Android逆向分析实例（三）-解密EnMicroMsg.db数据库
1.简介
⾸先介绍下EnMicroMsg.db数据库：这个数据库是存放在Android⼿机本地的⽤来保存聊天记录的⼀个数据库，是⼀个Sqlite数据库，且⼿机必须要有root权限才能获取到，⽽且是被加密过的，必须先到密钥才能打开。我们现在要做的就是到这个密钥。
⽹上关于该数据库的解密⽅法⼏乎都⼀样：⾸先通过的 system_l ⽂件获取uin值，然后获取⼿机的IMEI值，最后 (IMEI值+uin值)取MD5的前七位就是数据库的密码。
说下这个⽅法的缺陷：
1. 该⽅法只能在没有修改加密算法的前提下使⽤，⼀旦新版本修改加密算法，此⽅法就会⽴刻失效。
2. ⽽且前两天⾃⼰在8.0.2版本尝试过这种⽅法，⽣成的密钥并不正确。
下⾯将介绍通过frida hook⽅法获取数据库密钥。
实验准备：
1. (版本任意，我的版本是8.0.2)
2. frida环境配置(没有配置环境的可以看这篇⽂章：)
3. ⼀台拥有root权限的⼿机或者模拟器
4. SqlCipher⼯具(⽤来打开数据库，关注下⾯回复sqlcipher获取下载链接)
2.实验
⾸先将EnMicroMsg.db⽂件从模拟器(⼿机)复制到电脑上(⼿机或者模拟器要登陆)：
adb pull /data/t.mm/MicroMsg/8e1435ec4ddf157ca48ec73b4fc108ac/EnMicroMsg.db C:\Users\lxh\Desktop\WeiXin\EnMicroMsg
#8e1435ec4ddf157ca48ec73b4fc108ac这个⽂件夹名称可能不⼀样，要注意⼀下。
然后可以这样想：在启动时，肯定会连接到这个数据库，连接后需要⼀个函数以及密码来打开数据库读取其中的内容，我们要做的就是到这个打开数据库的函数，然后⽤frida hook 这个函数，打印出密码。
.apk拖⼊jadx，打开腾讯官⽅api⽂档：
因为涉及到数据库的操作函数肯定带有database字段，所以我们直接在页⾯搜索"database“，经过搜索与分析后可以发现⼀个函数：（可以看到第⼀个参数file应该就是需要打开的数据库⽂件，第⼆个参数password就是打开数据库的密码）
于是在jadx中搜索"openOrCreateDatabase"，可以得到如下结果：
点进去：
可以看到这个y就是数据库⽂件名，⽽str2就是打开数据库的密码，这两个参数传给了openOrCreateDatabase函数，接下来查看"openOrCreateDatabase"函数的调⽤：
可以看到这个函数是个重载函数，其中有⼀个调⽤了openDatabase函数，查看其调⽤：
这⾥的⼤概意思是：如果str3字符串以"EnMicroMsg.db"结尾，也就是说如果数据库名为EnMicroMsg.db，则调⽤openDatabase(str3, bytes,sQLiteCipherSpec, null, i, fVar, 8)打
开这个数据库。接着查该函数的声明：怎么更新8.0版本
到这⾥我们就可以直接⽤frida来hook这个函数了，并打印前两个参数(数据库名和密码)：
hook.js：
import frida
import sys
jscode = """
Java.perform(function(){
var utils = Java.use("t.wcdb.database.SQLiteDatabase"); // 类的加载路径
utils.openDatabase.overload('java.lang.String', '[B', 't.wcdb.database.SQLiteCipherSpec', 't.wcdb.database.SQLiteDatabase$CursorFactory', 'int', 't.wcdb.DatabaseErrorHandler', 'int').implementation = functio console.log("");
var JavaString = Java.use("java.lang.String");
var database = this.openDatabase(a,b,c,d,e,f,g);
send(a);
console.log(JavaString.$new(b));
send("");
return database;
};
});
"""
def on_message(message,data): #js中执⾏send函数后要回调的函数
if message["type"] == "send":
print("[*] {0}".format(message["payload"]))
else:
print(message)
process = _remote_device()
pid = process.spawn(['']) #spawn函数：进程启动的瞬间就会调⽤该函数
session = process.attach(pid) # 加载进程号
script = ate_script(jscode) #创建js脚本
<('message',on_message) #加载回调函数，也就是js中执⾏send函数规定要执⾏的python函数
script.load() #加载脚本
ad()
执⾏代码可以得到如下结果：
这个95af940就是我EnMicroMsg.db数据库的密码，⽤打开EnMIcroMsg.db，输⼊密码：
成功打开了数据库，然后可以在message表中看到所有的聊天记录。
3.总结
本次实例的难点就是那个打开EnMicroMsg.db数据库的函数，以及js中重载函数部分代码的编写，只要函数对了，出密码也就近在咫尺了。关注[⼈⼈皆是程序猿]，回复sqlcipher获取⼯具下载链接。
曾经发⽣过的事情不可能忘记，只不过是想不起⽽已。
——《千与千寻》
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论