开启辅助访问 切换到宽版

精易论坛

 找回密码
 注册

QQ登录

只需一步,快速开始

用微信号发送消息登录论坛

新人指南 邀请好友注册 - 我关注人的新帖 教你赚取精币 - 每日签到


求职/招聘- 论坛接单- 开发者大厅

论坛版规 总版规 - 建议/投诉 - 应聘版主 - 精华帖总集 积分说明 - 禁言标准 - 有奖举报

查看: 27715|回复: 2
收起左侧

[交流] ***象APP,摇一摇,抽奖页面 WebView 调试一例

[复制链接]
发表于 2018-7-8 19:24:08 | 显示全部楼层 |阅读模式   重庆市重庆市
拿到app,国际惯例,查无壳,抓取抽奖的请求,
POST https://***.******.com/nivote/index.php/front/getwin HTTP/1.1
Host: ***.******.com
Connection: keep-alive
Content-Length: 165
Accept: application/json, text/plain, */*
Origin: https://app.***.******
User-Agent: Mozilla/5.0 (Linux; Android 6.0.1; 1605-A01 Build/MMB29M; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/59.0.3071.82 Mobile Safari/537.36/******/2.7.0
Content-Type: application/x-www-form-urlencoded
Referer: https://***.******.com/nivote/shake/index.html
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,en-US;q=0.8
Cookie: PHPSESSID=abcdedflksidjfldkfjsl;
X-Requested-With: com.***.******
timestamp=1531043594337&randomStr=HTZ4o1&active_id=204&mall_no=4401A002&token=c9acdde01a7544ad9dd5f6a47c69c092&lat_e=&long_e=&verify=436564f83d21b0045f2fae26cdeaf419

嗯,很顺利,似乎除了一个类似sign的 verify,没有其它需要分析的东西。
抽奖页面

第一感觉,就像是WebView,但它没壳子,还是先去反编译查看了一遍。。没什么有价值的线索,还是架锅,进行WebView调试吧。。

但调试WebView的条件是需要app启用WebView调试,开启了它,才能使用Chrome DevTools才能对WebView进行远程调试
WebView.setWebContentsDebuggingEnabled(true);

开玩笑,人家写好的app,怎么可能开调试给你玩。

好吧,这里我们使用大牛造好的轮子,Xposed插件,WebviewDebugHook ,安装到手机,激活并重启手机。
打开WebView调试

好了,准备就绪,打开Chrome,地址栏中输入chrome://inspect/#devices,哈哈,果然看到了摇一摇页面,点击inspect


这时,Chrome会为我们再次打开一个调试页面,verify的值,看起来就像md5,那就直接搜索md5吧



果然一路顺风顺水,来到了这个js页面。看到这段代码,就明白,果然猜的没错,
按照红框处拼装原文,加上salt(这里隐去了部分salt,毕竟只是学习练手,不是为了搞破坏),进行验证,与抓到请求中的verify值一致。

到这里整个折腾过程愉快地结束。其实对于经常玩js的朋友来说,没啥难度,
最难的地方在于,怎么打开WebView 调试,还好,有全能的Xposed。









本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?注册

x
结帖率:100% (1/1)
发表于 2020-12-30 08:28:50 | 显示全部楼层   海南省文昌市
原来5年前就有调试webview的高招,厉害了!
回复 支持 反对

使用道具 举报

结帖率:100% (3/3)
发表于 2019-4-4 18:35:36 | 显示全部楼层   重庆市重庆市
{:4大佬6666666666
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则 致发广告者

发布主题 收藏帖子 返回列表

sitemap| 易语言源码| 易语言教程| 易语言论坛| 诚聘英才| 易语言模块| 手机版| 广告投放| 精易论坛
拒绝任何人以任何形式在本论坛发表与中华人民共和国法律相抵触的言论,本站内容均为会员发表,并不代表精易立场!
论坛帖子内容仅用于技术交流学习和研究的目的,严禁用于非法目的,否则造成一切后果自负!如帖子内容侵害到你的权益,请联系我们!
防范网络诈骗,远离网络犯罪 违法和不良信息举报电话0663-3422125,QQ: 800073686,邮箱:800073686@b.qq.com
Powered by Discuz! X3.4 揭阳市揭东区精易科技有限公司 ( 粤ICP备12094385号-1) 粤公网安备 44522102000125 增值电信业务经营许可证 粤B2-20192173

快速回复 返回顶部 返回列表