这个app是啥就不说了【滑稽
之前0xffff上也讨论过对应PC版本的逆向过程，这次来说说android客户端。
首先是抓包。
我用的是BurpSuite.
这里要配置一下，把代理的监听地址改为手机可以访问的地址，然后WLAN那里设置一下。
然后因为走的是https，还需要安装一下证书。
按如图示导出一个，然后装上即可。
但这样还是抓不了，因为这个软件开启了ssl pinning，一番搜索之后发现了这个JustTrustMe，装上之后发现可以抓了hiahiahia.
(然而装一个xp框架弄了一天...高版本的系统刷进去变砖卡第一屏想降系统版本，找了半天才找到线刷包，然而又是万恶的某度网盘..下载龟速..
搞定了抓包问题，那么试着提交一次成绩，康康内容都有啥。
可以看到有两个参数，后面那个tasksJson里面就包含了有score之类的一堆，直接send to Repeater改一下
失败了..盲猜ut参数是校验用的
拖进jadx，无壳，然后搜一下字符串
逻辑很清晰，调用了StringUtils.getUt
跟进getUt看一下
最后会发现调用了native函数。
把so拖进ida看一下，emmm...有点复杂，分析了一下没弄下去。（后面再写一些分析过程，最后没有逆下去
那如果要修改数据还有没有别的方法呢？如果能够直接模拟调用getUt岂不妙哉?这时候就需要用到frida了。
关于frida框架，可以康这里。
搭建好frida运行环境，开始扶着文档写脚本
import frida
import sys
import urlparse
session = frida.get_usb_device().attach("com.xxx.xxxxxx")
hook = """
Java.perform(function () {
var ob = Java.use("com.xxx.common.StringUtils");
ob.getUt.implementation = function(v,a){
send("parameter="+v+"type="+a);
var result=ob.getUt.call(this,v,a);
send("res="+result);
return result;
};
});
"""
call = '''
console.log("Script loaded successfully ");
function callEnc(a) {
Java.perform(function () {
var ob = Java.use("com.xxxx.common.StringUtils");
ob.getUt.implementation = function(v,a){
send("parameter="+v+"type="+a);
var result=ob.getUt.call(this,v,a);
send("res="+result);
return result;
};
var instance=ob.$new();
console.log(a);
var result=instance.getUt.call(instance,a,11);
console.log(result);
});
}
rpc.exports = {
callgetut: callEnc
};'''
script = session.create_script(call)
def on_message(message, data):
print message
script.on("message", on_message)
script.load()
t="urlencoded parameter"
print(t)
t=urlparse.unquote(t)
print(t)
print(test)
script.exports.callgetut(t)
sys.stdin.read()
上面的代码都是照着文档写的，应该比较好理解，然而还有几个坑点需要注意一下：
- url编码问题(如果是直接把url解码后的参数用''' '''括起来声明一个字符串变量的话因为参数里面有\\"这样的内容，会被转义
- burpsuite发包的时候行末不要有空格（我是逐byte比较才发现这个问题
以上就可以通过服务器的校验，修改的数据能够在统计中查看。