拼多多anti-token 字段加解密学习分析

	注:本篇文章仅学习交流该APP的加密方法，提示我们的安全技术。不可以对该app和公司造成违法行为。否则后果自负。如有侵权行为，烦请贵司与我第一时间联系。下架文章。感谢。

	app 版本：6.26
1
2
3

我们抓包得到这里有个关键字段:anti-token。

在这里插入图片描述

老规矩第一步打开jadx。搜索字符串定位:
在这里插入图片描述
会发现有这么几个地方。那么大家猜一猜会是在哪了？

第二个由于是put 和和别人长的不太一样，所以我们可以直接点击第二个看一看。
因为他是一个hashMap。一般请求头组装的时候都会是hashMap。进行put进去。

在这里插入图片描述
那么会发现这个f2 是从这里来的。这个时候我们就要验证一下了。到底我们写的是否对了。

两个方法:
	1.写frida脚本: 我比较懒
	2.objection:  快速高效
如果有更好的欢迎评论区交流哦
1
2
3
4

在这里插入图片描述

点过来发现是一个接口。那么我们能hook吗？试一试呗。
结果是不行的。所以我们得去找他的实现方法。

会发现有很多。那么有没有更好的方法了。

当然有。我们再新打开一个jadx。将他的反混淆打开。有什么变化了？往下看

在这里插入图片描述

这样搜索是不是很OK。只有一个了。

点过来这是他最真实的名字。

接着进入第一个jadx。
在这里插入图片描述

是这个f。OK

在这里插入图片描述
会发现有了。但是这并不是商品详情的token。因为你拿着token去搜索并不能搜索到。所以还在其他的地方。

在这里插入图片描述
就在这一页发现有另外一个地方token。

他是从这里判断过去的。那么我们去用objection hook这两个看下

在这里插入图片描述

当我们点击详情之后，会发现这是可以的。所以这就是加密的地方了，而且加密的参数也在这里面。剩下的我们只需要使用rpc。或者unidbg去调用so即可。
1

在这里插入图片描述

学习交流:Ays971124

视频教学:点我直达

相关阅读:
有效的字母异位词 C
基于leetcode的算法训练：Day4
[附源码]Python计算机毕业设计SSM篮球馆预约小程序（程序+LW)
Android开发之百度地图定位打卡
校验 GPT-4 真实性的三个经典问题：快速区分 GPT-3.5 与 GPT-4，并提供免费测试网站
mysql数据库的授权访问
vscode远程连接XHR(wget download failed)解决方法
.net异常处理
vue需求：实现签章/签字在页面上自由定位的功能（本质：元素在页面上的拖拽）
产品结构设计的主要内容有哪些？

原文地址：https://blog.csdn.net/qq_41155858/article/details/126909287