || (v17 = (const char *)v16, !v13[4]) )

  {

    _android_log_print(4, "LeosinAcsctl: digest", "unsupproted signAlg, LINE = %d", 281);

    v20 = (*a1)->NewStringUTF;

    v21 = "unsupproted signAlg";

    return (int)v20(a1, v21);

  }

  v18 = (*a1)->GetByteArrayElements(a1, a3, 0);

  v19 = (jbyte *)malloc(a4);

  qmemcpy(v19, v18, a4);

  if ( strncmp(v17, v19, a4) )

  {

    _android_log_print(4, "LeosinAcsctl: digest", "mainfiestFileDigest is wrong, LINE = %d", 290);

    v20 = (*a1)->NewStringUTF;

    v21 = "mainfiestFileDigest is wrong";

    return (int)v20(a1, v21);

  }

  (*a1)->ReleaseByteArrayElements(a1, (jbyteArray)a3, v18, 2);

  (*a1)->ReleaseStringUTFChars(a1, (jstring)a5, v15);

  free(v19);

  free(v13);

  v23 = (*a1)->GetStringUTFChars(a1, a8, 0);

  v24 = malloc(0x20u);

  if ( !j_readFileFromApk(v29, v23, v24) )

  {

    _android_log_print(4, "LeosinAcsctl: digest", "can't find file, LINE = %d", 301);

    goto LABEL_8;

  }

  v28 = v23;

  v25 = (const char *)j_calculateDigest(a1, v24, a11);

  v26 = (*a1)->GetByteArrayElements(a1, a6, 0);

  v27 = (jbyte *)malloc(a4);

  qmemcpy(v27, v26, a7);

  __android_log_print(4, "LeosinAcsctl: digest", "dexClassDigestLen is %d", a7);

  __android_log_print(4, "LeosinAcsctl: digest", "dexClassDigestArr is %s", v27);

  __android_log_print(4, "LeosinAcsctl: digest", "dexClassDigest is %s", v25);

  if ( !strncmp(v27, v25, a7) )

  {

    (*a1)->ReleaseByteArrayElements(a1, (jbyteArray)a6, v26, 2);

    (*a1)->ReleaseStringUTFChars(a1, (jstring)a8, v28);

    free(v27);

    free(v24);

    (*a1)->ReleaseStringUTFChars(a1, (jstring)a9, v29);

    v20 = (*a1)->NewStringUTF;

    v21 = "@ABCDEFG";

  }

  else

  {

    _android_log_print(4, "LeosinAcsctl: digest", "can't find file, LINE = %d", 313);

    v20 = (*a1)->NewStringUTF;

    v21 = "dexclass digest is wrong";

  }

  return (int)v20(a1, v21);
}

int __fastcall Java_com_weichen_whitebox_encrytion_WhiteBoxNativeImpl_connectionToNativeVerifyDigest(JNIEnv *a1, int a2, int a3, size_t a4, int a5, int a6, size_t a7, int a8, int a9, int a10, int a11)

{

_DWORD *v13; // r9

const char *v14; // r5

const char *v15; // r10

int v16; // r0

const char *v17; // r5

jbyte *v18; // r4

jbyte *v19; // r6

jstring (*v20)(JNIEnv *, const char *); // r2

const char *v21; // r1

const char *v23; // r4

void *v24; // r9

const char *v25; // r10

jbyte *v26; // r4

jbyte *v27; // r5

const char *v28; // [sp+1Ch] [bp-2Ch]

const char *v29; // [sp+24h] [bp-24h]

v13 = malloc(0x20u);

v14 = (*a1)->GetStringUTFChars(a1, a9, 0);

v15 = (*a1)->GetStringUTFChars(a1, a5, 0);

if ( !j_readFileFromApk(v14, v15, v13) )

{

_android_log_print(4, "LeosinAcsctl: digest", "can't find file, LINE = %d", 275);

LABEL_8:

v20 = (*a1)->NewStringUTF;

回复或点赞可查看完整内容

最后于 1天前被ty1937编辑，原因：

更多【 2 - 长安系列车机OTA包解密】相关视频教程：www.yxfzedu.com

2 - 长安系列车机OTA包解密

相关文章推荐

Markdown Editor

友情链接

课程目录

技术交流QQ群